Exploit de manipulación de precios en Tectonic

El 30 de agosto de 2026, Tectonic, el mayor protocolo de préstamos de la cadena Cronos, fue explotado cuando un atacante manipuló el precio de su token nativo TONIC para tomar prestados unos 74 millones de dólares contra una garantía inflada artificialmente. Una detención de toda la cadena y una reversión de estado acabaron limitando la pérdida permanente a cerca de 6 millones de dólares enviados a Ethereum, pero el incidente redujo el valor total bloqueado de Tectonic de unos 122 millones a menos de 3 millones de dólares.

Qué ocurrió

El atacante infló el precio de TONIC unas 100 veces en aproximadamente 20 minutos, luego depositó el token sobrevalorado como garantía y tomó prestados activos reales en los mercados de Tectonic. Como el protocolo valoraba la garantía manipulada a valor nominal, el atacante pudo retirar unos 74 millones de dólares en préstamos que la garantía falsa jamás podría devolver, reproduciendo el patrón clásico de manipulación de precios visto en exploits de préstamos anteriores como Cream Finance. Solo unos 6 millones de dólares en Ethereum se enviaron con éxito fuera de Cronos antes de que los validadores intervinieran; según PeckShield, los aproximadamente 68 millones de dólares restantes quedaron atrapados en Cronos y se volvieron inalcanzables para el atacante una vez congelada la cadena.

Consecuencias

En lugar de pausar un solo contrato inteligente, los validadores de Cronos ejecutaron una detención de emergencia de toda la cadena, congelando cada aplicación y billetera que operaba en ella. La red restauró después su estado al punto anterior al exploit y reanudó la producción de bloques a partir del 30-08-2026 a las 23:49:01 UTC, desde el bloque 90.896.189. Cronos declaró que "sus fondos están seguros", y el cofundador de Crypto.com confirmó que la aplicación y el exchange de Crypto.com no se vieron afectados y que los fondos de los usuarios en la plataforma estaban a salvo. Como la reversión deshizo el robo en la cadena mientras unos 6 millones de dólares ya habían escapado a Ethereum, el resultado se clasifica aquí como partially-recovered. Tectonic aconsejó a los usuarios no interactuar con el protocolo hasta una revisión de seguridad y prometió un análisis post-mortem.

Por qué importa

Tectonic muestra tanto el peligro de valorar tokens de gobernanza poco negociados como garantía de préstamo como los dilemas de la intervención a nivel de cadena. Valorar un activo ilíquido como TONIC a un precio de mercado manipulable dio a un atacante una línea de crédito de 74 millones de dólares contra un respaldo prácticamente sin valor: el mismo modo de fallo que golpeó a Moonwell con su token MAMO apenas unos días antes. La decisión de Cronos de detener y revertir toda la red neutralizó la mayor parte del robo, pero también congeló toda aplicación ajena y reabrió el eterno debate sobre si una cadena específica de aplicación debería revertir su propio libro mayor para deshacer un exploit.