A Cronos interrompeu toda a sua blockchain para impedir uma exploração de US$ 75 milhões.

A Cronos, a blockchain de camada 1 construída pela Crypto.com, parou de gerar blocos no domingo, 30 de agosto. Um invasor havia acabado de drenar dezenas de milhões de dólares da Tectonic, o maior protocolo de empréstimo da rede, e os validadores desligaram toda a blockchain para estancar o sangramento. Dois dias depois, o ataque em si é quase o menor dos dois acontecimentos. A questão mais importante é o que isso significa: uma blockchain "descentralizada" pode ser desligada.

A Cronos confirmou o incidente no X, afirmando ter identificado uma vulnerabilidade na Tectonic e suspendido a rede enquanto investigava o ocorrido. A Tectonic, que detinha aproximadamente US$ 121,7 milhões em depósitos e US$ 82,7 milhões em empréstimos antes do ataque — quase metade de todo o valor bloqueado na plataforma DeFi da Cronos —, orientou os usuários a se manterem afastados do protocolo até que pudesse confirmar a segurança. Na segunda-feira, o painel da DefiLlama mostrava que o valor total bloqueado da Tectonic havia caído para cerca de US$ 3 milhões.

Como o agressor fez isso?

O mecanismo não era um contrato inteligente com defeito. Era um parâmetro de risco com preço incorreto. O pesquisador on-chain Weilin Li descreveu a sequência em um tópico do X: TONIC, o token de governança da Tectonic, era negociado com apenas cerca de US$ 1,34 milhão em liquidez e aproximadamente US$ 11.000 por dia em volume, e mesmo assim o protocolo permitia que as pessoas tomassem empréstimos usando-o como garantia, com um fator de colateral de 20%. Em cerca de 20 minutos, o atacante inflou o preço do TONIC em cerca de 100 vezes, depositou os tokens inflacionados como garantia e tomou empréstimos de ativos reais com base em um valor que o mercado nunca aceitou.

É uma estratégia já vista antes no mundo das criptomoedas. Li classificou o padrão como um esquema de pump-and-borrow no estilo "Mango Market", uma referência ao exploit de aproximadamente US$ 100 milhões da Mango Markets em outubro de 2022, e observou que esta foi a terceira versão do mesmo truque que ele rastreou recentemente, após um prejuízo de US$ 8,7 milhões no mercado MAMO da Moonwell e um incidente separado envolvendo reUSD/Pendle. Tokens de governança ilíquidos continuam sendo listados como garantia, e os atacantes continuam percebendo antes dos protocolos.

Ninguém concorda com o número exato.

A estimativa de Li mudou duas vezes: inicialmente para cerca de US$ 66 milhões, depois para perto de US$ 75 milhões, após ele rastrear uma segunda carteira ligada ao atacante, que continha cerca de US$ 8 milhões adicionais. A PeckShield, de forma independente, chegou a um valor próximo de US$ 74 milhões. Um terceiro pesquisador, usando o pseudônimo Hajedan, adotou uma abordagem completamente diferente, somando os empréstimos brutos nos 16 mercados da Tectonic e chegando a US$ 124.963.890, dos quais calculou que 99,91% pertenciam ao atacante; ele rastreou cerca de US$ 110,5 milhões desse valor ainda na Cronos e aproximadamente US$ 7,8 milhões que não conseguiu localizar. Nem a Cronos nem a Tectonic divulgaram um valor oficial de prejuízo.

Nenhum desses números se contradiz. Eles medem coisas diferentes: movimentação líquida de fundos, empréstimos brutos e carteiras atribuídas até o momento. Vale a pena lembrar disso na próxima vez que uma manchete escolher um número e apresentá-lo como fato consumado.

O que está praticamente definido é onde o dinheiro está. O Lookonchain rastreou cerca de US$ 6,29 milhões transferidos para o Ethereum e convertidos em 2.592 ETH antes do congelamento da rede. O restante, entre US$ 60 milhões e US$ 69 milhões, dependendo da fonte de dados, nunca saiu da Cronos.

A parada é o ponto que está realmente gerando discussão.

A Cronos opera em uma blockchain Cosmos SDK baseada em Tendermint, com um conjunto de validadores limitado a 100, pequeno o suficiente para coordenar uma parada de emergência em minutos. Foi exatamente isso que aconteceu, e é exatamente isso que está dividindo a comunidade agora. Um usuário da Cronos, com o pseudônimo TurtleonCro, explicou a situação de forma bastante precisa: a pausa realmente protegeu as pessoas de maiores perdas e também provou que um pequeno grupo de validadores pode congelar todas as carteiras na blockchain, independentemente de terem ou não alguma vez utilizado a Tectonic. Ambas as afirmações são verdadeiras e uma não anula a outra. Um grupo menor e mais vocal foi além, argumentando que isso nem deveria ser chamado de ataque, já que o invasor não quebrou nenhum código, apenas seguiu as próprias regras publicadas do protocolo até sua conclusão lógica e desagradável.

Kris Marszalek, CEO da Crypto.com, comentou o incidente no mesmo dia, explicando que o aplicativo e a plataforma centralizada da exchange não foram afetados e que uma análise completa seria feita posteriormente. "Todos os fundos estão seguros", escreveu ele, uma afirmação que vale a pena separar do congelamento em nível de blockchain: a Cronos e a exchange da Crypto.com são sistemas diferentes, e a paralisação nunca afetou os saldos da exchange.

De volta online, perguntas ainda em aberto.

Os validadores restauraram a produção de blocos às 23h49 UTC daquela mesma noite, revertendo o estado da cadeia para um snapshot anterior à exploração e retomando a partir do bloco 90.896.189. Os operadores de nós foram instruídos a atualizar para a versão 1.7.8 e baixar os snapshots publicados da mainnet. A Cronos classificou a reversão e a interrupção como uma ação emergencial de consenso entre validadores, tomada para proteger os usuários, e afirmou que uma análise completa seria realizada em breve.

Até o momento da redação deste texto, o relatório pós-ataque ainda não foi divulgado, assim como nenhum plano de compensação para os depositantes da Tectonic. Estima-se que cerca de US$ 32,6 milhões em dívidas incobráveis permaneçam dentro do protocolo, além de aproximadamente US$ 8,71 milhões em liquidações acionadas durante o próprio ataque. O CRO chegou a cair 10% durante o pregão após a notícia, sendo negociado próximo a US$ 0,055 a US$ 0,056, em um token que já vinha apresentando queda no fim de semana.

Contexto que importa aqui

2026 não foi um ano favorável para os empréstimos DeFi. Os analistas do setor contabilizam 67 explorações de protocolos de empréstimo entre os 267 incidentes DeFi totais deste ano, elevando as perdas do setor para mais de US$ 1,26 bilhão. O colapso da Tectonic se encaixa em um padrão que se repete: a exploração raramente começa com um contrato quebrado. Começa com um parâmetro de garantia que ninguém testou sob estresse em relação a um token que ninguém estava realmente negociando.