La confiscación de la historia: Lo que Cronos le dio al mundo el 30 de agosto

Alrededor de las 2:32 p.m. UTC del 30 de agosto, los validadores de Cronos congelaron toda la red durante el intento de robo. La cadena se retrocedió en aproximadamente 11,000 bloques, y se eliminó la transacción que había agotado el mercado de préstamos más grande del blockchain. Cuando la cadena volvió a funcionar esa misma noche…Aproximadamente $111 millones de los $120 millones que se tomaron.Fue devuelto a sus propietarios; se eliminó del registro, como si nunca hubiera ocurrido. Los titulares de los periódicos lo llamaron “un rescate”. No se equivocaban, pero tampoco estaban cerca de la verdadera historia.

Para quien esté decidiendo si vale la pena poseer una CRO, el dinero ahorrado es lo menos importante. Lo interesante es la decisión que se toma al hacer ese ahorro: qué significa eso sobre la propiedad Cronos en sí, y el precio que los usuarios de la red pagaron por ella.

El crimen era económico, no de código.

El objetivo era Tectonic, el mayor protocolo de préstamos descentralizado en Cronos. En ese momento, Tectonic tenía un valor total de préstamos bloqueados de aproximadamente 121,7 millones de dólares, y unos 82,7 millones de dólares en préstamos pendientes. El atacante no encontró ningún error en el sistema. Sin embargo, encontró un token que podía ser utilizado para manipular el sistema.

La moneda de gobernanza de Tectonic, TONIC, se negocia con una liquidez muy precaria.Alrededor de 1.34 millones de dólares en volumen diario, y aproximadamente 11,000 dólares por día.Ese es un precio no protegido. El atacante depositó aproximadamente 5 millones de dólares en stablecoins reales como garantía, y compró TONIC.Aumenta su precio de venta en aproximadamente 100 veces en unos 20 minutos.Y deje que el sistema de cotización de Tectonic informe diligentemente el nuevo valor absurdo. TONIC tenía un factor de colateral del 20%, lo que significa que Tectonic prestaría $20 por cada $100 de colateral reconocido de TONIC. Un factor de 20% multiplicado por cien convierte $5 millones en dinero honesto en cientos de millones de capacidad de préstamo. Una sola llamada de contrato…Se vaciaron nueve mercados de préstamos en aproximadamente once minutos.— Stablecoins, Bitcoin envasado, Ether, CRO, XRP — para un valor total de aproximadamente 120 millones de dólares, según el análisis onchain.

El detalle crucial es que el oráculo no se engañó. Registró con precisión el precio manipulado. El error se debía al diseño del sistema. Tectonic utilizó su propio token, que tiene poco volumen de transacciones, como garantía, y no impuso ningún límite para las préstamos relacionados con la liquidez que podría absorber una venta. Este es el patrón típico de Mango Markets: una operación de “pump-and-borrow” basada en un oráculo débil. Es precisamente ese tipo de ataque que los auditores no logran detectar, porque el código funcionaba tal como estaba escrito. Las razones económicas fueron la vulnerabilidad del sistema.

El rescate y la recepción

Cuando los validadores detuvieron la cadena en las 14:32 UTC y la volvieron al bloque 90,896,189, que era el estado antes del ataque, lograron salvar a los depositantes. Los saldos volvieron a su nivel anterior al ataque. Pero el “rollback” es un método brusco: elimina todo lo que ocurrió durante ese período, no solo al ladrón.

Alrededor de 752 liquidaciones.Ya había obtenido unos 8.7 millones de dólares.De usuarios comunes, a precios falsos; los bots que imitan esas transacciones obtenían otros $2 millones. Esa situación se revertió… buenas noticias. Pero las transacciones legítimas, los transferimientos y las operaciones relacionadas también desaparecieron del registro oficial. Además, no se estableció ningún sistema de compensación público para las personas que perdieron sus activos. Mientras tanto, poco más de $8 millones ya habían pasado a Ethereum antes del congelamiento: aproximadamente 2,592 ethers. Esos fondos quedaron permanentemente fuera del alcance de los validadores de Cronos. La cadena puede borrar la historia, pero solo la historia que aún posee.

Lo que hace a CRO

En primer lugar, hay que evitar los daños a la propiedad. Se trató de un ataque contra un protocolo independiente, no contra la empresa que respaldaba esa cadena. La plataforma de intercambio, la aplicación y los fondos de los clientes de Crypto.com no se vieron afectados, según dijo su CEO. Aquellos que poseían CRO a través del ecosistema de Crypto.com nunca estuvieron en riesgo directo.

El problema duradero es diferente. El producto Cronos es un registro en el que los participantes confían para que no se vuelva inestable. Esa propiedad –la certeza– es la razón por la cual los puentes, los creadores de mercado y los protocolos depositan capital en esa cadena. Un comité de…Aproximadamente 100 validadores, muchos de ellos vinculados a Crypto.com.Solo se ha demostrado que es posible anular transacciones en dos horas de historial ya registrado, sin que haya un marco de gobernanza formal que defina cuándo está permitido hacerlo. Ahora, todos los participantes en Cronos deben tener en cuenta la posibilidad de que una transacción “confirmada” pueda volverse no confirmada. Se trata de una reducción en el valor del token, no de algo que ocurre en un día.

Peor aún, la base económica que justificaba esa red ahora está en ruinas. Una situación catastrófica.Representa aproximadamente la mitad del valor total de DeFi de Cronos que está bloqueado.El volumen de préstamos y las tarifas que generan demanda real para CRO también han colapsado. Su TVL disminuyó de unos 122 millones de dólares a aproximadamente 3 millones de dólares en pocos días, lo que representa una caída del 90%. La cadena que gestiona el registro también debe atraer actividad que haga que el token tenga valor alguno; pero su principal fuente de esa actividad se ha agotado.

La reacción del mercado hasta ahora ha sido notablemente tranquila: la CRO bajó un poco, en aproximadamente un día y medio. Esto se debe en parte a una tendencia general de reducción de riesgos en los criptoactivos. Para quien posee esa moneda, eso significa que el problema está “contido”. Pero desde un punto de vista más amplio, eso no indica nada. Un precio bajo en una cadena que acaba de demostrar que puede reescribir su propia historia no es una señal de que el problema sea menor. Es más bien una señal de que el mercado aún no ha decidido cómo valorar el riesgo relacionado con ese token.

El número que importa

La reversión permitió que tu depósito fuera recuperado. Además, indicó qué tipo de acuerdo ofrece Cronos. La finalidad de Cronos es social, no matemática: un conjunto coordinado de validadores puede eliminar las transacciones ya realizadas. Esta vez, el dinero fue recuperado, pero se perdió la historia y la confianza como costo adicional. El caso de CRO siempre se basó en ser un camino seguro y confiable hacia el ecosistema de Crypto.com. Lo que ocurrió el 30 de agosto es que, cuando ese “camino” se rompe, el registro de transacciones se vuelve negociable entre los participantes. Para los aproximadamente 9 millones de dólares que llegaron a Ethereum y nunca pudieron ser recuperados, ya se han gastado. Para todos los demás que deciden si mantener o no CRO, el verdadero costo del rescate será conocido más tarde: cada vez que una parte interesada decide que una cadena de bloques que permite anular transacciones es un riesgo, ya no quiere asumirlo.