Imagine un banco. Le entregas algún activo que casi nadie necesita. En realidad, se puede vender en el mercado, digamos, por un millón de dólares. Pero luego alguien realiza algunas operaciones y multiplica su precio bursátil por cien. La computadora del banco mira la pantalla:
«Perfecto. Ahora su garantía vale cientos de millones».
Y genera para eso un préstamo real. Suena a chiste. Pero más o menos eso ocurrió en DeFi hace unos días. Y lo más interesante es que el problema aquí no estuvo tanto en el hacker. El problema fue que el protocolo creyó el precio.
Un token al que casi nadie negociaba
Tectonic es el mayor protocolo de préstamos de la red Cronos. La mecánica es conocida: depositas un criptoactivo como garantía y tomas prestados otros activos. Entre las garantías permitidas estaba el token propio del proyecto: TONIC. Y aquí es donde empieza lo más interesante. Antes del ataque, TONIC tenía aproximadamente:
$1,34 millones de liquidez
y solo alrededor de
$11 mil de volumen de trading diario.
O sea, el mercado es muy delgado. El propio Tectonic, en su documentación, advertía que los activos de baja liquidez son especialmente vulnerables a manipulaciones de precio. Y luego alguien aprovechó esa particularidad.
+10 000% aproximadamente en 20 minutos
Según el análisis on-chain preliminar, el atacante empezó a comprar TONIC y, aproximadamente en veinte minutos, elevó su precio casi 100 veces. Después ocurrió lo principal: TONIC inflado se depositó en Tectonic como garantía. El protocolo miró el precio de mercado actual y dijo:
se acepta la garantía.
TONIC tenía un collateral factor del 20%. Es decir, cada $100 de garantía “condicional” permitían pedir prestados activos por aproximadamente $20. Para obtener unos $75 millones en préstamos, la posición del atacante debía evaluarse por el sistema en aproximadamente:
$375 millones.
Y aquí aparece una pregunta bastante simple.
Si la liquidez del token es de cerca de $1,34 millones, ¿de verdad una posición enorme en él vale $375 millones?
En pantalla, quizá. Pero al intentar vender, es otra historia.
El precio aún no es el valor de la garantía
Estamos acostumbrados a percibir el precio de bolsa como algo objetivo. $1 significa $1. Pero en un mercado delgado es una ilusión. Supongamos que la última operación pequeña se hizo a $1. Eso no significa que puedas vender mil millones de tokens a $1. Los primeros mil se irán por un dólar. Los siguientes, más barato. Luego hay cada vez menos compradores. Y el precio se desploma. Por eso, para un protocolo de crédito no basta con saber:
«¿cuánto vale el token ahora?»
Hay que entender esto:
«¿A qué precio podré liquidar esta garantía si todo sale mal?»
Y esto es una cuestión completamente distinta.
Y esto ya se parece a un sistema
Si la historia hubiera terminado solo con Tectonic, se podría atribuir todo a un protocolo mal configurado. Pero literalmente unos días antes, una historia parecida ocurrió con Moonwell en Base. Allí el atacante manipuló el precio del poco líquido MAMO y tomó prestado contra él, pero con cbBTC bastante más líquido. Estimación del daño:
alrededor de $8,7 millones.
Y además, antes, un movimiento relativamente pequeño del precio en un mercado delgado en Pendle llevó a liquidaciones de aproximadamente $36 millones en Morpho. Resulta una secuencia interesante:
mercado delgado
- precio fácilmente movible
- el protocolo acepta ese precio como real
- sobre ese precio se crea un préstamo o apalancamiento
- el mercado vuelve a la realidad
- queda un agujero.
Esto ya es mucho más interesante que la historia habitual: «El hacker encontró un fallo en el código». Aquí el código puede hacer exactamente lo que se le ordena. El error está en el modelo económico.
Y luego simplemente apagaron la blockchain
Pero la historia de Cronos dio otro giro inesperado. Cuando quedó claro lo que estaba pasando, los validadores detuvieron la red. No Tectonic. Todo Cronos. Según la evaluación del investigador on-chain, el atacante alcanzó a sacar a Ethereum unos $6 millones, pero la mayor parte de los fondos afectados permanecieron dentro de Cronos después de la detención. La cifra final del daño, en el momento de los últimos mensajes, aún no había sido confirmada por Tectonic. Desde el punto de vista práctico, la solución se entiende. Si en algún lado hay un cortocircuito, cortas toda la electricidad. Pero para la blockchain surge una pregunta incómoda:
¿Quién tiene derecho a pulsar el interruptor?
Cronos tiene un máximo de cientos de validadores, por lo que la detención pudo coordinarse rápidamente. Eso evitó que la mayor parte de los fondos se retiraran de inmediato. Pero al mismo tiempo mostró:
la red se puede detener.
Y aquí chocan dos principios fundamentales de las criptomonedas. Primero: el código y las transacciones deben ser irreversibles; nadie debe tener un botón de Stop. Segundo: si ahora mismo están robando decenas de millones, quizá sea mejor tener el botón. No se pueden conseguir ambas ventajas a la vez.
El problema principal no estuvo en el hacker
El hacker aquí solo se aprovechó de algo que ya existía. Un token de baja liquidez se utilizó como garantía. El precio de un mercado tan “delgado” el sistema lo interpretó como una valoración real de mercado. Con esa valoración, se podían obtener activos mucho más líquidos. Y cuando la construcción empezó a desmoronarse, fue necesario detener toda una red. Resulta bastante irónico. DeFi se creó también, entre otras cosas, para reemplazar la confianza humana por matemáticas. Pero a las matemáticas igual les toca responder a una pregunta financiera muy antigua:
¿y cuánto vale realmente la garantía?
No en el gráfico. No en la última operación. Sino justo en el momento en que realmente haga falta venderlo. Y según la última semana, este mercado cripto aún no ha resuelto esa cuestión. A mí aquí incluso me interesa menos el destino de $TONIC o $CRO. Me interesa más que surgieron tres episodios similares casi seguidos. Si esto continúa, el próximo gran problema de DeFi podría no venir de algún agujero desconocido en un contrato inteligente. Podría estar escrito de forma totalmente abierta en los parámetros del protocolo.
❓¿Qué elegirías tú: una blockchain que no se pueda detener ni siquiera durante un robo, o una red donde los validadores sí puedan pulsar un botón de emergencia?
$CRO $TONIC #defi #CryptoSecurity #Cronos #OnChain