Parada de la cadena Cronos: cómo un exploit en Tectonic vació el mayor mercado de préstamos de la cadena

La blockchain de Cronos está parada. El domingo 30 de agosto de 2026, los validadores de la cadena detuvieron la producción de bloques después de que un atacante vaciara el mercado de préstamos Tectonic. Las estimaciones del daño van de unos 66 a 75 millones de dólares, y un segundo análisis on-chain llega a una salida bastante mayor de los fondos de préstamo. Para ti cuenta primero una sola distinción: si tu saldo está en la cadena misma, ahora mismo no se mueve, hayas tenido o no algo que ver con Tectonic. Si está en la aplicación o en el exchange de Crypto.com, según la empresa permanece intacto.

Parada de la cadena Cronos: qué ocurrió el 30 de agosto de 2026

Tectonic es el mayor protocolo de préstamos sobre Cronos. Un protocolo de préstamos es una aplicación en la que unos usuarios depositan saldo para que otros puedan tomarlo prestado entregando una garantía; los depositantes reciben intereses a cambio. Antes del ataque había allí unos 121,7 millones de dólares según Blockonomi, lo que equivalía a cerca del 46 por ciento de todo el capital depositado en la DeFi de Cronos. Los préstamos vivos ascendían en ese momento a unos 82,7 millones de dólares.

El atacante impulsó al alza el precio de TONIC, el token de gobernanza propio del protocolo, depositó esa posición revalorizada como garantía y tomó prestados contra ella los valores sólidos de los fondos. Después empezó a sacar el botín por un puente. Un puente es un servicio que transfiere valores de una blockchain a otra; es la única vía para bajar un botín de una cadena.

Justo en ese punto intervinieron los validadores. La cuenta de Cronos escribió ese mismo día en X: «We identified an exploit in Tectonic. The Cronos Network has been halted and we'll provide updates here.» El propio Tectonic informó poco después de que estaba atendiendo un incidente y pidió a los usuarios que de momento no tocaran el protocolo: «As a precaution, please do not interact with the protocol until we confirm it is safe to do so.»

El precio de CRO, el valor base de la cadena, por cierto no cedió ese día. Blockonomi informa de una subida de alrededor del cinco por ciento a lo largo de la jornada. Es un indicio de lo poco que una parada de cadena se deja leer en el precio de mercado en un primer momento.

Manipulación del precio de TONIC: cómo 11.000 dólares de volumen diario se convirtieron en un crédito millonario

Las cifras que explican el ataque no están en el aviso de daños, sino en los datos de mercado del token manipulado. TONIC tenía según Blockonomi una liquidez de negociación de unos 1,34 millones de dólares y un volumen diario de aproximadamente 11.000 dólares. Un token con ese volumen se puede empujar en cualquier dirección con relativamente poco capital.

Según el análisis de la analista on-chain Weilin Li, en el que se apoyan varios medios especializados, el precio de TONIC subió unas cien veces en cerca de 20 minutos. A continuación el atacante depositó esa posición como garantía y retiró de los fondos los valores que sí valían algo. Blockonomi cifra en unos 65 minutos la ventana entre el inicio de la manipulación y el final de las retiradas.

El procedimiento tiene nombre, y es antiguo. Un atacante infla el precio de una garantía poco negociada, toma prestados valores reales contra ella y deja en pie la posición sin valor. Quien conozca el caso de Moonwell en Base reconoce el patrón de inmediato: también allí una garantía apenas negociada fue la puerta de entrada, como muestra nuestro análisis del exploit de Moonwell del 27 de agosto.

Por qué esto no es un hackeo en sentido estricto

No se robó ninguna clave ni se aprovechó ninguna vulnerabilidad del código. Los contratos hicieron lo que debían hacer. Lo que era falso era el supuesto sobre el que trabajaban: que el precio comunicado de una garantía se corresponde con su valor real de venta. Esa es una cuestión de valoración, no de claves, y por eso aquí tampoco protege ninguna cartera de hardware.

Ratio de préstamo del 20 por ciento: el parámetro que sostuvo el ataque

Todo protocolo de préstamos fija un ratio de préstamo para cada garantía admitida. El ratio de préstamo indica qué parte del valor depositado puedes tomar prestada realmente; con un 20 por ciento, de 1.000 dólares de garantía salen 200 dólares de crédito. Para TONIC ese valor estaba en el 20 por ciento según Blockonomi.

Un ratio bajo suena prudente, y lo es, mientras el precio subyacente sea correcto. Frente a un precio manipulado, en cambio, el ratio ya no sirve de nada. El veinte por ciento de un valor inflado cien veces sigue siendo un múltiplo de lo que la garantía realmente da de sí. El ratio limita el apalancamiento, no el error.

Quien quiera saber lo distinto que tratan los proveedores exactamente esta cuestión encontrará el abanico de garantías admitidas y de condiciones en nuestra comparativa de proveedores de préstamos cripto. La distancia entre un protocolo que solo admite unos pocos valores profundamente negociados y otro que acepta su propio token de gobernanza como garantía es considerable.

66, 75 o 119,5 millones de dólares: por qué divergen las cifras de daños del exploit de Tectonic

Circulan varias cantidades, y solo en apariencia se contradicen. La primera estimación de Weilin Li se situaba en unos 66 millones de dólares y se elevó a unos 75 millones después de que pudiera atribuirse otra dirección del atacante con cerca de 8 millones de dólares. Esa cifra aparece en la mayoría de las informaciones de la jornada, entre ellas las de The Block.

Un segundo análisis, que Cryptobriefing atribuye al analista on-chain Awoo, llega a una salida de unos 120 millones de dólares de los fondos en una sola transacción, más unos 2 millones por imitadores y una aportación del atacante de aproximadamente 5,6 millones de dólares. Otras casas citan 119,5 millones como el importe que estuvo en juego.

Las dos cifras miden cosas distintas. Una describe lo que al final quedó como botín; la otra, lo que en total se movió fuera de los fondos. El propio Tectonic no había confirmado al cierre de esta edición ni un importe ni una causa. Mientras siga así, en cualquier exposición corresponde la horquilla y no una media suavizada.

Parada de cadena por acuerdo entre validadores: qué tienen que ver Tendermint y el límite de 100

Que una blockchain pueda detenerse en cuestión de minutos no es algo evidente, sino una propiedad de su construcción. Cronos trabaja con Tendermint Core, un procedimiento de consenso en el que un grupo fijo y autorizado de validadores genera los bloques. El número de esos validadores está limitado a 100.

Un validador es un equipo que propone y confirma bloques nuevos. Con cien operadores conocidos, un acuerdo se puede organizar en pocos minutos. Con una cadena de cientos de miles de participantes independientes no se puede, y precisamente por eso Bitcoin no se puede detener y Cronos sí. Eso no es ni un defecto ni un mérito, sino un intercambio: velocidad y capacidad de actuar a cambio de imparabilidad.

El caso del 30 de agosto no es el primero de este tipo en el mes. La víspera, tres cadenas del entorno de Cosmos habían accionado el freno de emergencia por otro motivo, como se puede leer en nuestro análisis de la vulnerabilidad de Cosmos EVM. La parada de cadena se ha empleado así dos veces como herramienta en dos días.

Seis millones por el puente, sesenta millones congelados: qué salvó la parada

La cuenta del día es inusualmente clara. Antes de que terminara la producción de bloques, el atacante había pasado según informaciones coincidentes unos 6 millones de dólares por un puente hacia Ethereum. Unos 60 millones de dólares quedaron en la cadena detenida y allí son tan inalcanzables para el atacante como para todos los demás.

Con ello la parada retuvo la mayor parte del botín. Pero también congeló con ella cualquier otra posición en Cronos: cada préstamo abierto, cada posición de negociación, cada pago previsto, cada proceso automatizado. Un usuario que quisiera vender el domingo por la tarde y que no tuviera nada que ver con el incidente no pudo hacerlo.

Ni Cronos ni Tectonic habían publicado al cierre de esta edición una fecha de reinicio ni un post-mortem definitivo. Un post-mortem es el informe posterior de un proyecto sobre el desarrollo, la causa y las consecuencias de un incidente. Tampoco se había comprometido hasta entonces ninguna instancia a indemnizar a los depositantes de Tectonic.

Aplicación de Crypto.com o cadena Cronos: de qué depende tu exposición

Cronos se menciona a menudo en la misma frase que Crypto.com, y para situar tu propia posición es justamente esa cercanía la que provoca la confusión más frecuente. El máximo responsable de Crypto.com, Kris Marszalek, declaró el 30 de agosto en X que la aplicación y el exchange de la empresa no estaban comprometidos, que los fondos de los clientes allí estaban seguros y que su propio equipo de seguridad apoyaba la investigación. Prometió un post-mortem completo una vez concluido el esclarecimiento.

En la práctica eso significa: quien tiene CRO a través de la aplicación o del exchange tiene un apunte en la base de datos de una empresa y de momento no se ve afectado por el estado de la cadena. Quien, en cambio, opera su propia cartera en Cronos tiene sus valores exactamente en la cadena que está parada. La misma moneda, dos situaciones completamente distintas.

Esa distinción es para ti el núcleo del caso, y tiene su reverso. Un saldo en el proveedor es insensible a una parada de cadena, pero depende del proveedor. Un saldo en tu propia cartera es independiente del proveedor, pero está atado al destino de la cadena. Las dos cosas a la vez no existen.

Qué significa una parada de cadena para tu propio saldo

Una red detenida se comporta de otro modo del que la mayoría espera. Tus valores no han desaparecido, el último saldo válido está fijado y se mantiene. Lo que falta es la capacidad de modificarlo. No hay transferencia, ni venta, ni devolución, ni aportación adicional mientras no se genere ningún bloque.

De ahí se derivan tres cosas que pueden afectarte directamente. Un préstamo que estaba justo antes del umbral de liquidación no se puede salvar con una aportación durante la parada. Un precio que hayas visto en un mercado externo ya no se puede realizar en la cadena. Y una aplicación que dependa de datos de esta cadena sigue trabajando con un estado congelado, aunque ella misma funcione en otra red.

Al reinicio se añade otra cuestión, todavía abierta en el caso de Cronos: ¿qué ocurre con los saldos del atacante que están en la cadena? Una cadena que se puede detener también puede modificar estados al reiniciarse. Que eso suceda aquí no se ha anunciado hasta ahora.

Reconocer cadenas detenibles: cómo comprobar el número de validadores de una blockchain

Para ti cuenta en este caso sobre todo una pregunta que va más allá de Cronos: ¿cuántas de tus propias posiciones están en redes que se pueden detener por acuerdo? Eso no es una suposición, sino una propiedad consultable, y para ello no necesitas conocimientos técnicos.

El explorador de bloques de cada cadena, es decir, la interfaz pública de búsqueda de bloques y transacciones, suele llevar una lista de validadores. Cuatro datos te bastan para una valoración: el número de validadores activos, si el acceso es abierto o sujeto a autorización, cuánta parte suman entre sí los mayores operadores y si la cadena ya se ha detenido alguna vez. Un número de validadores de dos cifras o apenas de tres, con acceso sujeto a autorización, significa en la práctica: esta cadena se puede detener.

De ahí no se deriva ninguna instrucción de venta. Se deriva que sabes qué parte de tus posiciones puede quedar inmovilizada llegado el caso, y que eliges esa parte de forma consciente en lugar de al azar.

Garantías poco líquidas en el mercado de préstamos: estos tres datos los encuentras en cualquier protocolo

Cuando entregas saldo a un protocolo de préstamos, respondes de la calidad de las garantías que ese protocolo admite, aunque tú mismo no tengas ninguna de ellas. Si el producto de una garantía no basta tras un desplome para cubrir el crédito, queda en el sistema un crédito residual incobrable, y ese va a cargo de los depositantes.

Tres datos figuran en casi toda la documentación de un protocolo y responden en buena medida a la pregunta. Primero, la lista de garantías admitidas junto con su ratio de préstamo: si aparece ahí el token de gobernanza propio del protocolo, es una señal de alarma, porque su precio oscila con la salud del protocolo. Segundo, la fuente de precios: un precio que procede de un único mercado poco profundo es más fácil de mover que un valor promediado en el tiempo a partir de varias fuentes. Tercero, la separación de mercados: algunos protocolos aíslan las garantías arriesgadas en compartimentos propios, de modo que un fallo allí no repercute sobre los demás depositantes.

El mismo tipo de ataque golpea ahora en serie

El caso se inserta en una serie que dura ya semanas. El 23 de agosto le tocó a Term Finance a través de los derechos de voto, el 27 de agosto a Moonwell a través de la fuente de precios de una garantía poco negociada, el 30 de agosto a Tectonic por la misma vía. Los ataques se diferencian en el detalle, pero golpean siempre el mismo punto: la valoración de lo que se deposita como garantía.

Fiscalidad y justificantes: qué deberías documentar con posiciones congeladas

Una parada de cadena genera un hueco en tus registros, y ese hueco te salta a la vista más tarde, no hoy. Mientras no se generen bloques, la cadena no entrega datos nuevos, y los programas de cartera y de fiscalidad que toman de allí sus valores muestran un estado congelado o ninguno.

Anota por eso ahora lo que después ya no se podrá reconstruir: el momento de la parada según tu propia observación, tus posiciones y préstamos abiertos en el último bloque válido, todos los comunicados de los proyectos con su fecha, así como cada operación que no pudiste ejecutar por la parada. Si más adelante se indemniza o se cambia algo al reiniciar, necesitarás ese estado de partida para explicar la diferencia.

Una indicación de contexto, no asesoramiento fiscal: si una pérdida derivada de un incidente así se tiene en cuenta fiscalmente, y en qué tipo de rendimiento, se ha de valorar caso por caso y corresponde a una persona dedicada al asesoramiento fiscal. Lo que tú puedes aportar es una documentación sin lagunas.

Comprobar la parada de la cadena Cronos: qué te llevas de aquí

1. Separa el saldo en el proveedor del saldo en la cadena. Mira en tu resumen qué parte de tus posiciones está en un proveedor y cuál en una cartera propia sobre una cadena determinada. Solo la segunda parte se ve afectada por una parada de cadena. Si de todos modos vas a reordenar esa separación, nuestra comparativa de carteras de hardware te ayuda con la pregunta de qué debe salir de forma duradera del alcance de terceros.
2. Comprueba el número de validadores de las cadenas en las que estás. Dos minutos en el explorador de bloques te dicen si una cadena se puede detener por acuerdo. Dónde liquidas tus compras y qué cadenas admite siquiera tu proveedor deciden en parte con qué frecuencia te afecta esta pregunta; las diferencias están en la comparativa de exchanges.
3. Asegura tu estado en el último bloque válido. Exporta posiciones, préstamos abiertos y transacciones antes de que un reinicio altere los datos. Una herramienta que conserve el historial con independencia de la cadena te quita ese trabajo; hemos contrastado los programas habituales en nuestra comparativa de herramientas fiscales y de seguimiento de cartera.

Fuentes para ampliar: el trabajo de TFTC sobre la parada de cadena y el peso de Tectonic en la liquidez de la DeFi de Cronos y la recopilación de Blockonomi sobre el ratio de préstamo, el volumen de negociación y la ventana temporal del ataque.

(30 de agosto de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)