A Cronos, blockchain ligada à Crypto.com, paralisou toda a rede após um ataque de cerca de US$ 75 milhões ao protocolo DeFi Tectonic. Segundo as informações divulgadas, a exploração envolveu a manipulação do preço de um ativo de baixa liquidez usado como garantia, e cerca de US$ 6 milhões chegaram ao Ethereum antes da interrupção da rede.
Mais do que a cifra, o que chama atenção no caso é o método. O atacante não precisou “invadir” a blockchain no sentido clássico: ele explorou uma brecha no próprio desenho econômico do protocolo. Para Leonardo Maximiliano, CEO da DSec Labs, é justamente aí que mora o alerta.
“O ponto mais preocupante desse ataque é que ele não dependeu necessariamente de uma invasão tradicional da blockchain. O atacante explorou uma fragilidade econômica do próprio protocolo: um ativo com baixa liquidez podia ser utilizado como garantia para tomar empréstimos. Ao manipular o preço desse ativo, foi possível criar artificialmente um poder de garantia que o mercado real não sustentava. Segurança em DeFi não pode ser tratada apenas como proteção de código; é preciso testar também os mecanismos econômicos, os parâmetros de risco e os cenários de manipulação antes que eles sejam explorados.”
— Leonardo Maximiliano, CEO da DSec Labs
Contido o ataque, a Cronos optou por paralisar a rede — decisão que limitou as perdas, mas congelou também operações legítimas de usuários que não tinham qualquer relação com o incidente. E é essa capacidade de “desligar” a blockchain que abre a discussão mais espinhosa do episódio.
“A paralisação da Cronos provavelmente evitou que uma parcela maior dos recursos saísse da rede, mas cria outra discussão importante: até que ponto uma blockchain é descentralizada quando existe capacidade de coordenar sua interrupção? Ao parar a rede, você não bloqueia apenas o atacante; interrompe negociações, pagamentos, empréstimos e operações de usuários que não tinham qualquer relação com o incidente. É um dilema entre contenção e descentralização. Quanto maior o poder de um grupo para interromper o funcionamento de uma rede, mais importante é discutir quais são os limites dessa governança e qual grau de descentralização ela efetivamente oferece”
— Leonardo Maximiliano, CEO da DSec Labs
Para o investidor, fica a lição: em DeFi, segurança, liquidez e descentralização não são camadas separadas — elas se sustentam (ou se derrubam) juntas. Antes de confiar recursos a um protocolo, vale entender como ele avalia risco e o que aconteceria se um ativo pouco líquido fosse manipulado. Para começar por aí, veja nosso guia completo de DeFi e o de golpes de cripto no Brasil.
Como o ataque funcionou, passo a passo
O alvo foi o TONIC, token de governança do próprio Tectonic, que o protocolo aceitava como garantia com fator de colateral de 20% desde fevereiro de 2022. O problema é que o TONIC tinha mercado muito raso. Segundo a análise da TRM Labs, o token havia negociado cerca de US$ 305 mil na semana anterior ao ataque, e o valor tomado emprestado pelo atacante chegou a 245 vezes esse volume semanal.
Com pouca liquidez, bastou comprar TONIC de forma agressiva para multiplicar o preço por cerca de 100 vezes em aproximadamente 20 minutos. O oráculo do protocolo passou a enxergar essa cotação inflada como real, e o atacante depositou os tokens valorizados como garantia para sacar ativos de verdade, como stablecoins, dos pools de empréstimo. É o mesmo roteiro que ficou conhecido no ataque ao Mango Markets em 2022: manipular o preço de referência, não o código.
A própria contagem do prejuízo varia. O número mais citado é US$ 75 milhões, mas uma análise on-chain alternativa chegou a US$ 119,5 milhões ao somar todas as saídas antes das liquidações. Até o fechamento deste texto, o Tectonic não havia publicado um valor definitivo.
A paralisação e o rollback da rede
A Cronos usa consenso baseado em Tendermint, com limite de 100 validadores. Esse conjunto pequeno permitiu coordenar a parada de produção de blocos em poucos minutos no dia 30 de agosto de 2026. De acordo com a TRM Labs, a rede parou no bloco 90.907.150, às 14h32 (UTC).
Depois veio a decisão mais polêmica: em vez de apenas congelar endereços do atacante, os validadores reiniciaram a rede a partir de um estado anterior ao ataque, no bloco 90.896.189. Na prática, foram descartados cerca de 11 mil blocos, o equivalente a aproximadamente duas horas de transações de todos os usuários, não só do atacante. Com isso, cerca de US$ 68,7 milhões (92% do valor obtido) foram revertidos. Só os cerca de US$ 6 milhões que já tinham atravessado a ponte para o Ethereum, convertidos em aproximadamente 2.592 ETH, ficaram fora do alcance do rollback.
A rede informou que voltou a operar, mas que alguns protocolos, provedores de RPC, exploradores e pontes poderiam demorar mais para normalizar, e prometeu um relatório post-mortem completo.
Ataques por manipulação de preço estão em recorde
O caso não é isolado. A TRM Labs contou 32 ataques por manipulação de preço em 2026 até a data do relatório, mais do que em qualquer ano anterior. Em 2022, esse tipo de ataque representava 1 em cada 17 incidentes; em 2026, passou a 1 em cada 8. O Tectonic entrou como o terceiro maior ataque de manipulação de preço já registrado.
Para quem usa DeFi a partir do Brasil, a leitura prática é olhar para os ativos aceitos como garantia. Se um protocolo aceita tokens com pouca liquidez, com oráculo que depende de poucas fontes, ele carrega exatamente o risco explorado aqui. Vale também separar o que fica em corretora e o que fica em carteira própria: protocolos DeFi não são prestadoras de serviços de ativos virtuais autorizadas pelo Banco Central e não oferecem nenhum tipo de garantia ao usuário em caso de ataque.
No lado fiscal, se você teve fundos presos ou perdidos em um protocolo atacado, guarde os registros das transações (hashes, datas e valores em reais). Eles servem para comprovar a origem e o custo dos ativos na declaração. O nosso guia de como declarar criptomoedas no imposto de renda explica como registrar os ativos em Bens e Direitos.
Perguntas frequentes
Os usuários da Cronos perderam dinheiro com o rollback?
O rollback reverteu a maior parte do que o atacante tinha levado, mas também apagou cerca de duas horas de transações legítimas de todos os usuários da rede. Quem fez operações nesse intervalo precisa conferir se elas continuam válidas depois do reinício.
Por que a Cronos conseguiu parar a rede tão rápido?
Porque opera com um conjunto limitado de até 100 validadores em consenso Tendermint, o que permite coordenação rápida. É justamente essa capacidade que levanta a discussão sobre o grau real de descentralização da rede.
O que é um ataque de manipulação de oráculo?
É quando o atacante move artificialmente o preço de um ativo de baixa liquidez para que o protocolo aceite esse preço como verdadeiro. Com a garantia supervalorizada, ele toma emprestados ativos de valor real e deixa o protocolo com dívida ruim.
Antes de você sair
Quanto você paga pra comprar bitcoin? A taxa que a corretora
anuncia não é o custo real: falta o spread do livro e o ágio sobre o preço de
fora. A gente mede isso todo dia em seis corretoras e publica o ranking —
veja quanto custa hoje.
Vai abrir conta em alguma? Juntamos os bônus de cadastro que
valem a pena em uma página só, com o que cada um exige pra liberar —
veja os bônus.
Uma vez por semana, no seu e-mail. O que aconteceu no bitcoin
e o que muda pra quem tem cripto no Brasil, sem hype —
assine a newsletter.
