Duminică, 30 august 2026, la 15:38, ora României, o adresă necunoscută a publicat un contract inteligent pe rețeaua Cronos. În mai puțin de un sfert de oră, prețul unui token numit TONIC urcase de aproape o sută de ori. Nu apăruse niciun anunț și nu cumpărase nimeni în volume mari. Mecanismul care stabilea cotația putea fi împins într-o direcție convenabilă cu o sumă surprinzător de mică, iar cineva a observat asta înaintea celorlalți.
Cu tokenul umflat depus drept garanție, atacatorul a împrumutat active reale din Tectonic, cea mai mare platformă de creditare din ecosistemul Cronos. Firma de securitate PeckShield a urmărit aproximativ 74 de milioane de dolari mutați în trei adrese.
Apoi s-a întâmplat ceva ce se vede rar pe o rețea publică. La aproape două ore după primul bloc suspect, validatorii au oprit producția de blocuri. Iar când lanțul a repornit, în noaptea de duminică spre luni, nu a continuat de unde rămăsese. A pornit dintr-un punct anterior atacului, ștergând aproape două ore de tranzacții din evidență.
Un împrumut real, contra unei garanții inventate
Nu a fost spart niciun cod. Contractele Tectonic au executat corect fiecare instrucțiune primită, doar că informația despre valoarea garanției era falsă. Distincția dintre o eroare de programare și una de proiectare economică schimbă complet felul în care se citește incidentul.
Orice platformă de creditare automată are nevoie de un preț ca să calculeze cât împrumut acordă și când declanșează lichidarea. Componenta care furnizează prețul se numește oracol. Documentația publică a Tectonic arăta că prețul în dolari al TONIC venea din exact două surse, bursa descentralizată VVS Finance, din același ecosistem, și Crypto.com.
Comparația care se înțelege fără vocabular tehnic
Imaginați-vă o casă de amanet care acceptă drept garanție acțiunile unei firme mici, dintre cele cu tranzacții rare și volume subțiri. Evaluatorul nu deschide un istoric pe șase luni. Se uită la prețul afișat pe un singur ecran, în timp real. Dacă cineva cumpără agresiv câteva minute și împinge cotația de la un leu la o sută, evaluatorul scrie cuminte o sută, iar casa de amanet dă un împrumut de o sută de ori mai mare decât ar fi rezonabil.
Exact asta s-a întâmplat pe Cronos. TONIC avea capitalizare modestă și lichiditate subțire, deci era nevoie de puțin capital pentru a-i mișca prețul spectaculos. Ironia stă în documentația proprie a protocolului, care avertiza asupra vulnerabilității activelor cu lichiditate scăzută. Avertismentul exista pe hârtie. Parametrii de risc nu îl reflectau.
Metoda are precedent. Cercetătorul Weilin Li a descris atacul ca fiind în stilul Mango Markets, incidentul din 2022 în care un trader a manipulat cotația unui token cu lichiditate mică și a extras circa 110 milioane de dolari dintr-o platformă americană. Patru ani mai târziu, aceeași rețetă a funcționat pe un lanț diferit, la o scară comparabilă.
Cronologia detaliată a incidentului, cu orele exacte, adresele urmărite și reacția validatorilor, a fost reconstituită de Mihai Popa, analist și jurnalist la Cryptology.ro, publicație de știri cripto România care urmărește de ani buni ecosistemul Cronos. Materialul integral se poate citi aici.
Ora la care un blockchain public a încetat să funcționeze
Un blockchain public se vinde ca infrastructură neutră. Nimeni nu poate opri o tranzacție, nimeni nu poate anula un transfer, trecutul nu se rescrie. Este argumentul central al industriei și motivul pentru care mulți oameni și-au mutat economiile acolo.
Duminică, validatorii Cronos au demonstrat contrariul. Comunicatul oficial vorbește despre o măsură de urgență luată prin consensul validatorilor, pentru protejarea utilizatorilor. Producția de blocuri a repornit la 23:49:01 UTC, de la blocul 90.896.189, dintr-o stare anterioară atacului.
Viteza reacției are o explicație care merită privită atent. Cronos nu are mii de validatori independenți răspândiți prin lume, ci un cerc restrâns. Documentul oficial de întrebări frecvente precizează că validatorii servesc pe bază de invitație, iar cererile de aderare sunt închise. Coordonarea a fost posibilă tocmai fiindcă grupul decidenților e mic, adică exact trăsătura care contrazice eticheta de rețea fără permisiuni.
Ce dispare, concret, când dispar blocuri
Ultimul bloc indexat de exploratorul oficial înainte de ștergere purta ora 12:38:52 UTC, cu patru secunde înaintea publicării contractului atacatorului. Tot ce a fost procesat de acolo până la oprire, o oră și cincizeci și patru de minute de activitate, nu mai există în registru. Cronos nu a publicat o evidență a ceea ce conțineau acele blocuri.
Tradus în situații banale, dacă un utilizator din Cluj a vândut duminică după-amiază niște CRO și a primit stablecoins, tranzacția nu mai figurează nicăieri. Dacă altcineva a plătit on-chain un serviciu care i-a fost deja livrat, plata nu mai există, deși serviciul a fost prestat.
Restaurarea lasă în urmă și o asimetrie pe care nu o poate repara. Soldurile de pe Cronos revin odată cu starea lanțului, însă 6,29 milioane de dolari apucaseră să traverseze o punte spre Ethereum, unde au fost schimbați în 2.592 ETH. Ethereum nu s-a oprit și nu a rescris nimic, deci banii aceia au ieșit definitiv. Restul, circa 68 de milioane, a rămas blocat pe adresele atacatorului. Nu fiindcă s-ar fi răzgândit, ci fiindcă rețeaua i s-a oprit sub picioare.
Lichidările care au lovit oameni fără nicio vină
Partea cel mai puțin discutată este și cea mai dură. Cât timp prețul fals al TONIC a fost activ, motorul automat de lichidare al platformei și-a văzut de treabă. Investigatorul on-chain cunoscut ca MASTR a reconstruit intervalul folosind un nod de arhivă și a numărat 752 de lichidări, care au preluat aproximativ 8,71 milioane de dolari de la utilizatori obișnuiți. Alte două milioane au fost luate de roboți care s-au grăbit după atacator, în aceleași piețe.
Sunt oameni cu poziții calculate corect, lichidați fiindcă o cifră inventată a declanșat o regulă scrisă cinstit. Pentru ei, restaurarea lanțului ridică o întrebare la care Cronos nu a răspuns încă. Dacă starea a fost readusă înaintea atacului, s-au întors și pozițiile lichidate abuziv, sau doar soldurile?
Cine adusese utilizatorii în Tectonic
Tectonic funcționa ca un amanet automatizat. Depui active, primești dreptul de a împrumuta altele, plătești dobândă, iar dacă garanția scade sub un prag prestabilit, poziția se lichidează singură. Fără angajați, fără birou, fără dosar de credit.
Cronos este blockchainul asociat cu Crypto.com, una dintre cele mai vizibile burse cripto din lume. Tokenul rețelei, CRO, se numea până în februarie 2022 chiar Crypto.com Coin. Legătura dintre cele două nu ține de coincidență. Tectonic a fost incubat de entitatea devenită între timp Cronos Labs, iar brațul de investiții de 500 de milioane de dolari al Crypto.com figurează public drept partener strategic.
Relația a fost și comercială, la vedere. Crypto.com a listat TONIC pe bursa proprie, a permis cumpărarea lui în peste douăzeci de monede naționale și a făcut reclamă unor randamente anunțate de până la 100 la sută pe an pentru staking, activabil printr-un singur clic în portofelul companiei.
Compania a transmis acum că bursa și aplicația proprie nu au fost afectate. Afirmația este corectă din punct de vedere tehnic, fiindcă banii ținuți în aplicația centralizată nu stăteau în Tectonic. Rămâne totuși observația incomodă că mulți dintre cei ajunși în protocol porniseră din exact acel meniu.
Cifrele pagubei și un precedent care nu ajută
Valoarea totală blocată în Tectonic trecea de 121 de milioane de dolari cu câteva zile înainte de atac. Luni ajunsese la aproximativ trei milioane, o prăbușire de peste 97 la sută într-un singur weekend. Estimările din presa de specialitate vorbesc, în plus, despre zeci de milioane rămase drept datorie neacoperită, adică împrumuturi fără garanție reală în spate.
Tokenul CRO a pierdut circa 6 la sută în 24 de ore, o mișcare blândă față de gravitatea evenimentului. Explicația probabilă este chiar oprirea rețelei, care a împiedicat vânzările în panică pe partea descentralizată a pieței.
Contextul mai larg e mai puțin flatant. Valoarea blocată în protocoalele DeFi de pe Cronos scăzuse deja cu 92 la sută față de 2022, potrivit datelor DefiLlama. Ecosistemul nu se afla în expansiune, ci într-o contracție lungă, iar Tectonic reprezenta o felie considerabilă din ce mai rămăsese.
Răceala cu care o parte din piață a primit anunțul restaurării vine dintr-un istoric. În 2021, rețeaua a ars 70 de miliarde de tokeni CRO și a prezentat operațiunea drept permanentă. În martie 2025, printr-un vot trecut cu ajutorul controlului majoritar asupra validatorilor și în ciuda unei opoziții consistente, acele 70 de miliarde au fost recreate și mutate într-o rezervă strategică. Oferta a revenit la 100 de miliarde.
Cine a urmărit episodul acela a înțeles că permanent este un termen negociabil pe Cronos. Direcția intervenției de acum nu e problema, de vreme ce i-a protejat pe utilizatori. Problema e că decizia poate fi luată.
Aceeași redacție Cryptology.ro a documentat anterior și presiunea de reglementare care se strânge în jurul acestui tip de platforme, în analiza despre raportul FATF privind DeFi și testul care decide ce protocol intră sub supraveghere. Citite împreună, cele două materiale arată de ce autoritățile se uită tot mai insistent la cine controlează, în realitate, un lanț care se prezintă drept descentralizat.
Ce reține un investitor din România?
Un utilizator care ține 2.000 de euro în aplicația Crypto.com și unul care a mutat aceiași bani în Tectonic se află în situații care nu seamănă deloc, chiar dacă drumul a început în același loc și butonul care i-a dus acolo era în același meniu.
În primul caz există o companie autorizată, obligații de raportare și un interlocutor căruia îi poți scrie o reclamație. În al doilea există un contract inteligent care execută instrucțiuni și atât. Nu are serviciu clienți și nici conducere căreia să îi ceri socoteală.
Cât acoperă, de fapt, autorizația europeană
Piața cripto europeană funcționează sub regulamentul MiCA, aplicabil integral din decembrie 2024. Crypto.com operează în spațiul european prin entitatea malteză autorizată în ianuarie 2025, cu drept de a-și oferi serviciile în toate statele membre pe baza pașaportului european. În România, supravegherea locală implică Autoritatea de Supraveghere Financiară și Banca Națională.
Autorizația acoperă însă serviciile prestate de acea entitate, nu și protocoalele descentralizate către care platforma face trimitere. Cine apasă un buton de staking dintr-un portofel neguvernat iese din perimetrul protejat, deși interfața nu îi comunică asta cu claritate. Distincția e subtilă în aplicație și brutală în practică.
Comparația cu depozitele bancare ajută la calibrarea așteptărilor. Un depozit la o bancă din România este acoperit de Fondul de Garantare a Depozitelor Bancare până la echivalentul a 100.000 de euro per deponent și per instituție, printr-o plasă de siguranță prevăzută de lege. În DeFi nu există nimic echivalent, iar faptul că un produs e promovat de o companie mare nu creează o garanție implicită.
Aritmetica unui randament de 100 la sută pe an
O dobândă anuală de 100 la sută înseamnă dublarea capitalului într-un an, față de câteva procente la un depozit în lei. Diferența nu vine din generozitate. Vine din risc, iar riscul se plătește mai devreme sau mai târziu.
Există utilizatori care au încasat luni întregi randamente reale și au fost mulțumiți. Tocmai asta face capcana eficientă. Perioada în care totul merge construiește încrederea necesară pentru a mări expunerea, iar pierderea vine concentrat, într-un singur weekend, exact când suma implicată e cea mai mare.
Mai apare și o problemă practică, la care puțini se gândesc înainte. O tranzacție care a existat, a fost înregistrată în aplicația de urmărire a portofoliului și apoi a fost ștearsă din registru devine greu de dovedit în fața fiscului. Câștigurile din tranzacții cu criptomonede se impozitează în România cu 10 la sută, iar precauția rezonabilă rămâne păstrarea capturilor de ecran, a extraselor și a hash-urilor de tranzacție, chiar dacă unele nu mai pot fi verificate pe lanț.
Întrebarea care rămâne deschisă
Cronos a promis o analiză completă a incidentului. Până atunci nu se știe cine acoperă datoria rămasă neacoperită în protocol, ce se întâmplă cu utilizatorii lichidați pe baza unui preț fals și cum se închide gaura de pe partea Cronos a punții către Ethereum.
Peste toate stă însă o întrebare care depășește cazul de față. Dacă o rețea poate fi oprită și derulată înapoi când paguba e suficient de mare, atunci pragul de la care se intervine devine el însuși o decizie politică. Șaptezeci și patru de milioane au fost de ajuns. Șapte sute de mii, aproape sigur nu ar fi fost. Nimeni nu a publicat regula, fiindcă regula nu există. Există doar un grup restrâns de operatori care hotărăsc de la caz la caz, iar asta e o informație pe care orice deținător de active pe Cronos o are acum confirmată.
