Duminică, 30 august, la ora 15:38 ora României, o adresă necunoscută a publicat un contract inteligent pe rețeaua Cronos. În următorul sfert de oră, prețul unui token numit TONIC a urcat de aproximativ o sută de ori. Nu apăruse nicio veste bună, nu cumpărase nimeni în volume mari. Sistemul care măsura prețul putea fi împins într-o direcție convenabilă cu o sumă surprinzător de mică, iar cineva a observat asta înaintea celorlalți. Cu tokenul umflat pus drept garanție, atacatorul a împrumutat active reale din platforma de creditare Tectonic. Firma de securitate PeckShield a urmărit aproximativ 74 de milioane de dolari în trei adrese.
Ce a urmat se întâmplă rar pe o rețea publică. La aproape două ore după primul bloc suspect, validatorii Cronos au oprit producția de blocuri. Registrul care ar trebui să meargă neîntrerupt, fără portar și fără buton de pauză, a încremenit. Iar când a repornit, în noaptea de duminică spre luni la 02:49 ora României, nu a continuat de unde rămăsese. A pornit dintr-un punct anterior atacului. Aproape două ore de tranzacții, transferuri și decontări au dispărut din evidență.
Titlul pare, la prima vedere, încă o știre despre un hack cripto. Detaliile spun altceva. Ele au legătură cu felul în care produsele financiare digitale ajung la publicul obișnuit, inclusiv la cei câteva sute de mii de români care au un cont pe o platformă cripto.
Cine era Tectonic și cine i-a adus utilizatorii?
Până duminică, Tectonic era cea mai mare platformă de creditare din ecosistemul Cronos. Funcționa ca un amanet automatizat. Depui active, primești dreptul de a împrumuta altele contra lor, plătești dobândă, iar dacă garanția scade sub un prag prestabilit, poziția se lichidează singură. Fără angajați, fără birou, fără dosar de credit.
Cronos, la rândul lui, este blockchainul asociat cu Crypto.com, una dintre cele mai vizibile burse cripto din lume, cu reclame la televizor și sponsorizări sportive de calibru. Tokenul rețelei, CRO, se numea până în februarie 2022 chiar Crypto.com Coin. Legătura dintre cele două nu e una de circumstanță. Tectonic a fost incubat de o entitate numită Particle B, redenumită între timp Cronos Labs, iar brațul de investiții de 500 de milioane de dolari al Crypto.com figurează public drept partener strategic al Cronos Labs.
Relația a fost, în plus, una comercială și afișată. Crypto.com a listat TONIC pe bursa proprie, a permis cumpărarea lui în peste douăzeci de monede naționale, a promovat plata cu cardul Visa în TONIC la aproximativ 80 de milioane de comercianți și a făcut reclamă unor randamente anunțate de până la 100 la sută pe an pentru staking. În portofelul propriu, Crypto.com DeFi Wallet, staking-ul TONIC se activa printr-un singur clic, fără perioadă de blocare a fondurilor. Ghidul oficial de utilizare explica procedura pas cu pas și lăuda compunerea automată a câștigurilor.
Detaliul care leagă promovarea de dezastru stă însă în documentația tehnică. Pagina de oracol a Tectonic arăta că prețul în dolari al TONIC era preluat din exact două surse. Una era VVS Finance, o bursă descentralizată din același ecosistem. A doua era Crypto.com.
Cum se împrumută bani reali cu o garanție inventată?
Mecanismul nu este nou și nu presupune spargerea vreunei linii de cod. Cercetătorul Weilin Li l-a descris ca fiind un atac în stilul Mango Markets, incidentul din 2022 în care un trader a manipulat cotația unui token cu lichiditate mică și a extras circa 110 milioane de dolari dintr-o platformă americană. Distincția între o eroare de programare și o eroare de proiectare economică contează enorm aici. Codul Tectonic a executat corect fiecare instrucțiune primită. I s-au dat, pur și simplu, informații false despre cât valorează garanția.
Termometrul care arată altă temperatură decât cea reală
Orice platformă de creditare automată are nevoie de un preț. Fără el nu poate calcula cât împrumut acordă și când declanșează lichidarea. Componenta care furnizează prețul se numește oracol, iar pentru TONIC oracolul Tectonic stătea, cum spuneam, pe două picioare.
O comparație care se înțelege fără vocabular tehnic: o casă de amanet acceptă drept garanție acțiuni ale unei firme mici de la Bursa de Valori București, dintre cele cu tranzacții rare și volume subțiri. Evaluatorul nu se uită la o medie pe șase luni și nu compară cu firme similare. Verifică prețul afișat pe un singur ecran, în timp real. Dacă cineva cumpără agresiv preț de câteva minute și împinge cotația de la un leu la o sută, evaluatorul scrie cuminte o sută. Casa de amanet dă atunci un împrumut de o sută de ori mai mare decât ar fi rezonabil, în bani adevărați, contra unei hârtii care nu valorează nimic din ce pretinde.
Asta s-a întâmplat pe Cronos. TONIC avea capitalizare modestă și lichiditate subțire, adică era nevoie de puțin capital pentru a-i mișca prețul spectaculos. Ironia e că documentația proprie a protocolului avertiza asupra vulnerabilității activelor cu lichiditate scăzută la manipulare. Avertismentul exista pe hârtie. Parametrii de risc nu îl reflectau.
Cincisprezece minute pe un blockchain înseamnă foarte mult?
Pe o rețea unde blocurile se produc în câteva secunde, intervalul în care prețul a fost umflat a fost mai mult decât suficient. Atacatorul a avut timp să depună tokenul supraevaluat, să împrumute active reale și să înceapă evacuarea lor. O parte a plecat spre Ethereum printr-o punte, adică prin mecanismul care mută valoare între două blockchainuri diferite. Analiza Lookonchain a arătat că 6,29 milioane de dolari au traversat și au fost schimbați în 2.592 ETH.
Restul a rămas pe loc. PeckShield a identificat circa 60 de milioane într-o adresă de pe Cronos și încă opt milioane într-a doua. Nu pentru că atacatorul s-ar fi răzgândit, ci pentru că rețeaua i s-a oprit sub picioare.
Ora la care un blockchain public a încetat să funcționeze
Un blockchain public se vinde ca infrastructură neutră. Nimeni nu poate opri o tranzacție, nimeni nu poate anula un transfer, iar trecutul nu se rescrie. Acesta e argumentul central al industriei și motivul pentru care mulți oameni și-au mutat economii acolo.
Duminică, validatorii Cronos au demonstrat contrariul. Comunicatul oficial vorbește despre o acțiune de urgență luată prin consensul validatorilor pentru protejarea utilizatorilor. Starea lanțului a fost readusă la momentul anterior atacului, iar producția de blocuri a repornit la 23:49:01 UTC, de la blocul 90.896.189. Repornirea a fost confirmată și de presa de securitate internațională.
Viteza reacției vine dintr-o particularitate care merită privită atent. Cronos nu are mii de validatori independenți răspândiți prin lume, ci un cerc restrâns, iar documentul oficial de întrebări frecvente precizează că validatorii servesc pe bază de invitație, cererile de aderare fiind închise. Coordonarea a fost posibilă tocmai pentru că grupul decidenților e mic. Exact trăsătura care a permis intervenția rapidă contrazice, în același timp, eticheta de rețea fără permisiuni.
Ce dispare, concret, când dispare un interval de blocuri?
Ultimul bloc indexat de exploratorul oficial înainte de ștergere purta ora 12:38:52 UTC, cu patru secunde înaintea publicării contractului atacatorului. Tot ce a fost procesat de acolo până la oprire, o oră și cincizeci și patru de minute de activitate, a dispărut. Cronos nu a publicat o evidență a ceea ce conțineau acele blocuri.
Tradus în situații banale: dacă un utilizator din Cluj a vândut duminică după-amiază niște CRO și a primit stablecoins în schimb, tranzacția aceea nu mai figurează nicăieri. Dacă altcineva a plătit on-chain un serviciu care i-a fost deja livrat, plata nu mai există, deși serviciul da. Iar un depozit făcut într-o aplicație de pe Cronos în intervalul respectiv nu s-a întâmplat niciodată, din perspectiva registrului.
Restaurarea lasă în urmă și o asimetrie pe care nu o poate repara. Soldurile de pe Cronos revin odată cu starea lanțului, dar cei 2.592 ETH stau pe Ethereum, o rețea care nu s-a oprit și nu a rescris nimic. Banii aceia au ieșit definitiv. Cronos a anunțat că punțile între rețele au nevoie de mai mult timp pentru repornire, fără să explice deocamdată cum se acoperă diferența rămasă pe partea proprie a unei punți care deja a plătit. Analiza detaliată a intervalului, publicată de The Defiant, pune întrebarea în termeni contabili, nu retorici.
Lichidările care au lovit oameni fără nicio vină
Partea cel mai puțin discutată este și cea mai dură. Cât timp prețul fals al TONIC a fost activ, motorul automat de lichidare al platformei și-a văzut de treabă. Investigatorul on-chain cunoscut ca MASTR a reconstruit intervalul folosind un nod de arhivă și a numărat 752 de lichidări, care au preluat aproximativ 8,71 milioane de dolari de la utilizatori obișnuiți. Alte două milioane au fost luate de roboți care s-au grăbit după atacator, în aceleași piețe.
Sunt oameni cu poziții calculate corect, lichidați pentru că o cifră inventată a declanșat o regulă scrisă cinstit. Aceeași analiză susține că intervalul de 74 până la 75 de milioane de dolari, repetat peste tot, este incomplet dacă e prezentat drept totalul scos din Tectonic, pentru că numără doar activele aflate într-o parte dintre adresele controlate de atacator.
Cifrele pagubei și starea reală a ecosistemului
Valoarea totală blocată în Tectonic, indicatorul care arată câți bani stăteau efectiv în protocol, a coborât de la peste 121 de milioane de dolari, cu câteva zile înainte, la aproximativ trei milioane luni. O prăbușire de peste 97 la sută într-un weekend. Estimări citate în presa de specialitate vorbesc, în plus, despre zeci de milioane rămase drept datorie neacoperită, adică împrumuturi fără garanție reală în spate.
Tokenul CRO a pierdut circa 6 la sută în 24 de ore, o mișcare surprinzător de blândă raportat la gravitatea evenimentului. Explicația probabilă e chiar oprirea rețelei, care a împiedicat vânzările în panică pe partea descentralizată a pieței.
Contextul mai larg e mai puțin flatant. Datele DefiLlama arată că valoarea blocată în protocoalele DeFi de pe Cronos scăzuse deja cu 92 la sută față de 2022. Ecosistemul nu se afla în expansiune, ci într-o contracție de durată, iar Tectonic reprezenta o felie considerabilă din ce mai rămăsese.
Crypto.com a transmis că bursa și aplicația proprie nu au fost afectate și că fondurile utilizatorilor de acolo sunt în siguranță. Afirmația e corectă din punct de vedere tehnic, pentru că banii ținuți în aplicația centralizată nu stăteau în Tectonic. Rămâne totuși observația incomodă că mulți dintre cei ajunși în Tectonic au pornit din exact acea aplicație.
Precedentul celor 70 de miliarde de tokeni
Răceala cu care o parte din piață a primit anunțul restaurării nu vine din nimic. Cronos are un istoric care face ca intervențiile discreționare să fie privite cu suspiciune.
În 2021, rețeaua a ars 70 de miliarde de tokeni CRO și a prezentat operațiunea drept permanentă. Argumentul era clasic, reducerea ofertei ar trebui să susțină prețul. În martie 2025, printr-un vot comunitar trecut cu ajutorul controlului majoritar asupra validatorilor și în ciuda unei opoziții consistente, acele 70 de miliarde au fost recreate și mutate într-o structură numită Rezerva Strategică Cronos. Oferta a revenit la 100 de miliarde. Rezerva era administrată prin regulile lanțului, iar lanțul era guvernat de o majoritate în care Crypto.com și validatorii afiliați cântăreau greu.
Cine a urmărit episodul acela a înțeles că permanent e un termen negociabil pe Cronos. Restaurarea din acest weekend confirmă tiparul, chiar dacă de data asta intervenția i-a protejat pe utilizatori în loc să îi dezavantajeze. Direcția deciziei nu e problema. Problema e că decizia poate fi luată.
Ce reține din toate astea un investitor din România?
Numărul românilor cu expunere pe cripto a crescut constant în ultimii ani, iar Crypto.com se numără printre platformele cu notorietate locală ridicată, în bună parte datorită reclamelor și a ușurinței cu care se poate alimenta contul direct din bancă. Lecțiile incidentului se aplică fără traducere.
Aplicația și protocolul sunt două lumi diferite
Un utilizator din Timișoara care ține 2.000 de euro în aplicația Crypto.com și unul care a mutat aceiași 2.000 de euro într-un protocol precum Tectonic se află în situații care nu seamănă deloc, chiar dacă drumul a început în același loc și butonul care i-a dus acolo era în același meniu.
În primul caz există o companie autorizată, un departament de conformitate, obligații de raportare, un interlocutor căruia îi poți scrie o reclamație. În al doilea caz există un contract inteligent care execută instrucțiuni și atât. Nu are serviciu clienți și nici conducere căreia să îi ceri socoteală. Când parametrii de risc sunt prost calibrați, banii dispar fără procedură de contestație.
Contrastul cu depozitele bancare ajută la calibrarea așteptărilor. Un depozit la o bancă din România este acoperit de Fondul de Garantare a Depozitelor Bancare până la echivalentul a 100.000 de euro per deponent și per instituție, o plasă de siguranță prevăzută prin lege. În DeFi nu există nimic echivalent, iar faptul că un produs e promovat de o companie mare nu creează o garanție implicită.
Cât acoperă, de fapt, autorizația europeană?
Piața cripto din Uniunea Europeană funcționează sub regulamentul MiCA, aplicabil integral din decembrie 2024. Crypto.com operează în spațiul european prin entitatea malteză Foris DAX MT Limited, autorizată ca furnizor de servicii pe active cripto de autoritatea de supraveghere din Malta în ianuarie 2025, cu dreptul de a-și oferi serviciile în toate statele membre pe baza pașaportului european. În România, supravegherea locală implică Autoritatea de Supraveghere Financiară și Banca Națională.
Autorizația acoperă însă serviciile prestate de acea entitate, nu și protocoalele descentralizate către care platforma face trimitere. Un utilizator care apasă un buton de staking dintr-un portofel neguvernat iese din perimetrul protejat, deși interfața nu îi comunică asta cu claritate. Distincția e subtilă în aplicație și brutală în practică.
Aritmetica unui randament de 100 la sută pe an
O dobândă anuală de 100 la sută înseamnă dublarea capitalului într-un an. Un depozit bancar în lei oferă în prezent câteva procente. Diferența nu vine din generozitate, ci din risc, iar riscul se plătește mai devreme sau mai târziu. Cine acceptă un randament de zeci de ori mai mare decât alternativa sigură cumpără, implicit, probabilitatea unui eveniment precum cel de duminică.
Există utilizatori care au încasat luni întregi randamente reale și au fost mulțumiți. Tocmai asta face capcana eficientă. Perioada în care totul merge construiește încrederea necesară pentru a mări expunerea, iar pierderea vine concentrat, într-un singur weekend, exact când suma implicată e cea mai mare.
Partea fiscală și problema dovezilor
Câștigurile din tranzacții cu criptomonede obținute de persoane fizice din România se impozitează cu 10 la sută, cu o scutire pentru câștigurile sub 200 de lei per tranzacție, în limita unui plafon anual de 600 de lei. Peste plafoanele anuale de venit poate apărea și contribuția de asigurări sociale de sănătate.
Restaurarea unui lanț complică documentarea. O tranzacție care a existat, a fost înregistrată în aplicația de urmărire a portofoliului și apoi a fost ștearsă din registru ridică o problemă practică de probă în fața fiscului. Precauția rezonabilă rămâne păstrarea capturilor de ecran, a extraselor de cont și a hash-urilor de tranzacție, chiar dacă unele nu mai pot fi verificate pe lanț.
Ce se putea vedea înainte, dacă cineva se uita?
Nimic din acest incident nu a fost imprevizibil pentru cine citea parametri în loc de reclame. Faptul că oracolul folosea două surse de preț pentru un activ subțire era public pe pagina de dezvoltatori a Tectonic, iar contradicția dintre avertismentul din documentație și acceptarea aceluiași activ drept garanție se vedea cu ochiul liber. Setul închis de validatori, cu aderare pe bază de invitație, apărea în documentația oficială Cronos. Istoricul arderii anulate prin vot rămăsese în arhivele de guvernanță, la vedere pentru oricine avea răbdare să caute.
Niciunul dintre elementele astea nu a ajuns vreodată în materialele promoționale. Ele stăteau în documentația tehnică, în procesele-verbale de guvernanță și în rapoartele firmelor de analiză on-chain. Distanța dintre cele două categorii de informație este, probabil, singura concluzie practică pe care merită să o rețină cineva din toată povestea.
Întrebări care rămân deschise
Cronos a promis o analiză completă a incidentului. Până atunci nu se știe cine acoperă datoria rămasă neacoperită în protocol, ce se întâmplă cu utilizatorii lichidați pe baza unui preț fals și dacă restaurarea le-a readus efectiv pozițiile. Nu se știe nici cum se închide gaura de pe partea Cronos a punții către Ethereum, nici dacă va exista vreun mecanism de compensare.
Peste toate astea stă o întrebare care depășește cazul de față. Dacă o rețea poate fi oprită și derulată înapoi când paguba e suficient de mare, atunci pragul de la care se intervine devine el însuși o decizie politică. Șaptezeci și patru de milioane au fost de ajuns. Șapte milioane probabil ar fi fost. Șapte sute de mii, aproape sigur nu. Nimeni nu a publicat regula, fiindcă regula nu există. Există doar un grup restrâns de operatori care hotărăsc de la caz la caz, iar asta e o informație pe care orice deținător de active pe Cronos o are acum confirmată.
Întrebări frecvente
Pe 30 august 2026, un atacator a umflat de aproximativ o sută de ori prețul tokenului TONIC, folosit drept garanție în protocol, și a împrumutat active reale contra acelei garanții supraevaluate. PeckShield a estimat aproximativ 74 de milioane de dolari mutați în trei adrese, dintre care circa 6,29 milioane au ajuns pe Ethereum înainte de oprirea rețelei.
Validatorii au oprit producția de blocuri pentru a împiedica mutarea în continuare a fondurilor furate. Rețeaua a repornit la 23:49:01 UTC, de la blocul 90.896.189, dintr-o stare anterioară atacului, ceea ce a șters aproximativ o oră și 54 de minute de tranzacții.
Nu. Codul a funcționat conform proiectării. Problema a fost calibrarea riscului, mai exact acceptarea drept garanție a unui token cu lichiditate mică al cărui preț era preluat din doar două surse.
Crypto.com a comunicat că bursa și aplicația proprie nu au fost afectate. Incidentul a vizat protocolul Tectonic, care rula pe blockchainul Cronos, și utilizatorii care depuseseră acolo.
Fondurile plasate în protocoale descentralizate nu sunt acoperite de Fondul de Garantare a Depozitelor Bancare și nu intră sub umbrela autorizației MiCA a platformei prin care au fost accesate. Autorizația acoperă serviciile furnizate de entitatea reglementată, nu contractele inteligente către care aceasta face trimitere.
