Empréstimos DeFi perdem US$ 84 milhões com token de baixa liquidez

Dois protocolos de empréstimo do mercado de finanças descentralizadas perderam juntos cerca de US$ 84 milhões em quatro dias, na mesma forma de ataque. Em ambos os casos, o responsável inflou o preço de um token pouco negociado, usou o colateral supervalorizado para pedir empréstimos e retirou ativos de maior liquidez antes de o preço entrar em colapso. A técnica é a mesma que os reguladores dos Estados Unidos já haviam processado em 2023 no caso Mango Markets.

Os valores são estimados e ainda não foram confirmados pelas partes atingidas.

O maior dos dois ataques atingiu o Tectonic, maior credor do Cronos. Antes do incidente, o protocolo concentrava cerca de US$ 122 milhões em valor bloqueado, o equivalente a quase metade de todo o capital preso em DeFi naquela rede. O ponto que abriu a brecha foi o tratamento dado ao TONIC, token de governança de negociação rala, usado como colateral para sustentar novos empréstimos.

Com um mercado tão raso, compras concentradas deslocaram o preço do TONIC por volta de uma centena de vezes em vinte minutos.

O Tectonic admitia o TONIC como garantia com um fator de 20%. Cada US$ 100 reconhecidos como colateral permitiam tomar US$ 20 emprestados, e o limite crescia automaticamente conforme o preço do token subia, sem nenhuma reavaliação manual. As estimativas iniciais indicam que o colateral manipulado chegou a representar cerca de US$ 375 milhões em valor reconhecido.

Isso abriu espaço para algo entre US$ 60 milhões e US$ 75 milhões em novos empréstimos, dos quais o atacante usou uma parte para retirar stablecoins e outros ativos líquidos do protocolo.

A pausa da blockchain impediu que o grosso do valor fugisse. Apenas cerca de US$ 6 milhões conseguiram ser transferidos para a Ethereum, convertidos em pouco mais de 2,5 mil ether, antes de os validadores interromperem a produção de blocos.

O restante, entre US$ 60 milhões e US$ 68 milhões, ficou retido em carteiras ligadas ao atacante na rede parada.

O Cronos manteve o bloqueio durante a investigação e não anunciou prazo para retomada, nem informou o mecanismo de recuperação. O Tectonic orientou os usuários a não interagirem com o sistema enquanto a apuração estivesse em andamento. A Crypto.com, que desenvolveu o Cronos, afirmou que a própria exchange e o aplicativo não foram afetados e que a equipe de segurança acompanha o caso.

A mesma técnica atinge outra rede

Em 27 de agosto, um atacante manipulou o preço do token MAMO no mercado dedicado ao ativo na Moonwell, protocolo que opera na Base, rede de camada 2 controlada pela Coinbase. O preço do MAMO subiu de US$ 0,011 para o pico de US$ 0,43 em poucas horas. Ao mesmo tempo, dezenas de milhões do token foram transferidos diretamente para o contrato de colateral, o que elevou o valor representado por cada cota existente em quase quatro vezes, sem emissão de novas cotas. A operação foi montada com cerca de US$ 1,9 milhão em USDC trazidos do Ethereum dias antes.

Com o colateral superestimado, o responsável completou dezoito operações de empréstimo que somaram cerca de US$ 11 milhões em bitcoin embrulhado, ether, stablecoins e uma forma de ether remunerado.

O protocolo passou a registrar liquidações trinta e dois segundos após o último empréstimo, mas ficou com cerca de US$ 9,1 milhões de dívida residual. A Moonwell respondeu reduzindo a praticamente zero o limite de novos empréstimos em todos os mercados na Base e o teto de oferta do MAMO e do WELL. O incidente foi o terceiro do sistema em 2026, depois de uma falha de precificação do cbETH em fevereiro e de um ataque à governança em março.

O precedente que os reguladores puniram

O caso Mango Markets é o precedente mais conhecido da técnica. Em outubro de 2022, Avraham Eisenberg inflou o preço do MNGO em mais de treze vezes em trinta minutos e usou as posições supervalorizadas para sacar mais de US$ 110 milhões da plataforma que operava na Solana.

As autoridades americanas levaram o caso à Justiça no início de 2023. A CFTC classificou a operação como um esquema manipulador e enganoso, no primeiro processo de manipulação de oráculo de preço contra uma plataforma descentralizada. A SEC moveu ação paralela e o Departamento de Justiça apresentou acusações criminais, antes de Eisenberg ser preso em Porto Rico e devolver cerca de US$ 67 milhões do que havia retirado, mantendo o restante.

Três anos depois da ação regulatória, ataques do mesmo desenho continuam viáveis em protocolos que admitem ativos de baixa liquidez como garantia e calculam o limite de empréstimo a partir de um preço movimentado com pouco capital. A diferença entre 2022 e agosto está na escala. A engenharia da falha não mudou.