Une heure et 54 minutes de blockchain effacées. Cronos, la couche 1 associée à Crypto.com, a publié le rapport post-mortem de l’attaque contre Tectonic, son protocole de prêt. Le bilan fait état de 120,4 millions de dollars empruntés grâce à un collatéral manipulé. La restauration de la chaîne a annulé 111,2 millions de dollars d’opérations, mais 9,19 millions avaient déjà quitté le réseau. Cette dernière somme reste introuvable. « Les 9,19 millions de dollars qui ont quitté Cronos avant l’arrêt n’ont pas été récupérés », précise l’équipe dans son rapport que nous allons analyser ensemble.
Points clés
Un attaquant a manipulé le cours du token TONIC pour emprunter 120,4 millions de dollars sur neuf marchés de Tectonic
Les validateurs de Cronos ont arrêté puis restauré la chaîne au dernier bloc avant l’attaque, effaçant 10 961 blocs et 1 h 54 d’historique
111,2 millions de dollars ont été rendus, mais 9,19 millions sortis du réseau ne peuvent pas être restaurés
CRO s’échangeait à 0,058 dollar, en hausse de 0,62 % sur vingt-quatre heures après l’incident
Tectonic : 120,4 millions de dollars empruntés grâce à TONIC
L’attaque commence le 30 août à 12 h 38 UTC. Après avoir déployé plusieurs contrats, son auteur fait monter le prix de TONIC sur des plateformes décentralisées où le token s’échange avec une faible liquidité.
Tectonic acceptait TONIC comme garantie pour emprunter d’autres actifs. En gonflant artificiellement sa valeur, l’attaquant a donc augmenté sa capacité d’emprunt sans apporter de richesse équivalente. À 12 h 49, une seule transaction lui a permis de retirer 120,4 millions de dollars répartis entre neuf marchés du protocole.
Les équipes ont détecté l’activité anormale environ 36 minutes plus tard. Les validateurs ont finalement interrompu la production de blocs à 14 h 32 UTC, au bloc 90 907 150, afin d’empêcher davantage de fonds de quitter Cronos.
Les validateurs ont ensuite décidé de ramener l’état du réseau au bloc 90 896 188, le dernier précédant les opérations suspectes. La production a repris au bloc suivant, après plusieurs tentatives de coordination autour d’une version corrigée du logiciel.
Cronos efface 10 961 blocs pour restaurer les fonds, mais 9 millions restent introuvables.
Ce retour en arrière a supprimé 10 961 blocs, soit une heure et 54 minutes d’historique. Toutes les transactions réalisées pendant cette période ont été annulées, y compris celles qui n’avaient aucun rapport avec l’attaque. Swaps, transferts et dépôts légitimes ont donc disparu avec les opérations de l’attaquant.
La manœuvre a restauré environ 111,2 millions de dollars, soit près de 92 % des fonds concernés. Elle soulève néanmoins une question sensible pour toute blockchain : celle de la finalité des transactions. Cronos reconnaît avoir dû arbitrer entre le caractère normalement définitif des opérations validées et la protection des fonds restés sur le réseau.
Avant l’arrêt de la chaîne, environ 9,19 millions de dollars, soit 7,6 % des fonds concernés, avaient déjà été transférés hors de Cronos. Le retour en arrière ne pouvait donc plus les atteindre. L’attaquant n’a pas été identifié et le rapport ne précise pas comment ces actifs pourraient être récupérés.
