Le réseau Cronos à l’arrêt après un exploit sur le protocole Tectonic

Cronos à l’arrêt. Le réseau a suspendu la production de blocs dimanche 30 août après la détection d’un exploit visant Tectonic, son principal protocole de prêt décentralisé. La majorité des fonds identifiés se trouverait toujours sur Cronos, mais les équipes n’ont encore confirmé ni le montant exact des pertes, ni la cause définitive de l’incident, ni la date de redémarrage du réseau.

Le prix du TONIC multiplié par 100

Selon le chercheur en sécurité Weilin Li, l’attaquant aurait profité de la faible liquidité du TONIC, le jeton de gouvernance de Tectonic, pour multiplier artificiellement son prix par environ 100 en une vingtaine de minutes.

Les jetons surévalués auraient ensuite été déposés comme garantie sur le protocole. Avec un facteur de collatéral fixé à 20 %, une position affichant artificiellement 100 dollars de valeur permettait d’emprunter jusqu’à 20 dollars d’autres actifs. L’attaquant aurait ainsi retiré des stablecoins, du WBTC, du WETH et du CRO avant que le prix du TONIC ne retombe.

Ce mécanisme rappelle l’attaque subie par Mango Markets en 2022 : manipuler le prix d’un actif peu liquide, utiliser sa valorisation gonflée comme garantie, puis emprunter des actifs réellement liquides.

Les premières analyses on-chain évaluaient les fonds concernés à environ 66 millions de dollars. La découverte d’une deuxième adresse contrôlée par l’attaquant a ensuite porté l’estimation la plus citée autour de 74 à 75 millions. D’autres calculs évoquent jusqu’à 115 ou 120 millions de dollars sortis des pools, mais Tectonic n’a encore validé aucun chiffre.

Avant l’incident, le protocole représentait environ 121 à 122 millions de dollars de valeur verrouillée, soit près de 46 % de toute la DeFi sur Cronos. Sa TVL est tombée autour de 3 millions de dollars lundi, selon les données de DeFiLlama.

Environ 6 millions transférés vers Ethereum

Cronos a interrompu son réseau peu après la découverte de l’attaque. Cette décision a stoppé toutes les transactions, empêchant notamment l’attaquant de déplacer immédiatement les actifs encore présents sur la blockchain.

Selon les analyses disponibles, environ 6 millions de dollars avaient déjà été transférés vers Ethereum avant l’arrêt. Entre 60 et 68 millions resteraient sur des adresses identifiées au sein de Cronos. Ces fonds sont actuellement immobilisés par l’arrêt du réseau, mais cela ne signifie pas qu’ils sont définitivement récupérés.

Les validateurs n’ont pas annoncé s’ils comptaient bloquer les adresses concernées, modifier l’état de la blockchain ou redémarrer sans intervention sur les fonds. Aucune décision concernant une éventuelle indemnisation des utilisateurs n’a également été communiquée.

Dans une mise à jour publiée lundi matin, Cronos indiquait être toujours à l’arrêt et poursuivre son enquête avec plusieurs équipes de sécurité du secteur. Tectonic demande de son côté aux utilisateurs de ne pas interagir avec le protocole jusqu’à nouvel ordre.

Kris Marszalek, directeur général de Crypto.com, a précisé que l’application et la plateforme d’échange de l’entreprise fonctionnaient normalement. Selon lui, les fonds conservés par Crypto.com ne sont pas affectés, même si son équipe de sécurité participe à l’enquête.