Cronos arrête sa blockchain après un hack de 75 millions de dollars sur Tectonic

Ce qu’il faut retenir :

• Un attaquant a multiplié par cent le cours du token TONIC pour emprunter des actifs réels contre ce collatéral.
• Les validateurs de Cronos ont suspendu toute la chaîne dimanche, bloquant l’essentiel des fonds dérobés.
• Les actifs déposés sur Tectonic sont passés de 121,7 à environ 3 millions de dollars.

Cronos a arrêté l’intégralité de sa blockchain dimanche après une attaque estimée à environ 75 millions de dollars contre Tectonic, sa principale plateforme de prêt. L’assaillant a manipulé le cours d’un token peu échangé pour emprunter des actifs réels en le donnant en garantie.

Comment l’attaque a fonctionné

Tectonic permet de déposer des cryptomonnaies et d’en emprunter d’autres en contrepartie, selon le principe d’un prêt adossé à une garantie.

La faille tenait à la nature de l’un des collatéraux acceptés. Le protocole reconnaissait TONIC, son propre token, dont la liquidité atteignait environ 1,34 million de dollars pour un volume quotidien d’à peine 11 000 dollars. La documentation de la plateforme avertissait pourtant que les actifs peu liquides se prêtent à la manipulation de prix.

Le mécanisme est simple à décrire. Avec un volume aussi faible, quelques dizaines de milliers de dollars d’achats suffisent à déplacer le cours. D’après les données de la blockchain, l’attaquant a fait grimper TONIC d’environ cent fois en une vingtaine de minutes, déposé ces tokens devenus soudain bien plus précieux, puis emprunté de vrais actifs contre cette garantie artificielle.

Le facteur de collatéral appliqué au token s’établissait à 20 %, ce qui permettait d'emprunter environ 20 dollars pour 100 dollars de valeur reconnue par le protocole. Multiplier le prix par cent revenait donc à multiplier par cent la capacité d'emprunt.

L’arrêt de la chaîne, une décision lourde

Cronos fonctionne avec un maximum de 100 validateurs, un nombre assez restreint pour coordonner un arrêt en quelques minutes. C’est ce qui s’est produit dimanche, bloquant l’essentiel des fonds avant leur sortie.

Le précédent est connu. En octobre 2022, 26 validateurs de BNB Chain avaient suspendu leur réseau après l’exploitation d’un pont, récupérant près de 470 millions de dollars sur les 570 millions dérobés.

Cette efficacité a un prix, et il est double. Les fonds de tous les autres utilisateurs cessent également de circuler, et une chaîne que l’on peut éteindre sur décision d’une centaine d’acteurs voit sa neutralité relativisée. C’est précisément le compromis que ces architectures assument : la capacité d’intervention d’urgence contre la résistance à la censure.

Des dégâts déjà visibles dans les données publiques

L’effet sur la plateforme se lit dans les chiffres. Tectonic totalisait environ 121,7 millions de dollars d’actifs déposés le 26 août, d’après DefiLlama, soit près de la moitié de tous les capitaux placés dans la finance décentralisée de Cronos. Ce montant était retombé à environ 3 millions de dollars lundi.

Cronos est une blockchain lancée par Crypto.com en 2021, étroitement liée à la plateforme d’échange, qui l’utilise pour proposer des transactions moins coûteuses sur ses propres produits. Son token CRO occupe une place centrale dans la communication de l’entreprise, et la chaîne héberge un nombre limité d’applications de prêt et de négociation.

Les dernières publications de Tectonic avant dimanche remontaient à mai et juin, quand la plateforme invitait ses utilisateurs à retirer un actif et réduisait les capacités d'emprunt sur d’autres.

Le troisième incident du même type en deux semaines

Le mode opératoire se répète. La semaine dernière, la plateforme de prêt Moonwell a subi une attaque comparable, fondée sur la manipulation du prix d’un token peu échangé accepté en garantie. Base, la chaîne qui l’héberge, a continué de produire des blocs, et l’argent est parti.

Toujours la semaine dernière, un mouvement d’environ 3 % sur un marché Pendle peu profond a déclenché près de 36 millions de dollars de liquidations sur Morpho.

Un point commun relie ces trois épisodes : le collatéral. Accepter en garantie un actif dont le prix se déplace avec quelques milliers de dollars revient à indexer la solvabilité d’un protocole sur un marché que n’importe qui peut bouger.

Et maintenant ?

Ni Cronos ni Tectonic n’avaient publié de calendrier de redémarrage ni de bilan confirmé des pertes lundi matin.

Trois points structureront la suite. La reprise de la chaîne, d’abord, et le sort réservé aux transactions intervenues pendant l’attaque, qui posera la même question de retour en arrière que celle rencontrée par Harmony ce mois-ci. L’ampleur réelle des fonds sortis ensuite, l’arrêt du réseau ayant vraisemblablement immobilisé une partie du butin. Et la révision des paramètres de collatéral enfin, sur Tectonic comme sur les protocoles comparables.

Pour les utilisateurs de ces plateformes, la vérification tient en une question : quels actifs sont acceptés en garantie, et quelle est leur liquidité réelle. C’est ce chiffre, plus que le rendement affiché, qui détermine la solidité d’un marché de prêt.