Exploit tectonique : Cronos arrête la production de blocs

Cronos a complètement arrêté la production de blocs le 30 août après la découverte d'un exploit sur la plateforme de prêt décentralisée Tectonic. Weilin Li, analyste indépendant de la blockchain, estime le montant concerné à environ 75 millions de dollars – une estimation et non un chiffre confirmé. Ni Cronos ni Tectonic n'avaient confirmé publiquement la cause ou la totalité des dégâts au 31 août, et une grande partie des fonds identifiés semblent rester bloqués sur la chaîne Cronos.

TONIC comme sécurité : comment l'attaque présumée a eu lieu

Selon l'analyse de Li, la cause réside dans la gestion de TONIC, le jeton de gouvernance de Tectonic. Le jeton a donc été accepté avec un facteur de garantie de 20 %, même si sa liquidité de marché était extrêmement mince. Selon Li, l'attaquant aurait multiplié par cent le prix du TONIC en 20 minutes environ, puis aurait déposé les jetons artificiellement gonflés comme garantie afin d'emprunter d'autres actifs du protocole.

Li attribue cette tendance à une attaque de type « pump and Borrow » de type « Mango Market » – une évaluation qui doit être considérée comme une analyse indépendante puisque Tectonic lui-même n'a pas encore publié de rapport technique. Li avait initialement estimé les dégâts à environ 66 millions de dollars : environ 6 millions de dollars auraient été versés à Ethereum avant la fermeture du réseau, tandis qu'environ 60 millions de dollars seraient restés sur une adresse Cronos. Une deuxième adresse identifiée plus tard avec environ 8 millions de dollars supplémentaires a porté son estimation totale à environ 75 millions de dollars. Tous les chiffres sont basés sur le mappage d'adresses et l'évaluation des jetons et sont donc préliminaires : le fait que les fonds restent sur Cronos ne signifie pas qu'ils ont déjà été sécurisés.

Des constellations similaires de garanties peu négociées mais surévaluées ont déjà frappé d'autres protocoles DeFi, tels que l'exploit Moonwell estimé à 8,7 millions de dollars peu avant l'incident tectonique, ainsi que le cas historique de Mango Markets, dans lequel des garanties symboliques de gouvernance gonflées ont permis des prêts contre des actifs plus liquides. Le cas des coffres à termes après un exploit de gouvernance montre également avec quelle rapidité un protocole peut prendre des contre-mesures après une attaque.

Tectonic est une application DeFi exploitée de manière indépendante malgré ses liens étroits avec Cronos et Crypto.com. Kris Marszalek, PDG de Crypto.com, a déclaré que l'application et l'échange central de la société continuaient de fonctionner normalement et que tous les fonds qui y étaient détenus étaient en sécurité. Toutefois, selon la source, cette déclaration ne fait expressément pas référence aux fonds déposés directement dans Tectonic.

L'incident met en évidence une différence que de nombreux utilisateurs brouillent dans la vie quotidienne : les soldes sur une bourse centrale, les actifs détenus en chaîne et les dépôts déposés dans les contrats DeFi sont des niveaux juridiquement et techniquement distincts. Une panne à un niveau ne compromet pas automatiquement les autres services connectés au même écosystème – un schéma qui a également été observé lors d'arrêts de réseau précédents, comme celui de MANTRA suite à une attaque logicielle.

Redémarrage incertain : ce qui reste à voir

Un calendrier de redémarrage, un plan de reprise ou encore un cadre d'indemnisation pour les utilisateurs concernés n'ont pas encore été communiqués. Cronos doit d'abord préciser si les adresses identifiées peuvent déplacer des fonds avant de reprendre la production en bloc.

• Créances irrécouvrables : Les validateurs et Tectonic doivent vérifier si l'attaquant a laissé des défauts de paiement ouverts sur les marchés des prêts.
• Avertissement utilisateur : Tectonic a averti les utilisateurs de ne pas interagir avec le protocole tant que la sécurité n'est pas confirmée – les dépôts, remboursements, liquidations et retraits resteront bloqués pendant l'arrêt.
• Problèmes de gouvernance : Il n'est pas clair si les adresses sont gelées, les transactions sont annulées ou si des négociations ont lieu avec l'attaquant : toute intervention soulèverait des questions sur le caractère définitif des transactions sur la chaîne.

Comme le rapporte BeInCrypto, Tectonic détenait environ 46 % de la valeur totale DeFi sur Cronos jusqu'à l'incident – ​​un poids qui souligne l'impact de la panne sur l'écosystème. Les prochaines mises à jour robustes porteront probablement sur le redémarrage de la chaîne, le montant final des dommages, les créances douteuses restantes et la manière de traiter avec les déposants concernés ; D’ici là, tous les chiffres mentionnés restent des estimations préliminaires émanant d’analystes individuels en chaîne.