Cronos a désactivé l'intégralité de sa blockchain dimanche pour contenir une attaque contre le protocole de prêt DeFi Tectonic, gelant ainsi toutes les positions sur le réseau.

Tectonic permet aux utilisateurs de déposer des cryptomonnaies pour que d'autres puissent emprunter contre une garantie affichée, générant des intérêts en retour. Ce fut le premier protocole de ce type à être lancé sur Cronos et il reste de loin le plus important, détenant près de la moitié de tout le capital déposé sur les applications DeFi du réseau. Le deuxième plus grand prêteur de la chaîne, Mimas Finance, détient environ 30 000 $, selon DefiLlama.

Dans un tweet, Cronos a noté avoir « identifié un exploit » dans Tectonic, ajoutant qu'il avait mis le réseau Cronos à l'arrêt et qu'il fournirait des mises à jour. Un jour plus tard, il a confirmé que la chaîne était toujours hors service, déclarant qu'elle menait une enquête « avec le soutien d'équipes de sécurité de toute l'industrie ».

Le chercheur on-chain Weilin Li a décrit cela comme une « attaque de manipulation de prix de type pump-and-borrow à la Mango Markets », en référence à l'exploit de 100 millions de dollars de Mango Markets en octobre 2022. Le prix de TONIC a été multiplié par 100 en 20 minutes, a-t-il dit, avant que l'attaquant n'emprunte contre lui.

La cause première, selon Li, était simple : Tectonic a attribué à son propre jeton de gouvernance un facteur de garantie de 20 % malgré une liquidité très faible, permettant à l'attaquant de retirer un cinquième d'une valorisation que le marché n'aurait jamais pu soutenir. La liquidité de TONIC s'élève à environ 1,34 million de dollars, une somme suffisamment petite pour que des montants modestes fassent fortement varier le prix. Il a estimé le butin à 66 millions de dollars, puis l'a révisé à environ 75 millions de dollars après avoir identifié une autre adresse contrôlée par l'attaquant détenant 8 millions de dollars. La firme de sécurité PeckShield est arrivée à un chiffre similaire d'environ 74 millions de dollars.

Tectonic détenait environ 121,7 millions de dollars en dépôts et 82,7 millions de dollars en prêts actifs peu avant l'incident, selon DefiLlama, soit près de la moitié de tout le capital du Cronos DeFi. Lundi, ce chiffre était tombé à environ 3 millions de dollars, soit une baisse de 97,5 % sur 30 jours. Une analyse on-chain distincte estime le total retiré des pools beaucoup plus élevé, à environ 119,5 millions de dollars, mesurant le flux sortant brut au lieu des gains de l'attaquant.

Pourquoi la chaîne s'est arrêtée

L'arrêt a fonctionné, du moins en termes de confinement. Seuls environ 6 millions de dollars des gains ont atteint Ethereum avant que la production de blocs ne s'arrête, a déclaré Li, laissant environ 60 millions de dollars immobilisés sur une chaîne qui n'a pas bougé depuis.

Une partie a été placée dans un pool d'échange décentralisé, ce qu'il a suggéré être une tentative d'éviter la mise sur liste noire. Les données de DefiLlama sont cohérentes avec cela : le plus grand échange décentralisé sur Cronos a gagné près de 61 millions de dollars en dépôts au cours des mêmes 24 heures, tandis que les avoirs DeFi sur l'ensemble de la chaîne ont chuté de 22 %.

Cela a été possible car Cronos gère un ensemble de validateurs plafonné à 100, suffisamment petit pour coordonner un arrêt rapide. L'inconvénient est que tout le reste s'est également arrêté : les prêts ouverts, les transactions, les paiements et les positions automatisées appartenant à des utilisateurs qui n'ont jamais touché à Tectonic.

Le PDG de Crypto.com, Kris Marszalek, a déclaré que l'échange et l'application fonctionnaient normalement et que les fonds des clients étaient en sécurité, promettant une analyse post-mortem. Tectonic a demandé aux déposants de ne pas interagir avec le protocole tant qu'il n'avait pas confirmé que cela était sûr.

Li a qualifié cela de troisième attaque de type Mango au cours des dernières semaines, après une attaque sur Moonwell, où la manipulation du jeton MAMO illiquide a coûté environ 8,7 millions de dollars, et une autre sur un marché Pendle reUSD qui a déclenché environ 36 millions de dollars de liquidations le 25 août.

Ce n'est pas la première brèche de Tectonic. DefiLlama enregistre deux incidents antérieurs sur le protocole, tous deux classés comme des échecs de logique de protocole : l'un en février 2024 qui a coûté 250 000 dollars, et un autre en novembre 2024. Il classe l'attaque de dimanche différemment, comme une manipulation d'oracle réalisée par manipulation du prix spot, et estime la perte à 75 millions de dollars.

Ni Cronos ni Tectonic n'ont donné de calendrier de redémarrage, confirmé un chiffre final, ou précisé si les déposants seraient intégralement remboursés.