RedStone a déclaré que l'exploit estimé à 75 millions de dollars de Tectonic résultait de contrôles de garantie faibles plutôt que d'un oracle inexact après que le prix rapporté de TONIC ait été multiplié par environ 100 en 20 minutes.
Marcin Kazmierczak, co-fondateur de RedStone, a déclaré à crypto.news que l'oracle avait rapporté avec précision le prix du TONIC dans le pool qu'il surveillait, mais que Tectonic aurait accepté cette lecture sans vérifier si le jeton pouvait être vendu à cette valorisation en quantité significative.
Les validateurs de Cronos ont arrêté la production de blocs le 30 août après que Tectonic a révélé un incident impliquant le protocole de prêt décentralisé. Le chercheur indépendant Weilin Li a estimé qu'environ 75 millions de dollars avaient été affectés, bien que ni Tectonic ni Cronos n'aient confirmé la perte finale.
Selon l'analyse initiale de Li, l'attaquant a fait grimper le prix du TONIC d'environ 100 fois en l'espace d'environ 20 minutes. Les jetons gonflés ont ensuite été fournis à Tectonic en tant que garantie, permettant à l'attaquant d'emprunter des actifs avec une liquidité plus établie.
Le TONIC aurait eu un facteur de garantie de 20 %, ce qui signifie que le protocole permettait aux utilisateurs d'emprunter des actifs d'une valeur allant jusqu'à un cinquième de la valeur déclarée de la garantie. Li a identifié environ 364,6 trillions de TONIC dans la position, ce qui aurait nécessité une valeur déclarée d'environ 375 millions de dollars pour soutenir un emprunt d'environ 75 millions de dollars.
Kazmierczak a rejeté l'idée que l'oracle lui-même produisait nécessairement des données incorrectes, faisant une distinction entre l'observation du prix du marché disponible et la décision de savoir si ce prix est sûr pour un protocole de prêt.
« L'oracle n'avait pas tort. Il a rapporté avec précision le prix du TONIC sur le pool qu'il lisait à ce moment-là », a-t-il déclaré.
Un jeton peu négocié peut enregistrer un prix spot élevé après un nombre limité de transactions, même lorsque le marché ne dispose pas de suffisamment d'acheteurs pour soutenir des ventes importantes au même niveau. Selon Kazmierczak, l'échec présumé de Tectonic a été d'accepter le prix manipulé comme garantie sans tester combien de TONIC pouvaient réellement être vendus avant que sa valeur ne s'effondre.
« Rapporter un prix et valider qu'un prix est sûr pour servir de garantie de prêt sont deux tâches différentes, et la conception de Tectonic les a confondues. »
L'incident initial de Tectonic a laissé la plupart des actifs identifiés sur Cronos lorsque les validateurs ont arrêté la chaîne. Li a estimé qu'environ 6 millions de dollars avaient atteint Ethereum, tandis qu'environ 60 millions de dollars restaient à une adresse Cronos. Une deuxième adresse détenant près de 8 millions de dollars a porté son estimation combinée à environ 75 millions de dollars.
Les fonds restant aux adresses identifiées ne doivent pas être considérés comme récupérés à moins que le réseau, le protocole ou les utilisateurs affectés n'en reprennent le contrôle. Cronos et Tectonic n'avaient pas confirmé l'attribution d'adresse ou les estimations d'actifs de Li lorsque l'analyse préliminaire a été publiée.
Parmi les garde-fous disponibles pour les protocoles de prêt, Kazmierczak a déclaré que les plafonds d'emprunt liés à la liquidité exécutable auraient fourni la protection la plus solide. Un tel plafond limite le montant total que les utilisateurs peuvent emprunter contre un actif, en fonction de la quantité de garantie qui pourrait être vendue de manière réaliste sans provoquer une forte baisse de prix.
« Même si le prix rapporté du TONIC est multiplié par 100, un plafond d'emprunt dimensionné à ce qui pourrait être sorti de manière réaliste sans effondrer le marché limite les dommages, quelle que soit l'information du flux de prix », a-t-il déclaré.
Des facteurs de garantie dynamiques, des limites d'impact sur les prix et des exigences de profondeur de marché minimale auraient également pu réduire l'exposition de Tectonic, selon Kazmierczak. Cependant, il a soutenu qu'un plafond d'emprunt correctement défini peut contenir les pertes même lorsqu'un autre paramètre de risque échoue.
Tectonic manquait apparemment de ces protections, a-t-il dit, permettant à un jeton à liquidité limitée de soutenir l'emprunt sur la base d'une valorisation temporairement gonflée. Ni Tectonic ni Cronos n'ont publié d'analyse post-mortem technique confirmant quels contrôles étaient actifs au moment de l'incident.
Kazmierczak a également mis en garde contre le fait de considérer une fenêtre de prix moyen pondéré dans le temps (TWAP) plus longue comme une solution complète. Un TWAP calcule un prix moyen sur une période définie, rendant les mouvements de marché brefs moins influents qu'ils ne le seraient avec un flux de prix spot.
Bien que des fenêtres plus longues puissent filtrer les changements de prix de courte durée, Kazmierczak a déclaré que les protocoles doivent les définir en fonction de la liquidité et de l'historique de trading de chaque actif. Selon son évaluation, une augmentation de 100 fois en 20 minutes aurait dû soulever des questions sur l'éligibilité du TONIC en tant que garantie plutôt que de déclencher un débat sur la période de calcul moyenne idéale.
« Une fluctuation comme celle du TONIC, multipliée par 100 en 20 minutes, n'est pas un événement de volatilité qu'une fenêtre TWAP plus large lisserait. C'est un signal que l'actif n'aurait jamais dû être utilisable comme garantie à une taille significative. »
L'attaque signalée de Tectonic a fait suite à un exploit de 8,7 millions de dollars contre Moonwell sur Base le 27 août. Des sociétés de sécurité ont déclaré que l'attaquant de Moonwell avait manipulé la valeur de la garantie du jeton MAMO, relativement illiquide, avant d'emprunter des cbBTC sur le marché mBTC du protocole.
Suite à l'incident, Moonwell a abaissé les plafonds d'emprunt sur l'ensemble de ses Base Core Markets à 1 wei, empêchant ainsi de nouveaux prêts. Il a également réduit les plafonds d'approvisionnement pour MAMO et WELL à 1 wei pendant l'enquête sur les transactions.
Kazmierczak a comparé Tectonic à Mango Markets et Moola Market, deux protocoles ciblés par des variations de prix de garantie gonflés en octobre 2022. Mango Markets a perdu plus de 100 millions de dollars après qu'Avraham Eisenberg a augmenté la valeur des positions liées au jeton MNGO, peu négocié, et a emprunté d'autres actifs contre celles-ci.
L'affaire Mango fournit également un exemple juridique américain de la difficulté d'appliquer les lois existantes sur la fraude et les matières premières aux systèmes de prêt automatisés. Un jury de Manhattan a condamné Eisenberg en 2024 pour fraude sur les matières premières, manipulation des matières premières et fraude électronique, mais un juge fédéral a annulé les condamnations en mai 2025 en raison de problèmes de compétence et de preuves insuffisantes pour le chef d'accusation de fraude électronique.
Selon Kazmierczak, les protocoles s'exposent à de telles attaques de manière répétée car l'inscription d'un jeton de gouvernance natif comme garantie peut augmenter son utilisation et aider à attirer des dépôts. Le coût des paramètres faibles peut rester caché jusqu'à ce que quelqu'un teste la réaction du marché des prêts à un prix de jeton manipulé.
Il a attribué la responsabilité principale aux curateurs de risques et autres fournisseurs de services chargés de définir et de maintenir les paramètres de garantie, travaillant aux côtés des développeurs de protocole et des fournisseurs d'oracles. Les participants à la gouvernance peuvent approuver l'inscription d'un actif, a déclaré Kazmierczak, mais de nombreux votants manquent des connaissances sur la structure du marché nécessaires pour évaluer les risques de liquidité et d'impact sur les prix.
Cronos a depuis redémarré ses opérations réseau après que les validateurs ont restauré la blockchain à un point antérieur à l'incident de Tectonic. Le réseau a décrit l'arrêt comme une action d'urgence convenue par consensus des validateurs pour protéger les utilisateurs.
La restauration de l'état précédent de la chaîne a supprimé les transactions enregistrées après le point de retour en arrière choisi de la version redémarrée de Cronos. Le PDG de Crypto.com, Kris Marszalek, a déclaré que l'application et l'échange centralisés de l'entreprise ont continué à fonctionner pendant l'arrêt et que les fonds détenus via ces services n'ont pas été affectés.
Tectonic avait demandé aux utilisateurs de ne pas interagir avec le protocole de prêt pendant que son équipe enquêtait sur l'incident. Cronos n'a pas publié le processus technique utilisé par les validateurs pour sélectionner et approuver l'état restauré, tandis que le post-mortem promis devrait aborder l'attaque, l'arrêt d'urgence et le redémarrage ultérieur.
TONIC
