Chronos et Tektonik : une cyberattaque de 75 millions de dollars provoque une interruption totale de la blockchain

Le réseau blockchain Cronos, exploité par Crypto.com, a immédiatement interrompu la production de blocs sur l'ensemble de la chaîne suite à une attaque sur le protocole de prêt DeFi Tectonic, survenue dimanche. Tectonic était le premier protocole de prêt DeFi sur le réseau Cronos, et le service le plus important, représentant près de la moitié des dépôts DeFi sur l'ensemble de la chaîne. Avant l'incident, les dépôts de Tectonic s'élevaient à environ 121,7 millions de dollars, et les prêts actifs à environ 82,7 millions de dollars. La domination de Tectonic était écrasante, alors que les dépôts du deuxième protocole de prêt, Mimas Finance, ne représentaient qu'environ 30 000 dollars. La méthode d'attaque était identique à celle utilisée lors de l'incident de Mango Markets en octobre 2022, impliquant une manipulation des prix et des prêts. Selon Wei Lin, chercheur en blockchain, l'attaquant a fait grimper le prix du jeton de gouvernance TONIC, qui avait une liquidité d'environ 1,34 million de dollars, de 100 fois en seulement 20 minutes, puis a retiré une grande quantité de fonds en se basant sur la valeur des garanties gonflée. La cause fondamentale était que Tectonic appliquait un ratio de garantie de 20 % à son propre jeton de gouvernance, qui avait une liquidité extrêmement faible. Cela équivalait à accepter une fraction de la valeur réelle que le marché pouvait supporter comme garantie. Le montant initial des pertes était estimé à 66 millions de dollars, mais il a été revu à environ 75 millions de dollars après la confirmation de 8 millions de dollars supplémentaires provenant d'adresses contrôlées par l'attaquant. La société de sécurité PeckShield a également indiqué un chiffre similaire, d'environ 74 millions de dollars. Une analyse en chaîne distincte a estimé le montant total des fonds sortis du pool à environ 119,5 millions de dollars. L'équipe de Cronos a pu interrompre rapidement la chaîne car le réseau fonctionnait avec un ensemble limité de 100 validateurs. Grâce à cela, les dommages ont pu être en partie contenus, mais environ 6 millions de dollars ont été transférés vers Ethereum via un pont avant l'arrêt de la chaîne, et les 60 millions de dollars restants sont bloqués sur la chaîne Cronos. Une partie des fonds a été analysée comme étant déposée dans des pools d'échanges décentralisés afin d'éviter d'être placés sur une liste noire, et pendant cette période, environ 61 millions de dollars ont afflué vers la plus grande bourse décentralisée de Cronos en 24 heures. L'arrêt de la chaîne a également interrompu tous les prêts, les transactions et les positions automatisées des utilisateurs ordinaires, qui n'étaient pas liés à Tectonic. Le PDG de Crypto.com, Kris Marszalek, a déclaré que la bourse et l'application fonctionnaient normalement et que les fonds des clients étaient en sécurité, promettant un rapport d'analyse post-incident. Tectonic a exhorté les déposants à ne pas interagir avec le protocole jusqu'à ce que sa sécurité soit confirmée. Il convient de noter que cet incident n'est pas le premier problème de sécurité rencontré par Tectonic, qui a déjà connu des erreurs de logique de protocole en février 2024 (250 000 dollars) et en novembre 2024. Ni Cronos ni Tectonic n'ont encore communiqué officiellement sur le calendrier de redémarrage de la chaîne, le montant final des pertes, ni sur la possibilité d'une compensation pour les déposants.