Cronos a interrompu la production de blocs le 30 août après avoir détecté une exploitation impliquant Tectonic, un protocole de prêt décentralisé fonctionnant sur la blockchain.
Résumé
- Les validateurs de Cronos ont interrompu la production de blocs après que Tectonic a révélé une exploitation affectant son protocole de prêt décentralisé.
- Les chercheurs estiment qu'environ 75 millions de dollars ont été affectés, mais Tectonic n'a pas encore confirmé publiquement les pertes totales.
- Environ 6 millions de dollars ont atteint Ethereum avant l'arrêt, selon l'analyse d'adresses en ligne du chercheur Weilin Li.
- Crypto.com a déclaré que son application centralisée et son échange sont restés opérationnels, les fonds des clients y étant restés non affectés tout au long.
- Cronos et Tectonic n'ont pas annoncé de calendrier de redémarrage, de plan de récupération ou de cadre d'indemnisation des utilisateurs.
Le chercheur indépendant Weilin Li a estimé qu'environ 75 millions de dollars ont été affectés. Cependant, ni Cronos ni Tectonic n'avaient confirmé la cause ou la perte totale au 31 août.
La plupart des actifs identifiés semblaient rester sur Cronos après que les validateurs ont arrêté le réseau. Aucun moment de redémarrage, plan de récupération ou cadre d'indemnisation n'avait été annoncé.
L'exploitation de Tectonic aurait utilisé une garantie TONIC gonflée
Li a attribué l'incident au traitement de TONIC, le jeton de gouvernance de Tectonic, comme garantie. TONIC aurait eu un facteur de garantie de 20 % malgré une liquidité de marché limitée.
Selon son analyse initiale, l'attaquant a augmenté le prix de marché de TONIC d'environ 100 fois en environ 20 minutes. L'attaquant a ensuite fourni les jetons gonflés comme garantie et a emprunté d'autres actifs à Tectonic.
Li a décrit l'incident comme une attaque de type "pompage et emprunt" à la Mango Markets. Cette caractérisation reste une évaluation indépendante car Tectonic n'a pas publié son propre rapport technique post-incident.
Le schéma rapporté ressemble à des attaques antérieures où une garantie peu négociée se voyait attribuer une valorisation gonflée. Comme l'a rapporté crypto.news, une attaque similaire sur le prix de la garantie a drainé Moonwell d'environ 8,7 millions de dollars peu avant l'incident de Tectonic.
L'arrêt de Cronos a gardé la plupart des fonds identifiés sur la chaîne
Li a initialement placé les actifs affectés à environ 66 millions de dollars. Il a déclaré qu'environ 6 millions de dollars ont été transférés vers Ethereum avant que les validateurs de Cronos n'arrêtent la production de blocs, tandis qu'environ 60 millions de dollars restaient à une adresse Cronos.
Le chercheur a ensuite identifié une autre adresse détenant environ 8 millions de dollars, portant son estimation combinée à environ 75 millions de dollars. Ces chiffres restent des estimations basées sur l'attribution d'adresses et les valorisations des jetons.
Le fait que les actifs restent sur Cronos ne signifie pas qu'ils ont été récupérés. Un redémarrage du réseau pourrait permettre à l'attaquant de reprendre le mouvement des fonds à moins que les validateurs, les développeurs du protocole ou d'autres participants n'introduisent des restrictions.
Cronos et Tectonic n'ont pas dit s'ils avaient l'intention de geler les adresses identifiées, d'annuler les transactions ou de négocier avec l'attaquant. Toute intervention pourrait également soulever des questions sur la gouvernance du réseau et la finalité des transactions.
Crypto.com affirme que son échange n'a pas été affecté
Le PDG de Crypto.com, Kris Marszalek, a déclaré que l'application de l'entreprise et l'échange centralisé continuaient de fonctionner normalement. "Tous les fonds sont en sécurité", a-t-il écrit, en référence aux actifs détenus via ces services Crypto.com.
Cette déclaration ne couvre pas les fonds déposés directement sur Tectonic. Crypto.com et Cronos sont étroitement associés, mais Tectonic fonctionne comme une application de prêt décentralisée distincte sur le réseau.
Marszalek a déclaré que l'équipe de sécurité de Crypto.com assistait à l'enquête. Il a également promis une autopsie complète, bien qu'aucune date de publication n'ait été fournie.
L'incident illustre la différence entre les soldes des échanges centralisés, les actifs détenus sur la blockchain et les fonds déposés dans les contrats DeFi. Une défaillance affectant une couche ne compromet pas nécessairement tous les services connectés au même écosystème.
Le redémarrage de Cronos dépend du confinement et de la comptabilité
Cronos doit déterminer si les adresses identifiées peuvent déplacer les fonds en toute sécurité avant de reprendre la production de blocs. Les validateurs devront également évaluer si l'attaquant a laissé des créances irrécouvrables sur les marchés de prêt de Tectonic.
Tectonic a séparément averti les utilisateurs de ne pas interagir avec le protocole jusqu'à ce qu'il confirme que cela est sûr. Les dépôts, remboursements, liquidations et retraits restent affectés pendant que la blockchain est arrêtée.
Un examen technique doit établir comment Tectonic a évalué la garantie TONIC et si sa source de prix incluait des protections suffisantes contre la manipulation. Crypto.news a précédemment expliqué comment des oracles faibles peuvent exposer les protocoles de prêt à des prix de garantie manipulés.
L'incident ressemble également à la manipulation de Mango Markets, où une garantie gonflée de jetons de gouvernance soutenait des prêts contre des actifs plus liquides.
Les prochaines mises à jour confirmées devraient aborder le redémarrage du réseau, le total final des actifs, les créances irrécouvrables de Tectonic et le traitement possible des déposants affectés. Aucun mouvement de marché vérifié sur CRO ou TONIC n'a été inclus car une réaction de prix fiable spécifique à l'événement n'avait pas été établie.
