Cronos a cessé de produire des blocs dimanche après une exploitation de Tectonic, le plus grand protocole de prêt sur le réseau.
Un chercheur onchain a estimé la perte à environ 75 millions de dollars, avec environ 6 millions de dollars pontés avant l'arrêt.
La chaîne était toujours arrêtée lundi, a déclaré Cronos, bien que l'application et l'échange de Crypto.com ne soient pas affectés.
Cronos a désactivé l'ensemble de sa blockchain dimanche pour contenir une attaque sur le protocole de prêt DeFi Tectonic, gelant ainsi toutes les positions sur le réseau.
Tectonic permet aux utilisateurs de déposer des cryptomonnaies que d'autres empruntent contre des garanties déposées, gagnant des intérêts en retour. C'était le premier protocole de ce type à être lancé sur Cronos et reste de loin le plus grand, détenant près de la moitié de tout le capital déposé dans les applications DeFi du réseau. Le prochain plus grand prêteur sur la chaîne, Mimas Finance, détient environ 30 000 $, selon DefiLlama.
Nous avons identifié une exploitation dans Tectonic.
Le réseau Cronos a été arrêté et nous fournirons des mises à jour ici
Dans un tweet, Cronos a noté qu'il avait « identifié une exploitation » dans Tectonic, ajoutant qu'il avait arrêté le réseau Cronos et fournirait des mises à jour. Un jour plus tard, il a confirmé que la chaîne était toujours en panne, déclarant qu'il enquêtait « avec le soutien d'équipes de sécurité de toute l'industrie ».
Le chercheur onchain Weilin Li a décrit cela comme une « attaque de manipulation des prix de type pump-and-borrow à la Mango-market », une référence à l'exploitation de 100 millions de dollars de Mango Markets en octobre 2022. Le prix de TONIC a grimpé de 100 fois en 20 minutes, a-t-il dit, avant que l'attaquant n'emprunte contre lui.
La cause racine, selon le récit de Li, était simple : Tectonic a attribué à son propre jeton de gouvernance un facteur de garantie de 20 % malgré une liquidité très faible, permettant à l'attaquant de tirer un cinquième d'une valorisation que le marché n'aurait jamais pu soutenir. La liquidité de TONIC s'élève à environ 1,34 million de dollars, assez faible pour que des sommes modestes fassent fortement varier le prix. Il a estimé le butin à 66 millions de dollars, puis l'a révisé à environ 75 millions de dollars après avoir identifié une autre adresse contrôlée par l'attaquant détenant 8 millions de dollars. La société de sécurité PeckShield a atteint un chiffre similaire d'environ 74 millions de dollars.
L'attaquant n'a réussi à transférer qu'environ 6 millions de dollars vers #Ethereum avant la pause, laissant les quelque 60 millions de dollars restants bloqués sur Cronos.
Tectonic détenait environ 121,7 millions de dollars en dépôts et 82,7 millions de dollars en prêts actifs peu avant l'incident, selon DefiLlama, soit près de la moitié de tout le capital de Cronos DeFi. Lundi, cela s'était effondré à environ 3 millions de dollars, soit une chute de 97,5 % sur 30 jours. Une analyse onchain distincte estime le total sorti des pools bien plus élevé, à environ 119,5 millions de dollars, mesurant le flux brut sortant plutôt que le produit de l'attaquant.
Pourquoi la chaîne est devenue sombre
L'arrêt a fonctionné, du moins en termes de confinement. Seulement environ 6 millions de dollars du produit ont atteint Ethereum avant l'arrêt de la production de blocs, a déclaré Li, laissant environ 60 millions de dollars immobilisés sur une chaîne qui n'a pas bougé depuis.
Une partie était garée dans un pool de bourse décentralisée, ce qui, selon lui, était une tentative d'éviter la liste noire. Les données de DefiLlama sont cohérentes avec cela : la plus grande bourse décentralisée sur Cronos a gagné près de 61 millions de dollars en dépôts sur les mêmes 24 heures, tandis que les avoirs DeFi sur l'ensemble de la chaîne ont chuté de 22 %.
Cela a été possible car Cronos exécute un ensemble de validateurs plafonné à 100, suffisamment petit pour coordonner un arrêt rapide. La contrepartie est que tout le reste s'est arrêté aussi : les prêts en cours, les transactions, les paiements et les positions automatisées appartenant à des utilisateurs qui n'ont jamais touché à Tectonic.
Le PDG de Crypto.com, Kris Marszalek, a déclaré que la bourse et l'application fonctionnaient normalement et que les fonds des clients étaient en sécurité, promettant une analyse post-incident. Tectonic a dit aux déposants de ne pas interagir avec le protocole jusqu'à ce qu'il confirme que cela était sûr.
Il y a eu une faille de sécurité sur le protocole de prêt Cronos Tectonic. L'équipe de Cronos enquête, avec l'aide de l'équipe de sécurité de https://t.co/JNeHyErmqH. L'application et la bourse https://t.co/JNeHyErmqH n'ont pas été affectées et fonctionnent comme d'habitude. Tous les fonds sont en sécurité.
Li l'a qualifiée de troisième attaque de type Mango au cours des dernières semaines, après celle contre Moonwell, où la manipulation du jeton MAMO illiquide a coûté environ 8,7 millions de dollars, et une autre sur un marché Pendle reUSD qui a déclenché environ 36 millions de dollars de liquidations le 25 août.
Ce n'est pas la première faille de Tectonic. DefiLlama enregistre deux incidents antérieurs sur le protocole, tous deux classés comme des défaillances logiques du protocole : l'un en février 2024 qui a coûté 250 000 dollars, et un autre en novembre 2024. Il classe l'attaque de dimanche différemment, comme une manipulation d'oracle effectuée par manipulation du prix au comptant, et évalue la perte à 75 millions de dollars.
Ni Cronos ni Tectonic n'ont donné de calendrier de redémarrage, confirmé un chiffre définitif, ni indiqué si les déposants seront remboursés intégralement.
