Que s'est-il passé ?
Le protocole DeFi Tectonic, une application de prêt de l'écosystème Cronos, a été la cible d'une attaque. Selon CoinDesk et Cointelegraph, il s'agit d'un exploit d'un montant estimé à 75 millions de dollars. Le média polonais Incrypted avance un chiffre inférieur, environ 66 millions de dollars. Le montant final exact n'est donc pas encore confirmé de manière uniforme.
La réaction a été drastique : les validateurs du réseau Cronos ont suspendu toute la blockchain. Selon Decrypt, le réseau ne produisait toujours pas de nouveaux blocs au moment de la publication.
La DeFi (finance décentralisée) désigne les applications financières qui fonctionnent sur une blockchain sans intermédiaire central. Tectonic en est une et permet aux utilisateurs de prêter et d'emprunter des actifs.
Comment l'attaque s'est-elle déroulée selon les analyses disponibles ?
Toutes les sources s'accordent sur le mécanisme de l'attaque. Il s'agissait d'une manipulation du prix du token natif TONIC, peu échangé (c'est-à-dire à faible liquidité, où même un volume modeste peut faire bouger le prix de façon significative).
Selon CoinDesk, l'attaquant a fait grimper le prix de TONIC d'environ 100 fois. Incrypted, qui s'appuie sur l'évaluation initiale du chercheur Weilin (William) Li, précise que cette hausse s'est produite en environ 20 minutes. L'attaquant a ensuite utilisé le token artificiellement gonflé comme garantie (collatéral) pour emprunter des actifs réels et plus précieux.
En d'autres termes : un token échangé pour une valeur négligeable a paru un instant coûteux, ce qui a permis d'emprunter de l'argent réel en le mettant en garantie.
Combien de fonds ont été détournés et où sont-ils maintenant ?
Voici un détail clé décrit par Decrypt et Incrypted. L'attaquant a réussi à déplacer une partie des fonds volés, le reste est resté bloqué sur le réseau suspendu.
| Élément | État selon les sources |
|---|---|
| Fonds transférés vers Ethereum | environ 6 millions USD (Decrypt, Incrypted) |
| Fonds bloqués sur le réseau Cronos | estimé à 60 millions USD (Incrypted) |
| Estimation totale des dégâts | 66 M USD (Incrypted) / 75 M USD (CoinDesk, Cointelegraph, Decrypt) |
Comme Cronos a cessé de produire des blocs, la partie restante du butin est restée bloquée sur le réseau selon les informations disponibles.
Comment Crypto.com a-t-il réagi ?
Cronos est une blockchain liée à Crypto.com. Selon Cointelegraph, le directeur général de Crypto.com, Kris Marszalek, a déclaré que l'application et la plateforme d'échange de l'entreprise n'ont pas été touchées par l'incident et ont continué de fonctionner normalement.
Il est important de distinguer deux choses : c'est le protocole Tectonic sur le réseau Cronos qui a été attaqué, et non directement les produits Crypto.com. La suspension de toute la blockchain constitue néanmoins une intervention extrêmement forte dans la décentralisation du réseau.
Ce qui n'est pas encore connu ?
- Le montant définitif des dégâts. Les sources divergent entre 66 et 75 millions de dollars.
- Quand exactement le réseau Cronos sera relancé et dans quel état.
- Si et comment les pertes seront compensées aux utilisateurs touchés.
- L'identité de l'attaquant et le sort des fonds transférés sur Ethereum.
À quoi faire attention pour ce type d'incident
Ce n'est pas un conseil sur ce qu'il faut faire de son argent, juste la description d'un schéma qui se répète dans la DeFi. La manipulation du prix d'un token peu échangé utilisé comme garantie est un scénario récurrent. De même, la capacité du réseau à arrêter toute la chaîne est une question essentielle : cela protège certes contre une nouvelle fuite de fonds, mais montre aussi un degré de centralisation auquel les utilisateurs ne s'attendent souvent pas. Nous suivrons l'évolution de la situation et la compléterons dès que des informations vérifiées seront disponibles sur le redémarrage du réseau et le montant final des dégâts.