Cronos revient sur 10 000 blocs après un piratage de 75 millions de dollars

Cronos a pris une mesure exceptionnelle après une attaque majeure contre la plateforme de prêt Tectonic. Les validateurs ont temporairement arrêté le réseau et annulé plus de 10 000 blocs. L’opération a permis d’empêcher que l’essentiel des fonds dérobés ne disparaisse définitivement.

L’intervention aurait permis de protéger 69 millions de dollars, mais elle suscite aussi le débat. Car si des milliers de transactions déjà confirmées peuvent être effacées a posteriori, jusqu’où une blockchain est-elle réellement immuable ?

Un attaquant exploite le cours du TONIC

L’attaque a eu lieu le 30 août et visait TONIC, le jeton natif de Tectonic. Les utilisateurs pouvaient l’utiliser comme garantie pour emprunter d’autres actifs numériques.

L’attaquant aurait acheté pour environ 600 000 dollars de TONIC sur des marchés peu liquides. Il a ainsi pu faire monter le cours relativement facilement. En une vingtaine de minutes, TONIC aurait vu sa valeur multipliée par cent.

Il a ensuite déposé 364 600 milliards de TONIC en garantie sur Tectonic. Sur la base de ce prix artificiellement élevé, cette position valait sur le papier environ 375 millions de dollars. Cela lui a permis d’emprunter puis de retirer environ 75 millions de dollars dans d’autres actifs numériques.

En réalité, ces jetons TONIC étaient loin de valoir 375 millions de dollars. Si l’attaquant avait tenté de les vendre massivement, le cours se serait probablement rapidement effondré faute d’acheteurs.

Selon Marcin Kazmierczak, cofondateur de RedStone, c’est là que se situait la principale faille. Le système prenait bien en compte le cours instantané du TONIC, mais pas suffisamment la quantité de jetons qui pouvait réellement être vendue à ce prix.

Cronos parvient à sauver environ 69 millions de dollars

Après l’attaque, les validateurs de Cronos ont réagi de manière radicale. Ils ont d’abord interrompu le réseau, avant de ramener la blockchain à un état antérieur à l’attaque. Plus de 10 000 blocs ont ainsi disparu de l’historique officiel.

Environ 6 millions de dollars avaient déjà été transférés vers Ethereum (ETH) et échappaient donc à Cronos. Les quelque 69 millions de dollars restants se trouvaient encore sur le réseau et ont pu être protégés grâce à cette intervention.

Les conséquences pour Tectonic ont été considérables. Avant l’attaque, les encours de la plateforme s’élevaient à environ 121,7 millions de dollars. Quarante-huit heures plus tard, il n’en restait plus qu’environ 3 millions.

L’intervention de Cronos relance le débat

Cette opération de sauvetage a un coût. En revenant en arrière de plusieurs milliers de blocs, Cronos n’a pas seulement effacé les transactions de l’attaquant. Des transactions ordinaires d’utilisateurs effectuées sur la même période ont également été retirées de son historique.

Cela touche à un principe central de la blockchain : une transaction confirmée ne devrait, en principe, pas pouvoir être modifiée a posteriori aussi simplement.

Cronos présente cette décision comme une mesure d’urgence approuvée collectivement par les validateurs. Un rapport technique plus détaillé doit encore être publié.

La situation rappelle le piratage de The DAO sur Ethereum en 2016. À l’époque déjà, l’historique de la blockchain avait été modifié afin d’annuler les effets d’une attaque d’envergure. Cronos a cette fois réussi à protéger environ 69 millions de dollars, mais a aussi rouvert le débat sur le degré réel de décentralisation et d’immuabilité de son réseau.