Cronos suspend toute sa blockchain après un piratage à 75 millions de dollars

Cronos a mis à l’arrêt dimanche l’intégralité de sa blockchain après une attaque majeure visant Tectonic, la principale plateforme de prêt du réseau. L’assaillant a manipulé le prix d’une petite cryptomonnaie, puis utilisé cette valorisation artificiellement élevée comme garantie afin d’emprunter pour environ 75 millions de dollars d’autres cryptoactifs.

Les conséquences sont lourdes. Quelques jours avant l’attaque, plus de 121 millions de dollars en cryptoactifs étaient encore immobilisés sur Tectonic. Lundi matin, ce montant était tombé à environ 3 millions de dollars. Cronos, lancé en 2021 par Crypto.com, a alors décidé de suspendre l’ensemble du réseau.

L’assaillant fait artificiellement bondir le cours du TONIC

L’attaque s’est concentrée sur TONIC, le jeton natif de Tectonic. Les utilisateurs pouvaient déposer cette cryptomonnaie en garantie, puis emprunter d’autres actifs numériques en contrepartie.

C’est là que résidait un risque majeur. TONIC était très peu échangé, avec environ 1,34 million de dollars de liquidité et un volume quotidien de seulement 11 000 dollars. Son prix était donc relativement facile à influencer.

L’assaillant en a tiré parti. Les données de la blockchain montrent que le cours du TONIC a été multiplié par cent en une vingtaine de minutes. Les jetons, soudainement beaucoup plus valorisés, ont ensuite été déposés comme garantie sur Tectonic.

Tectonic autorisait les utilisateurs à emprunter l’équivalent de 20 % de la valeur de leurs TONIC. Grâce à ce cours artificiellement gonflé, l’assaillant a pu retirer bien davantage d’autres cryptomonnaies qu’il n’aurait normalement été possible.

Lorsque le cours du TONIC s’est ensuite effondré, la garantie ne valait plus grand-chose. Les autres cryptomonnaies avaient déjà été retirées de la plateforme.

Tectonic voit presque tous ses fonds disparaître

Les chiffres de DeFiLlama illustrent l’ampleur des dégâts. Le 26 août, environ 121,7 millions de dollars d’actifs étaient immobilisés sur Tectonic. Cela représentait alors près de la moitié de l’ensemble des fonds présents dans les applications DeFi de Cronos.

Lundi matin, ce montant était retombé à environ 3 millions de dollars. Le butin de l’assaillant est estimé à près de 75 millions de dollars, mais Cronos et Tectonic n’ont pas encore confirmé le montant définitif des pertes.

Dans sa propre documentation, Tectonic avertissait déjà que les cryptomonnaies peu liquides étaient particulièrement exposées aux manipulations de prix. Plus tôt cette année, la plateforme avait d’ailleurs pris des mesures pour limiter les risques liés à certains actifs.

Cronos suspend l’intégralité de sa blockchain

Après l’attaque, Cronos a pris une mesure exceptionnelle : l’ensemble du réseau a été mis à l’arrêt. Les nouvelles transactions ne pouvaient donc plus être traitées temporairement, et l’assaillant ne pouvait plus déplacer davantage les fonds dérobés.

Si Cronos a pu intervenir aussi rapidement, c’est en raison de l’architecture du réseau. La blockchain compte au maximum une centaine de validateurs. Ces acteurs vérifient les transactions et assurent le fonctionnement du réseau. Comme il s’agit d’un groupe relativement restreint, ils ont pu décider collectivement, en peu de temps, d’arrêter la blockchain.

Cette intervention a toutefois eu des conséquences pour tous les utilisateurs de Cronos. L’assaillant n’a pas été le seul à être bloqué : les utilisateurs ordinaires ne pouvaient plus envoyer de cryptomonnaies ni effectuer d’autres transactions.

Dans le même temps, cet arrêt d’urgence soulève des questions sur la décentralisation de Cronos. Une blockchain qui peut être entièrement suspendue par un nombre limité de validateurs dépend, en définitive, des décisions de ce groupe.