Cronos suspend la chaîne après une faille « Tectonic » ayant entraîné une perte de 75 millions de dollars

Le dilemme des validateurs : redémarrer ou revenir en arrière

Le réseau Cronos, une blockchain de couche 1 compatible avec la machine virtuelle Ethereum, a confirmé lundi que le réseau restait suspendu dans l’attente d’une enquête sur une faille de sécurité de Tectonic, un protocole de marché monétaire présent sur la chaîne. Cette dernière mise à jour est intervenue plus de 12 heures après que Cronos eut initialement reconnu l’incident, au cours duquel l’attaquant aurait détourné plus de 75 millions de dollars du protocole. Bien que Cronos n’ait pas divulgué l’impact financier ni fourni de calendrier pour la reprise des opérations, l’opérateur du réseau a déclaré qu’il collaborait avec des experts en cybersécurité pour enquêter sur cette faille. Dans le même temps, Jeremy, cofondateur de Glyde, a affirmé dans un message publié sur X que l’attaquant n’avait réussi à détourner que 6 millions de dollars jusqu’à présent. Cependant, Cronos est confronté à un dilemme crucial : maintenir le réseau gelé empêche l’attaquant de déplacer des fonds illicites, mais la reprise de la production de blocs pourrait permettre le transfert des actifs volés restants.

« Le pirate a multiplié par 100 le cours d’un token en 20 minutes, puis a contracté des emprunts sur la base de cette fausse valeur pour tout vider », a écrit Jeremy sur X. « Cronos, la chaîne développée par Crypto.com, a gelé toute activité au milieu de l’attaque, ce qui a permis de bloquer 60 MILLIONS de dollars de l’argent volé avant qu’il ne puisse s’échapper. Seuls 6 MILLIONS de dollars ont pu être détournés. Les validateurs doivent désormais prendre une décision : relancer la chaîne et le laisser conserver cet argent, ou revenir en arrière. »

Kris Marszalek, PDG de Crypto.com, a confirmé que la plateforme coopérait à l’enquête. Il a précisé que Crypto.com n’avait pas été affectée par cette faille et que les fonds des utilisateurs restaient en sécurité.

Par ailleurs, Tectonic, qui se présente comme le plus grand marché monétaire sur Cronos, a également confirmé l’attaque et conseillé à ses utilisateurs de suspendre toute activité sur le protocole jusqu’à ce que la sécurité soit rétablie. Au moment de la rédaction de cet article, le token natif de Tectonic avait enregistré une hausse de 85 % au cours des dernières 24 heures.

Fournissant une autre analyse de l’attaque, l’observateur du secteur Awoo a expliqué que l’exploit reposait sur la manipulation des données relatives aux cours au comptant plutôt que sur une faille de code traditionnelle ou la compromission d’une clé. Selon Awoo, l’attaquant a dépensé environ 600 000 dollars pour acheter 16 000 milliards de jetons TONIC répartis sur trois pools de liquidité, faisant ainsi grimper le prix d’environ 40 fois.

Après avoir effectué des transactions tests, l’attaquant a déposé les TONIC gonflés en garantie afin d’emprunter près de 120 millions de dollars en stablecoins, en bitcoins, en ethers et en CRO avant que les validateurs n’interrompent délibérément la production de blocs.

« Rien ici n’a été “piraté” », a écrit Awoo. « Aucune clé n’a été volée, aucun verrou n’a été forcé. Tectonic a fait exactement ce pour quoi il a été conçu : il a lu un cours provenant d’un pool peu liquide et l’a pris pour argent comptant. Si votre protocole lit le cours au comptant directement à partir d’un marché que quelqu’un peut manipuler, ce cours est à vendre. »

Awoo a ajouté que le gel volontaire décidé par les validateurs met en évidence des compromis structurels essentiels, soulignant qu’« une chaîne qui peut être désactivée par ses validateurs est très différente de celle qui ne le peut pas ».