L'incident a commencé le 30 août sur Tectonic, le principal marché de prêt de Cronos. Le protocole a demandé à ses utilisateurs de ne plus interagir avec ses contrats pendant l'enquête, tandis que Cronos a interrompu la production de blocs par consensus des validateurs.

Le montant exact reste à manier avec précaution. Tectonic n'a pas encore publié son bilan définitif. Les quelque 75 millions de dollars largement repris depuis l'attaque proviennent de l'analyse des transactions on-chain, notamment des travaux de Weilin Li et de TRM Labs.

TONIC valait soudain cent fois plus

Le scénario reconstitué ne repose pas sur le vol d'une clé privée ou sur une simple vidange de contrat. L'attaquant s'est attaqué à la valeur que Tectonic attribuait à son collatéral.

TONIC, le token de gouvernance de Tectonic, disposait d'un marché extrêmement peu profond. TRM Labs estime qu'environ 305 000 dollars de TONIC avaient été échangés pendant toute la semaine précédant l'attaque.

En une vingtaine de minutes, son prix aurait été poussé à environ cent fois son niveau initial. Les tokens ainsi surévalués ont ensuite été déposés sur Tectonic comme collatéral afin d'emprunter des actifs beaucoup plus liquides.

Le paramétrage de Tectonic autorisait un facteur de collatéral de 20 % pour TONIC. Une position reconnue par le protocole comme valant 100 dollars pouvait donc soutenir environ 20 dollars d'emprunt.

Le problème est brutal lorsqu'un marché si peu liquide sert de référence à cette valorisation. Selon TRM, les quelque 75 millions de dollars empruntés représentaient environ 245 fois le volume de TONIC enregistré pendant la semaine précédente.

Cronos a préféré arrêter toute la chaîne

Cronos a cessé de produire des blocs le 30 août à 14:32:47 UTC. TRM Labs dit avoir vérifié ce point auprès de trois fournisseurs de nœuds et d'un nœud public indépendant.

L'arrêt ne concernait pas seulement Tectonic. Lorsqu'une blockchain entière cesse de produire des blocs, les autres applications et utilisateurs du réseau cessent eux aussi de pouvoir faire enregistrer normalement leurs transactions.

Cette possibilité tient en partie à l'architecture de gouvernance de Cronos. Le réseau fonctionne avec Tendermint et plafonne son ensemble de validateurs à 100. Un nombre suffisamment réduit pour qu'une mesure d'urgence puisse être coordonnée rapidement.

Le choix a néanmoins une conséquence politique autant que technique : face à un exploit important, la continuité immuable du registre n'a pas été considérée comme la priorité absolue.

Les validateurs n'ont pas simplement redémarré

Cronos aurait pu reprendre la production de blocs depuis l'état dans lequel le réseau avait été arrêté. Les validateurs ont choisi une intervention beaucoup plus forte : restaurer l'état de la chaîne à un point précédant l'exploitation de Tectonic.

La production a repris le 30 août à 23:49:01 UTC depuis le bloc 90,896,189. Cronos indique que les opérateurs de nœuds doivent utiliser la version 1.7.8 et les nouveaux snapshots du mainnet.

Les transactions intervenues après le point choisi ne font donc plus partie de l'état canonique retenu par le réseau. TRM estime que ce retour en arrière a annulé environ 68,7 millions de dollars de fonds issus de l'exploit qui n'avaient pas encore quitté Cronos.

L'analyse on-chain de TRM indique que le rollback est visible dans l'historique lui-même : un bloc précédemment observé avant l'arrêt présente désormais un état différent après la restauration.

Les six millions déjà passés sur Ethereum restent hors de portée

Le rollback a une frontière très nette : Cronos ne peut réécrire que Cronos.

Avant l'arrêt, environ 6 millions de dollars auraient déjà été transférés vers Ethereum. TRM rapporte que ces actifs ont notamment été convertis en USDC puis en environ 2 592 ETH.

Une fois les fonds enregistrés sur Ethereum, restaurer un snapshot de Cronos ne peut plus faire disparaître les transactions correspondantes sur l'autre blockchain.

C'est donc cette portion qui constitue actuellement la partie de l'attaque ayant réellement échappé au retour en arrière, sous réserve des conclusions du futur rapport de Tectonic.

75 millions de dollars ne signifie donc pas 75 millions définitivement perdus

Les formulations autour du montant sont importantes. L'attaquant semble avoir réussi à emprunter autour de 75 millions de dollars d'actifs en exploitant la valorisation artificielle du collatéral. Tectonic n'a cependant pas encore certifié ce chiffre et certaines analyses on-chain aboutissent même à des évaluations brutes différentes.

Une large majorité des actifs concernés est restée sur Cronos assez longtemps pour être effacée par le rollback. Environ 6 millions de dollars avaient franchi le pont vers Ethereum.

La TVL de Tectonic donne une autre mesure du choc subi par le protocole. D'après les données citées par CoinDesk et TRM, elle se situait autour de 121,7 millions de dollars le 26 août et était tombée à environ 3 millions le 31 août. La TVL n'est toutefois pas une mesure directe de la perte définitive : retraits, arrêt du protocole et restauration du réseau peuvent également la faire varier.

Tectonic ne rouvre pas tout immédiatement

Cronos annonce être de nouveau en ligne, mais cela ne signifie pas que tout son écosystème a retrouvé son fonctionnement normal au même instant. RPC, explorateurs, bridges et protocoles doivent eux aussi se resynchroniser et vérifier leur propre état.

Tectonic indique effectuer des contrôles supplémentaires sur ses systèmes et ses dépendances avant une reprise progressive.

La première phase doit permettre les retraits et le remboursement des prêts. Les nouveaux dépôts et emprunts resteront suspendus pendant que l'équipe finalise les étapes suivantes.

Un post-mortem complet est annoncé. Il devra notamment préciser la cause exacte retenue par Tectonic, l'exposition financière définitive et les modifications apportées à la gestion des collatéraux.

Le protocole connaissait pourtant le risque des petits marchés

Un ancien entretien publié par Cronos en 2023 rend l'incident particulièrement intéressant. Tectonic expliquait lui-même que les tokens de faible capitalisation étaient plus exposés aux fluctuations importantes et à la manipulation de prix.

Le protocole présentait alors ses pools isolés comme un moyen de contenir certains de ces risques lors de l'ajout de nouveaux actifs.

TONIC conservait pourtant un facteur de collatéral de 20 %, selon les paramètres publics étudiés après l'attaque.

TRM Labs affirme avoir déjà recensé 32 attaques par manipulation de prix en 2026, un record annuel. Trois jours avant Tectonic, Moonwell avait subi une attaque estimée à 8,7 millions de dollars reposant elle aussi sur un actif peu liquide utilisé comme collatéral.

Le rollback ouvre un autre débat que celui de la faille

L'intervention a manifestement limité ce que l'attaquant pouvait emporter. Elle montre en même temps jusqu'où les validateurs de Cronos sont capables d'intervenir lorsque le réseau traverse une crise.

Un registre distribué peut promettre une histoire difficile à modifier tout en conservant des mécanismes humains capables, dans certaines circonstances, de décider qu'une partie récente de cette histoire ne sera finalement pas conservée.

Ici, cette décision a probablement évité que plusieurs dizaines de millions de dollars supplémentaires quittent Tectonic. Elle a aussi annulé avec le même mécanisme l'ensemble de l'état retenu après le point de restauration, pas seulement une ligne comptable appartenant à l'attaquant.

Cronos maintient le réseau sous surveillance et promet un rapport complet sur l'incident. Tectonic n'a pas encore publié son bilan final.