Cronos suspend le réseau après un piratage DeFi de 75M$

La blockchain Cronos a suspendu ses opérations dimanche suite à une attaque contre Tectonic, un protocole de prêt décentralisé, avec des pertes estimées à environ 75 millions de dollars. La majeure partie des fonds volés restait sur Cronos au moment de la publication.

Cronos a annoncé avoir détecté l’exploitation et stoppé le réseau, promettant des mises à jour ultérieures. Tectonic a publié un avertissement distinct conseillant aux utilisateurs d’éviter toute interaction avec le protocole durant l’enquête. Au moment de la rédaction, aucun des deux projets n’avait communiqué le vecteur d’attaque, confirmé la perte totale, ni fourni de calendrier pour la reprise des activités du réseau.

Le chercheur Weilin Li a attribué la faille à une manipulation du facteur de collatéral de 20% de TONIC combinée à une faible liquidité. L’attaquant a multiplié par cent le prix du token de gouvernance en moins de 20 minutes, puis a emprunté d’autres actifs en utilisant ce collatéral artificiellement gonflé. Li a qualifié l’incident d’attaque de type « pump-and-borrow » rappelant l’exploitation de Mango Markets.

La première estimation de Li évaluait les fonds concernés à 66 millions de dollars. Il a noté que l’attaquant avait transféré environ 6 millions de dollars vers Ethereum avant l’arrêt, laissant 60 millions sur Cronos. Une mise à jour ultérieure a identifié une deuxième adresse contrôlée par l’attaquant, détenant environ 8 millions de dollars, portant l’estimation totale à 75 millions.

Le PDG de Crypto.com, Kris Marszalek, a déclaré que la plateforme d’échange et son application grand public restaient opérationnelles et non affectées, les fonds des clients étant en sécurité.

Ni Cronos ni Tectonic n’ont indiqué si les adresses des attaquants seraient blacklistées, si les actifs seraient récupérés ou si les utilisateurs seraient indemnisés.