Cronos redémarre après l’attaque de Tectonic : des prêts gonflés à 74 millions de dollars

La blockchain Cronos a repris la production de blocs après un arrêt d’urgence décidé en réponse à l’exploit visant Tectonic, le principal protocole de prêt du réseau. L’attaquant a manipulé le cours du token TONIC et l’a utilisé comme garantie pour emprunter des actifs d’une valeur d’environ 74 millions de dollars.

Le redémarrage a eu lieu le 30 août 2026 à 23:49:01 UTC, à partir du bloc 90 896 189. L’annonce du retour en service a été publiée le 31 août 2026 à 16:47.

Le montant de 74 millions de dollars ne correspond toutefois pas à la somme effectivement transférée hors du réseau. Selon la société de sécurité blockchain PeckShield, l’attaquant serait parvenu à dérober environ 6 millions de dollars en Ethereum. Le reste serait demeuré bloqué sur Cronos.

Le cours de TONIC multiplié par cent en vingt minutes

L’attaque a exploité le lien entre la valeur attribuée à une garantie et la quantité d’actifs qu’un protocole de prêt autorise à emprunter.

L’attaquant a artificiellement multiplié par 100 le cours de TONIC, le token associé à Tectonic. Après avoir gonflé la valeur nominale de la garantie, il a déposé le token dans le protocole et obtenu en échange des prêts libellés en actifs dotés d’une valeur réelle et d’une liquidité supérieure.

La manipulation s’est déroulée en environ 20 minutes. Sur le plan comptable, elle a permis de générer près de 74 millions de dollars de prêts, garantis par un actif dont le cours avait été artificiellement modifié.

Ce type d’attaque vise l’un des mécanismes centraux de la finance décentralisée. Lorsqu’un protocole considère comme fiable une valorisation faussée, il peut juger solvable une position qui, aux prix réels du marché, ne dispose pas de garanties suffisantes.

Les détails techniques permettant de déterminer quelle composante a rendu la manipulation possible ne sont pas encore connus. Il n’a notamment pas été établi si le problème concernait directement le mécanisme de détermination du prix, les contrôles appliqués aux garanties, la liquidité disponible ou l’interaction entre plusieurs smart contracts.

Les versions des contrats intelligents concernés, les adresses attribuées à l’attaquant et les indicateurs techniques permettant d’identifier l’ensemble des opérations liées n’ont pas non plus été communiqués. Cronos a annoncé un rapport post-mortem qui devrait apporter des éléments supplémentaires.

Pourquoi 74 millions de dollars de prêts ne correspondent pas à 74 millions de dollars volés

Les deux principaux montants de l’incident décrivent des réalités différentes. Les 74 millions de dollars représentent la valeur totale des actifs que l’attaquant a réussi à emprunter en exploitant la garantie manipulée. Les 6 millions de dollars en Ethereum correspondent, selon PeckShield, à la part qui aurait effectivement été dérobée.

L’écart s’explique par le fait qu’une grande partie des fonds est restée sur la blockchain Cronos. Le fait d’avoir créé une position de prêt frauduleuse ne signifie pas automatiquement qu’il était possible de transférer, convertir et sortir du réseau la totalité de la somme avant l’intervention des opérateurs et des validateurs.

Le gel des opérations a donc limité la perte effectivement réalisée, sans pour autant réduire la gravité de l’exploit. Le protocole a tout de même comptabilisé plusieurs dizaines de millions de dollars de prêts obtenus contre une garantie dont la valeur était artificielle, ce qui a rendu nécessaire une intervention à l’échelle du réseau.

Il reste également à déterminer le traitement définitif des fonds demeurés bloqués et la manière dont les positions des utilisateurs seront réconciliées. On ignore si l’estimation de 6 millions de dollars évoluera après l’analyse complète des mouvements entre Cronos, Ethereum et les éventuels services intermédiaires utilisés.

Cronos a arrêté le réseau et restauré un état antérieur

Tectonic avait indiqué travailler sur un incident et demandé aux utilisateurs de ne pas interagir avec le protocole jusqu’à la publication d’une confirmation officielle de sa sécurité.

Cronos a ensuite interrompu la blockchain, gelant les transactions en cours au moment où l’exploit a été détecté. L’intervention a été présentée comme une mesure d’urgence adoptée avec l’accord des validateurs afin de protéger les utilisateurs contre l’attaque visant Tectonic.

L’état de la chaîne a été restauré à une situation antérieure à l’exploit. La production des blocs a ensuite repris à partir du bloc 90 896 189.

Cette réponse a permis de contenir au moins une partie des pertes financières en empêchant l’attaquant de disposer librement de l’ensemble des actifs empruntés. Elle a toutefois également affecté des applications et des utilisateurs qui n’avaient aucun lien avec Tectonic, Cronos ayant été arrêtée dans son ensemble.

La restauration d’un état antérieur peut aussi nécessiter des vérifications supplémentaires de la part des protocoles, des wallets et des services connectés. Les opérations considérées comme valides avant l’arrêt doivent être comparées à l’état réel de la blockchain après le redémarrage, en particulier lorsque des systèmes externes ont enregistré des dépôts, des retraits ou des transferts pendant la période de l’incident.

Cronos surveille la stabilité du réseau, la compatibilité des protocoles et l’apparition d’éventuelles anomalies supplémentaires. La reprise de la production des blocs indique que l’infrastructure est de nouveau opérationnelle, mais ne constitue pas à elle seule une confirmation que Tectonic peut être utilisé sans restriction.

La TVL de Tectonic est passée de 122 millions à moins de 3 millions de dollars

Avant l’attaque, Tectonic était le principal protocole de lending construit sur Cronos et détenait environ 122 millions de dollars. Après l’incident, la total value locked, ou TVL, affichée par DeFiLlama est tombée à un peu moins de 3 millions de dollars.

La TVL mesure la valeur des actifs déposés dans un protocole. Elle ne correspond pas nécessairement aux pertes subies par les utilisateurs, mais une contraction d’une telle ampleur signale une réduction drastique de la liquidité disponible dans l’application.

L’impact dépasse donc les quelque 6 millions de dollars en Ethereum que l’attaquant serait parvenu à dérober. L’exploit a compromis le fonctionnement de Tectonic, modifié ses positions de prêt et contraint Cronos — un réseau compatible avec l’écosystème Ethereum et associé à Crypto.com — à interrompre temporairement la production des blocs.

La chute de la TVL peut également compliquer la gestion des positions restantes. Un protocole de prêt disposant de peu de liquidité possède une marge de manœuvre moindre pour absorber les retraits, les liquidations et les déséquilibres entre les actifs déposés et ceux accordés en prêt.

Ce que les utilisateurs et les opérateurs doivent vérifier

La mesure de précaution recommandée par Tectonic reste de ne pas interagir avec le protocole jusqu’à la publication d’une confirmation officielle de sa sécurité. Le fait que Cronos ait repris la production de blocs n’autorise pas automatiquement les dépôts, les remboursements ou les nouvelles opérations sur la plateforme de lending.

Les utilisateurs devraient vérifier l’état de leurs positions directement par l’intermédiaire des canaux officiels et comparer leurs soldes, leurs dettes et leurs garanties avec ceux enregistrés avant l’incident. Les personnes ayant effectué des transactions à proximité de l’arrêt devraient vérifier qu’elles apparaissent bien sur la chaîne restaurée, sans se fier uniquement à l’historique local du wallet ou aux notifications d’une application.

Les exchanges, les bridges et les autres services connectés à Cronos doivent, quant à eux, réconcilier les dépôts et les retraits avec l’état restauré avant de créditer des opérations potentiellement concernées par le gel.

À ce stade, aucun correctif identifié, aucune liste complète d’adresses malveillantes ni aucune règle publique de détection de l’attaque n’est disponible. Les détails concernant d’éventuelles modifications des paramètres de risque de TONIC, des limites d’emprunt et des systèmes de valorisation des garanties font également défaut.

Le rapport post-mortem annoncé par Cronos sera donc déterminant pour comprendre l’origine technique de l’exploit, la séquence exacte des opérations et les conditions nécessaires à la réouverture de Tectonic en toute sécurité. En attendant, le réseau est de nouveau opérationnel, mais l’incident ne peut pas encore être considéré comme entièrement résolu.