Le réseau Cronos a cessé de produire des blocs dimanche après qu'un exploit de manipulation de prix a touché Tectonic, son plus grand protocole de prêt, avec des pertes préliminaires estimées à environ 75 millions de dollars. L'arrêt d'urgence a empêché la plupart des actifs concernés de quitter la blockchain pendant que les développeurs et les équipes de sécurité enquêtaient sur l'attaque.

CRONOS HALTS THE WHOLE CHAIN AFTER TECTONIC HACK! @CronosNetwork said Tectonic was exploited and that the Cronos network itself has been halted. @TectonicFi told users not to touch the protocol until it is safe. Onchain estimates put losses around $75 million. Only about $6… pic.twitter.com/ghrQyL4pOG — Crypto Banter (@crypto_banter) August 30, 2026 (x.com/crypto_banter/status/2094098696325489065)

L'incident s'est concentré sur TONIC, le jeton de gouvernance peu échangé de Tectonic, qu'un attaquant aurait fait monter d'environ 100 fois en à peu près 20 minutes. Cette valorisation gonflée a augmenté le pouvoir d'emprunt du jeton, permettant à l'attaquant d'utiliser TONIC comme garantie et de retirer d'autres actifs des pools de prêt. Ce schéma — gonfler un actif de garantie à faible liquidité afin que sa valeur estimée soutienne des emprunts excessifs — s'est reproduit dans de précédents incidents de prêt DeFi, et c'est la raison pour laquelle de nombreux protocoles plafonnent ou excluent les jetons peu échangés des rôles de garantie.

La hausse de 100 fois de TONIC a permis des emprunts excessifs

Le chercheur on-chain Weilin Li a indiqué que l'attaquant a manipulé le prix de marché de TONIC avant de déposer la position gonflée en garantie. Les paramètres publiés de Tectonic attribuent à TONIC un facteur de garantie de 20 %, liant la capacité d'emprunt directement à la valeur estimée du jeton.

Cette structure est devenue cruciale dès que le prix de TONIC a décollé. Une forte hausse de valorisation signifiait que la même quantité de garantie pouvait temporairement soutenir des prêts nettement plus importants si le prix manipulé restait accepté. Même un facteur de garantie prudent offre une protection limitée lorsque la source de prix elle-même est manipulée, ce qui explique pourquoi la conception des oracles et la politique de listing des garanties sont au cœur des post-mortems des exploits de protocoles de prêt.

Li avait d'abord estimé les pertes à environ 66 millions de dollars. Cette estimation a ensuite été portée à environ 75 millions de dollars après l'identification d'une autre adresse contrôlée par l'attaquant contenant environ 8 millions de dollars.

Seuls environ 6 millions de dollars ont été transférés vers Ethereum avant que le réseau Cronos cesse de produire des blocs, selon Li. Par conséquent, la plupart des actifs liés à l'exploit sont restés sur la blockchain après l'arrêt. L'impact financier final reste toutefois non confirmé.

Une autre analyse on-chain a estimé qu'environ 119,5 millions de dollars avaient été retirés des pools concernés en environ 65 minutes. Cette analyse distincte a également identifié des liquidations et des créances irrécouvrables générées pendant l'incident. Tectonic n'a confirmé aucune de ces estimations ni publié son bilan final.

Avant l'attaque, les données de DefiLlama montraient que Tectonic détenait environ 121,7 millions de dollars de valeur totale verrouillée (TVL), avec des prêts actifs d'environ 82,7 millions de dollars. En comparaison, TONIC ne disposait que d'environ 1,34 million de dollars de liquidité et d'environ 11 000 dollars de volume d'échanges quotidien — un écart considérable entre sa profondeur de marché et son rôle de garantie.

L'arrêt du réseau piège la plupart des fonds de l'exploit on-chain

Le réseau Cronos a confirmé l'exploit et suspendu la production de blocs pendant que les enquêteurs examinaient l'incident. Tectonic a également demandé aux utilisateurs de ne pas interagir avec le protocole tant que les opérations n'ont pas été déclarées sûres.

Aucun des deux projets n'avait annoncé d'heure de redémarrage ni publié de post-mortem au moment de la publication. Par conséquent, les mécanismes exacts de l'attaque et le montant récupérable restent indéterminés.

Le PDG de Crypto.com, Kris Marszalek, a déclaré que l'application et la plateforme d'échange centralisée de l'entreprise n'étaient pas affectées, les fonds des clients détenus via ces services restant en sécurité, tandis que son équipe de sécurité assistait les enquêteurs. La distinction est importante car Cronos a été développé à l'origine par Crypto.com, tandis que Tectonic fonctionne de manière indépendante en tant que marché de prêt décentralisé. La page de statut de Crypto.com n'a signalé aucune interruption de service dimanche, confirmant que l'incident restait confiné au protocole basé sur Cronos.

Le réseau Cronos utilise le consensus Tendermint Core BFT ainsi qu'une structure de preuve d'enjeu permissionnée communément décrite comme preuve d'autorité. Son ensemble de validateurs actifs est plafonné à 100, ce qui a permis aux validateurs de coordonner l'arrêt d'urgence du réseau et de restreindre la capacité de l'attaquant à transférer des fonds supplémentaires au-delà de Cronos. Cette même capacité de coordination illustre un compromis bien connu des précédents arrêts de chaîne : suspendre un réseau peut contenir les pertes d'un exploit, mais cela nécessite un petit ensemble de validateurs permissionnés — une conception qui, selon les critiques, limite la résistance à la censure par rapport aux chaînes entièrement sans permission.

Pendant ce temps, le CRO s'échangeait environ 5 % plus haut dans la journée malgré la perturbation. La prochaine étape du réseau dépend du traitement des actifs contrôlés par l'attaquant et de l'établissement des conditions de redémarrage — des décisions qui, d'après les incidents passés, impliquent généralement le gel ou l'annulation des adresses de l'attaquant par les validateurs, un redémarrage avec des paramètres corrigés, et la publication par Tectonic d'un bilan des créances irrécouvrables pour les déposants. Tant que Tectonic n'a pas publié de post-mortem, l'estimation de 75 millions de dollars de pertes reste préliminaire, et l'ampleur finale des créances irrécouvrables et des fonds récupérables reste indéterminée.