Cronos gèle son réseau pour piéger un hacker à $75M, brisant l'illusion de la décentralisation

Un hacker a volé $6.29 million d'actifs réels en convainquant un logiciel qu'un jeton numérique pratiquement sans valeur valait soudainement une fortune. Il a en réalité réussi à siphonner $75 million, mais les opérateurs de la blockchain Cronos ont fait quelque chose de supposément impossible dans la finance décentralisée: ils ont appuyé sur le bouton pause. Désormais, les $68.7 million restants sont piégés dans un purgatoire numérique, forçant une remise en question sur l'identité de ceux qui contrôlent réellement l'argent sur la blockchain.

Le jeton à $11,000 qui a permis d'acheter $75M

L'attaquant n'a brisé aucune cryptographie ni volé de clés privées. Il a simplement exploité la confiance aveugle d'un protocole dans un flux de prix manipulé. Sur une fenêtre de 20 minutes, le hacker a artificiellement gonflé le prix du TONIC, le jeton de gouvernance de l'application de prêt Tectonic. Le TONIC était pratiquement illiquide, n'enregistrant que $11,000 de volume de transaction quotidien, et pourtant le protocole permettait aux utilisateurs d'emprunter des actifs réels en contrepartie sans limites strictes.

C'était l'équivalent décentralisé d'entrer dans un prêteur sur gages avec un caillou, d'y coller une étiquette de prix de $10 million et de repartir avec des lingots d'or parce que le coffre-fort automatisé ne lisait que l'étiquette. En faisant grimper le prix du jeton de 100 fois, l'attaquant a créé suffisamment de garantie fantôme pour emprunter $75 million d'actifs réels et liquides. Il a immédiatement commencé à transférer l'argent vers le réseau Ethereum pour disparaître à jamais. Mais l'attaquant a mal calculé un détail critique: le système qu'il cambriolait avait un gestionnaire.

Les fondateurs de Crypto.com serrent le frein à main

Les blockchains sont conçues pour être inarrêtables. La promesse fondamentale de cette technologie est qu'aucune autorité centrale ne peut annuler des transactions ou suspendre le réseau. Pourtant, alors que l'attaquant transférait ses premiers $6.29 million hors du réseau Cronos, un petit groupe concentré de 100 nœuds validateurs a remarqué la fuite. Lors d'une manœuvre d'urgence coordonnée, ils ont complètement arrêté de produire des blocs. Le registre de Cronos a tout simplement cessé de fonctionner.

“Une faille de sécurité a eu lieu sur le protocole de prêt Cronos Tectonic. Tous les fonds sont en sécurité.”— Kris Marszalek

Le gel a piégé les $68.7 million restants sur la blockchain. Le PDG de Crypto.com, Kris Marszalek, dont l'entreprise a initialement développé la chaîne Cronos, a immédiatement isolé sa plateforme d'échange centralisée du chaos décentralisé. Bien que Marszalek ait assuré au public que la marque principale de l'entreprise restait intacte, l'arrêt brutal du réseau a prouvé que les validateurs de Cronos détenaient l'autorité ultime sur la base de données. L'hémorragie avait cessé, mais l'intervention a déclenché une crise d'une tout autre nature.

Le dilemme à $69 millions

Le protocole Tectonic, qui détenait près de 46 percent de toute la valeur sur Cronos quelques jours auparavant, a vu ses actifs totaux verrouillés s'évaporer instantanément, passant de $121.7 million à environ $3 million. Les déposants particuliers sont désormais piégés dans un flou total, incapables de retirer leurs dépôts ou de vérifier leurs soldes. La blockchain reste suspendue, et les validateurs font face à un champ de mines philosophique et juridique pour décider de la manière de la relancer.

Ils ont trois choix impossibles. Ils peuvent restaurer l'historique de la chaîne pour effacer le piratage, violant ainsi le principe fondamental de l'immutabilité de la blockchain. Ils peuvent confisquer les $69 million piégés en mettant sur liste noire les adresses du hacker, prouvant ainsi qu'ils ont une autorité absolue sur les fonds des utilisateurs. Ou ils peuvent ne rien faire, redémarrer le réseau et laisser le voleur s'en aller avec le reste de l'argent. Dans la logique brutale de la finance décentralisée, la seule chose qui a sauvé l'argent a été d'admettre que le système n'était pas décentralisé du tout.

Ce que les gens en disent

Cronos Network@CronosNetwork

“We identified an exploit in Tectonic. The Cronos Network has been halted and we'll provide updates here”

37890Aug 30

Cronos Network@CronosNetwork

“This is a non-issue for Cronos. Our network remains fully operational and secure. No action needed from users or validators. We'll continue monitoring the situation with the teams.”

1379Aug 25

あびとらべあー🍻@cryptoo_bear

“DEG鯖より。CronosチェーンのTectonicでExploit発生したためCronosチェーン一時停止とのこと。TectonicはMango Marketアタックと同様の手法 (流動性薄いトークンの価格操作→担保にしてぶっこぬき) で攻撃されて7500万ドルの損失らしい…。Highly profitable trading strategy…。”

231Aug 30