Que s'est-il passé sur Cronos ?
La blockchain Cronos, lancée par Crypto.com en 2021, a cessé de produire des blocs le 30 août 2026. Sur X, l'équipe a indiqué avoir identifié un exploit sur Tectonic et mis le réseau à l'arrêt le temps d'enquêter. Lundi, la chaîne était toujours figée, Cronos évoquant une investigation menée avec l'appui d'équipes de sécurité extérieures. Tectonic est un protocole de prêt décentralisé. Les utilisateurs y déposent des cryptomonnaies que d'autres empruntent en apportant un collatéral, contre le versement d'intérêts. C'est le même principe qu'un protocole de prêt comme Aave, appliqué à l'écosystème Cronos. Lancé en décembre 2021 au sein de Cronos Labs, Tectonic concentrait près de la moitié des capitaux déposés dans la DeFi du réseau. Le deuxième prêteur de la chaîne, Mimas Finance, en détenait environ 30 000 dollars selon les données de DefiLlama citées par Decrypt.
Comment l'attaque a-t-elle fonctionné ?
Selon le chercheur on-chain Weilin Li, dont l'analyse est reprise par Cointelegraph et Unchained, l'attaquant a fait monter le cours de TONIC, le jeton de gouvernance de Tectonic, d'environ 100 fois en une vingtaine de minutes. Il a ensuite déposé ces jetons surévalués comme garantie, puis emprunté d'autres actifs contre eux. La faille tient au paramétrage. Tectonic acceptait son propre jeton de gouvernance avec un facteur de collatéral de 20 %, soit 20 dollars empruntables pour 100 dollars de valeur reconnue par le protocole. TONIC s'échangeait peu, ce qui rendait son prix manipulable à moindre coût. Ce type de jeton repose sur des réserves de liquidité très minces, où quelques centaines de milliers de dollars suffisent à déplacer un cours. Ni Cronos ni Tectonic n'ont confirmé le montant ni la cause exacte.
Où sont passés les fonds ?
Li a d'abord chiffré le préjudice à 66 millions de dollars, avant d'identifier une seconde adresse contrôlée par l'attaquant contenant environ 8 millions supplémentaires. Son estimation totale atteint désormais près de 75 millions de dollars, valeur au cours du 30 août.
| Poste | Estimation |
|---|---|
| Montant total détourné | environ 75 M$ |
| Transféré vers Ethereum avant l'arrêt | environ 6 M$ |
| Immobilisé sur Cronos | 60 à 69 M$ |
La valeur totale verrouillée sur Tectonic atteignait environ 121,7 millions de dollars le 26 août. Elle était retombée à près de 3 millions lundi.
Pourquoi une chaîne entière peut-elle être stoppée ?
Cronos repose sur une architecture Tendermint avec un ensemble de 100 validateurs au maximum. Coordonner l'arrêt d'un groupe aussi restreint reste réalisable, là où un réseau à plusieurs milliers de nœuds ne le permettrait pas. Cette compacité a bloqué la majeure partie du butin avant qu'il ne quitte la chaîne. Elle vaut aussi à Cronos des critiques récurrentes sur sa centralisation. Unchained rappelle que Crypto.com avait imposé en mars 2025 un vote rétablissant 70 milliards de jetons CRO détruits en 2021, contre l'avis de presque tous les autres gros détenteurs.
Qu'est-ce que cela change pour les utilisateurs ?
Toutes les positions ouvertes sur le réseau sont gelées tant que les blocs ne reprennent pas, y compris celles d'utilisateurs sans lien avec Tectonic. Le protocole a demandé de ne plus interagir avec lui. Aucun calendrier de redémarrage n'a été communiqué, et ni Cronos ni Tectonic n'ont dit s'ils bloqueraient les adresses de l'attaquant, tenteraient de récupérer les actifs ou indemniseraient les déposants. Un utilisateur qui avait fourni des liquidités sur Tectonic n'a donc, à ce stade, aucune garantie de récupérer ses dépôts, un risque structurel que porte toute fourniture de liquidité en DeFi. Kris Marszalek, PDG de Crypto.com, a déclaré que l'application et la plateforme d'échange du groupe n'étaient pas touchées et fonctionnaient normalement, et que les fonds qui y sont déposés sont en sécurité.
Un schéma déjà vu ailleurs
Li qualifie l'opération d'attaque « à la Mango Markets ». Trois précédents documentés reposent sur la même mécanique :
- Mango Markets, en octobre 2022, plus de 100 millions de dollars empruntés après manipulation du jeton MNGO. Avraham Eisenberg a été poursuivi par les autorités américaines et condamné en 2024.
- Moonwell, protocole de prêt sur Base, environ 8,7 millions de dollars perdus la semaine dernière après manipulation du prix du jeton MAMO, peu échangé.
- Morpho, où un mouvement de l'ordre de 3 % sur un marché Pendle peu profond a déclenché près de 36 millions de dollars de liquidations la même semaine, selon Unchained.
La vitesse de ces attaques laisse peu de marge : Drift Protocol avait perdu 285 millions de dollars en douze minutes sur Solana en avril 2026.
