Voir la table des matières Ne plus voir la table des matières
- Un jeton de gouvernance gonflé cent fois en vingt minutes
- Ce que l’arrêt du réseau a gelé, et ce qu’il n’a pas empêché
- Trois estimations en circulation, aucune confirmée par Tectonic
- Le scénario Mango Markets, rejoué quatre ans plus tard
- Ce que la mécanique dit du risque des chaînes secondaires
- Un redémarrage qui engagera plus que Cronos
Dimanche 30 août, les validateurs de Cronos ont pris une décision qu’aucune blockchain publique n’aime assumer : arrêter purement et simplement la production de blocs. Cronos est le réseau maison de Crypto.com, et Tectonic, le protocole visé, en était le principal service de prêt décentralisé, autrement dit une place de marché où l’on dépose des actifs en garantie pour en emprunter d’autres sans passer par un intermédiaire. L’estimation qui circule depuis dimanche soir tourne autour de 75 millions de dollars.
L’affaire dépasse largement le cas d’un protocole isolé. Elle touche une question que tout investisseur exposé aux écosystèmes secondaires finit par croiser : la sécurité d’une chaîne se joue autant dans ses garde-fous économiques que dans sa cryptographie. Un contrat peut être irréprochable ligne à ligne et le montage financier qui l’entoure offrir malgré tout une porte d’entrée. Que révèle vraiment cet arrêt sur la solidité des réseaux construits autour d’un jeton maison ?
Un jeton de gouvernance gonflé cent fois en vingt minutes
Le mécanisme décrit par le chercheur en sécurité Weilin Li tient en trois gestes. L’attaquant s’est intéressé au TONIC, le jeton de gouvernance de Tectonic, dont le marché était trop étroit pour absorber une poussée d’achat sérieuse. En une vingtaine de minutes, son prix a été multiplié par cent environ.
Ces jetons artificiellement valorisés ont ensuite été déposés en garantie sur le protocole. Tectonic leur appliquait un facteur de collatéral de 20 % : une position affichant 100 dollars de valeur ouvrait un droit d’emprunt de 20 dollars sur d’autres actifs. Le déséquilibre s’est logé exactement là, entre une valeur fictive et des emprunts bien réels en stablecoins, en WBTC, en WETH et en CRO.
Le prix du TONIC est retombé aussitôt après. Les actifs empruntés, eux, sont restés dans les mains de l’attaquant, laissant au protocole une créance irrécouvrable adossée à une garantie redevenue quasi nulle. Restait à savoir jusqu’où ces fonds avaient pu circuler avant que le réseau ne se fige.
Ce que l’arrêt du réseau a gelé, et ce qu’il n’a pas empêché
Environ 6 millions de dollars avaient déjà rejoint Ethereum quand les validateurs ont coupé la production de blocs, selon l’analyse d’adresses publiée par Weilin Li. Une soixantaine de millions sont restés sur des adresses identifiées au sein de Cronos, immobilisés par la mise à l’arrêt.
Immobilisé ne signifie pas récupéré. Un redémarrage rendrait leur mobilité à ces fonds si rien n’est tranché d’ici là, et ni Cronos ni Tectonic n’ont communiqué de calendrier, de plan de récupération ou de dispositif d’indemnisation. La chaîne reste à l’arrêt pour tous ses utilisateurs, y compris ceux qui n’ont jamais approché le protocole visé.
Trois estimations en circulation, aucune confirmée par Tectonic
Le montant du détournement a bougé plusieurs fois en vingt-quatre heures, au fil des adresses attribuées à l’attaquant. Aucun de ces chiffres n’émane à ce stade de Tectonic, qui n’a publié ni bilan technique ni total officiel.
| Montant avancé | Origine de l’estimation | Ce qu’il recouvre |
|---|---|---|
| 66 millions de dollars | Première analyse on-chain de Weilin Li | Adresse principale et fonds envoyés vers Ethereum |
| Environ 75 millions de dollars | Même chercheur, après repérage d’une seconde adresse | Estimation la plus largement reprise |
| 115 à 120 millions de dollars | Calculs alternatifs diffusés en ligne | Sorties brutes des pools, sans validation du protocole |
L’écart entre 66 et 120 millions de dollars n’a rien d’anecdotique. Il dépend d’adresses attribuées à la main et de valorisations de jetons dont le prix bougeait pendant l’attaque, si bien qu’un chiffre issu d’une attribution d’adresses reste une hypothèse de travail tant que le protocole n’a pas rapproché ses propres comptes.
La donnée la plus parlante est ailleurs. Tectonic pesait environ 121 millions de dollars de valeur verrouillée avant l’incident, soit près de 46 % de toute la finance décentralisée hébergée sur Cronos ; d’après les relevés de DeFiLlama, cette valeur est tombée autour de 3 millions dès lundi.
Le scénario Mango Markets, rejoué quatre ans plus tard
Le procédé n’a rien d’inédit, et le chercheur le rattache lui-même au précédent de 2022, celui de la manipulation qui avait vidé un protocole concurrent par la même mécanique. Gonfler un actif peu échangé, s’en servir comme garantie, emprunter du liquide : la recette a quatre ans et fonctionne toujours.
Une autre adresse contrôlée par l’attaquant, avec environ 8 millions sur Cronos. Ce qui porte la perte totale à environ 75 millions.
Weilin Li, chercheur en sécurité, message publié sur X le 30 août 2026
Le même schéma avait été employé quelques jours plus tôt contre Moonwell, un protocole de prêt déployé sur Base, pour un préjudice estimé à 8,7 millions de dollars. Les jetons de gouvernance figurent d’ailleurs parmi les cibles récurrentes de ce type d’opération, comme l’avait montré le détournement de 20 millions de dollars survenu chez BonkDAO en juillet. Le point commun de ces attaques n’est pas une faille de code, mais une valorisation qui n’a jamais été confrontée à un marché profond.
Ce que la mécanique dit du risque des chaînes secondaires
Rapporté à un portefeuille, l’épisode se résume à une accumulation de fragilités qui se renforcent les unes les autres. Chacune paraît supportable isolément, et c’est leur superposition qui produit un incident à 75 millions de dollars.
- Un jeton de gouvernance accepté comme garantie sur le protocole qu’il gouverne ;
- une source de prix adossée à un marché trop mince pour résister à quelques ordres d’achat ;
- une concentration extrême de la valeur, un seul protocole portant 46 % de la finance décentralisée du réseau ;
- un ensemble de validateurs assez restreint pour qu’un arrêt total se décide en quelques heures.
Ce dernier point mérite d’être lu dans les deux sens. La capacité à figer une chaîne a sans doute évité une évasion complète des fonds, mais elle rappelle qu’un réseau qui peut s’arrêter sur décision peut aussi être arrêté pour d’autres motifs.
Rien de tout cela n’invalide l’intérêt d’une exposition aux actifs numériques, à condition de savoir cartographier les risques qui traversent un portefeuille. Bitcoin s’échangeait autour de 78 000 dollars lundi matin et Ethereum au-dessus de 2 400 dollars, sans que l’incident de Cronos ne pèse sur les deux premières capitalisations du secteur.
Un redémarrage qui engagera plus que Cronos
Les validateurs vont devoir arbitrer entre deux principes difficilement conciliables. Geler les adresses de l’attaquant protège les déposants ; toucher à l’état de la chaîne écorne la finalité des transactions, ce socle sur lequel repose la promesse même d’un registre public. Aucune des deux options ne sortira indemne de l’arbitrage.
La question de la dette laissée dans les marchés de prêt attend elle aussi une réponse. Kris Marszalek, directeur général de Crypto.com, a indiqué que l’application et la plateforme d’échange du groupe fonctionnaient normalement et que les fonds qui y sont déposés n’étaient pas concernés, tout en promettant un bilan technique complet dont la date reste inconnue.
Le secteur observera surtout comment se règle la note. Un protocole qui indemnise puise dans une trésorerie ; un protocole qui n’indemnise pas transfère la perte à des déposants qui, pour la plupart, ignoraient qu’un facteur de collatéral de 20 % sur un jeton peu liquide pouvait leur coûter leur épargne. C’est cette décision, plus que le montant final, qui fera jurisprudence pour les prochaines chaînes bâties autour de leur propre jeton.
