Incident de sécurité sur Cronos
Cronos a confirmé que 9,19 millions de dollars demeurent non récupérés après qu’un attaquant a emprunté 120,4 millions de dollars à Tectonic. Un retour en arrière, soutenu par des validateurs, a permis d’inverser environ 111,2 millions de dollars de valeur affectée.
Détails de l’attaque
Selon un rapport post-mortem publié par Cronos lundi, l’attaquant a manipulé le prix de TONIC, le jeton de gouvernance du protocole de prêt Tectonic, et a utilisé l’actif gonflé comme garantie pour emprunter des fonds sur neuf marchés le 30 août. L’attaque a conduit les validateurs de Cronos à arrêter la blockchain Layer 1 au bloc 90 907 150, avant de convenir de restaurer le réseau au bloc 90 896 188, le dernier bloc produit avant le début de l’exploitation.
« Les 9,19 millions de dollars qui ont quitté Cronos avant l’arrêt n’ont pas été récupérés et sont au-delà de la portée de la restauration », a déclaré l’équipe.
Le retour en arrière a supprimé 10 961 blocs, représentant 1 heure et 54 minutes de l’historique des transactions de Cronos. Les transactions effectuées pendant cette période ont été annulées, qu’elles aient ou non un lien avec l’attaque de Tectonic.
Réactions et mesures prises
Cronos a déclaré que les validateurs devaient peser la finalité des transactions par rapport au montant d’argent encore exposé lors de la décision de redémarrer le réseau.
« C’était une décision difficile, prise avec les validateurs, pesant la finalité que les utilisateurs attendent d’une chaîne par rapport aux fonds en risque », a déclaré Cronos.
Le dernier bilan augmente considérablement la valeur impliquée par rapport aux premières estimations publiées immédiatement après l’incident. Le 31 août, crypto.news a rapporté l’arrêt de Cronos après que le chercheur on-chain Weilin Li a initialement estimé qu’environ 75 millions de dollars avaient été affectés.
Analyse de l’incident
Une analyse précoce on-chain avait révélé que le prix signalé du TONIC avait augmenté d’environ 100 fois en environ 20 minutes. Marcin Kazmierczak, co-fondateur de RedStone, a ensuite déclaré à crypto.news que l’incident n’était pas un échec d’oracle. Il a précisé que l’oracle avait correctement signalé le prix du TONIC sur le marché qu’il surveillait.
Le rapport post-mortem a fourni une chronologie plus détaillée de la réponse du réseau. Après que l’attaquant a commencé à manipuler le TONIC et à emprunter contre la garantie gonflée, Cronos a identifié l’activité malveillante environ 36 minutes plus tard. Le réseau a finalement été restauré à son état d’avant l’exploitation avant que la production de blocs ne reprenne environ 11 heures après le début de l’attaque.
Conséquences et état actuel
Le rapport post-mortem de Cronos évalue désormais le montant qui a échappé à la restauration à environ 9,19 millions de dollars, soit 7,6 % des 120,4 millions de dollars affectés. L’incident de Tectonic a représenté plus de la moitié des pertes estimées en cryptomonnaies enregistrées en août.
La société de sécurité blockchain PeckShield a compté 50 grandes attaques de crypto en août, avec des pertes estimées à 136,3 millions de dollars. Cronos a déclaré que le travail de réconciliation avec les échanges, les ponts et d’autres plateformes affectées se poursuivait après la restauration.
Le rapport post-mortem n’a pas identifié l’attaquant ni détaillé comment le réseau et Tectonic prévoient de traiter les 9,19 millions de dollars qui restent non récupérés. CRO, le jeton natif de l’écosystème Cronos, se négociait autour de 0,058 $, en hausse de 0,62 % au cours des dernières 24 heures.
