Exploit de manipulation de prix sur Tectonic

Le 30 août 2026, Tectonic, le plus grand protocole de prêt de la chaîne Cronos, a été exploité lorsqu'un attaquant a manipulé le prix de son token natif TONIC pour emprunter environ 74 millions de dollars contre une garantie artificiellement gonflée. Un arrêt de toute la chaîne suivi d'une réinitialisation d'état a finalement plafonné la perte permanente à environ 6 millions de dollars transférés vers Ethereum, mais l'incident a fait chuter la valeur totale verrouillée de Tectonic d'environ 122 millions à moins de 3 millions de dollars.

Ce qui s'est passé

L'attaquant a gonflé le prix de TONIC d'environ 100 fois en une vingtaine de minutes, puis a déposé le token surévalué comme garantie et emprunté des actifs réels sur les marchés de Tectonic. Comme le protocole valorisait la garantie manipulée à sa valeur nominale, l'attaquant a pu tirer quelque 74 millions de dollars de prêts que la fausse garantie ne pourrait jamais rembourser, reproduisant le schéma classique de manipulation de prix observé dans des exploits de prêt antérieurs comme Cream Finance. Seuls environ 6 millions de dollars en Ethereum ont été transférés avec succès hors de Cronos avant que les validateurs n'interviennent ; selon PeckShield, les quelque 68 millions de dollars restants sont demeurés bloqués sur Cronos et sont devenus inaccessibles à l'attaquant une fois la chaîne gelée.

Conséquences

Plutôt que de suspendre un seul contrat intelligent, les validateurs de Cronos ont procédé à un arrêt d'urgence de toute la chaîne, gelant chaque application et portefeuille qui y fonctionnait. Le réseau a ensuite restauré son état au point précédant l'exploit et a repris la production de blocs à partir du 30/08/2026 à 23:49:01 UTC, depuis le bloc 90 896 189. Cronos a déclaré « vos fonds sont en sécurité », et le cofondateur de Crypto.com a confirmé que l'application et la plateforme d'échange de Crypto.com n'avaient pas été affectées et que les fonds des utilisateurs sur la plateforme étaient en sécurité. Comme la réinitialisation a annulé le vol on-chain alors qu'environ 6 millions de dollars s'étaient déjà échappés vers Ethereum, l'issue est classée ici comme partially-recovered. Tectonic a conseillé aux utilisateurs de ne pas interagir avec le protocole en attendant une revue de sécurité et a promis un rapport post-mortem.

Pourquoi c'est important

Tectonic illustre à la fois le danger de valoriser des tokens de gouvernance peu échangés comme garantie de prêt et les compromis d'une intervention au niveau de la chaîne. Valoriser un actif illiquide comme TONIC à un prix de marché manipulable a donné à un attaquant une ligne de crédit de 74 millions de dollars contre un adossement pratiquement sans valeur — le même mode de défaillance qui a frappé Moonwell avec son token MAMO quelques jours plus tôt. La décision de Cronos d'arrêter et de réinitialiser tout le réseau a neutralisé l'essentiel du vol, mais elle a aussi gelé chaque application étrangère et relancé l'éternel débat sur la question de savoir si une chaîne spécifique à une application devrait inverser son propre registre pour annuler un exploit.