La confiscation de l’histoire : Ce que Cronos a donné au monde le 30 août

Vers 14h32 UTC le 30 août, les validateurs de Cronos ont figé tout le réseau au moment où il était en train d’être piraté. Ils ont rétrogradé la chaîne de environ 11 000 blocs, et ont effacé la transaction qui avait provoqué le débordement du marché de prêts le plus important de la blockchain. Lorsque la chaîne est revenue à sa position initiale ce soir-là…Environ 111 millions de dollars sur les quelque 120 millions de dollars prélevés.Les biens avaient été restitués à leurs propriétaires ; ils ont été effacés du registre, comme si rien ne s’était passé. Les titres de presse ont parlé de « sauvetage ». Ils n’avaient pas tort, mais ils ne représentaient pas toute l’histoire.

Pour quelqu’un qui décide si CRO vaut la peine d’être possédé, l’argent économisé est la partie la moins intéressante. La partie intéressante, c’est la décision qui a motivé cet économie de argent – ce que cela révèle sur la propriété Cronos, et le prix que les utilisateurs de la réseau ont payé pour elle.

Le crime était économique, pas informatique.

Cible : Tectonic, le plus grand protocole de prêts décentralisé sur Cronos. Au moment de l’attaque, le montant total des crédits bloqués était d’environ 121,7 millions de dollars, et les crédits restants s’élevaient à environ 82,7 millions de dollars. L’attaquant n’a pas trouvé de bug dans le système. Il a plutôt découvert un token qui pouvait être utilisé pour exploiter les failles du système.

Le token de gouvernance de Tectonic, TONIC, est échangé avec une liquidité extrêmement faible.Une profondeur d’environ 1,34 million de dollars, avec un volume quotidien d’environ 11 000 dollars.C’est un prix imprévisible. L’attaquant a placé environ 5 millions de dollars en stablecoins réelles en garantie, et a acheté TONIC.Il fait grimper son prix de vente de environ 100 fois en environ 20 minutes.Et que le prix propre de Tectonic informe fidèlement la nouvelle valeur absurde. TONIC impliquait un facteur de garantie de 20 %, ce qui signifiait que Tectonic prêtait 20 dollars pour chaque 100 dollars de garantie reconnue de TONIC. Un facteur de 20 % multiplié par cent transformait donc 5 millions de dollars honnêtes en une capacité de prêt de plusieurs centaines de millions de dollars. Un seul contrat…Débarrassé neuf marchés de prêts en environ onze minutes.– Stablecoins, bitcoins enveloppés, Ether, CRO, XRP – pour un chiffre total qui, selon l’analyse onchain, s’élève à environ 120 millions de dollars.

Le point crucial : l’oracle n’a pas été trompé. Il a enregistré avec précision le prix manipulé. Le problème venait du design. Tectonic a utilisé son propre token peu coté comme garantie, sans imposer de limites sur les prêts liés à la liquidité, ce qui permettrait en réalité d’absorber les ventes. C’est le schéma typique des attaques de type “pump-and-borrow”, basées sur un oracle faible. Ce type d’attaque ne peut être détecté par les audits, car le code fonctionnait comme écrit. C’était l’économie de marché qui constituait la vulnérabilité.

Le sauvetage et la réception

Lorsque les validateurs ont arrêté la chaîne à 14:32 UTC et l’ont ramenée au bloc 90,896,189 – qui correspond à une date antérieure à l’attaque –, ils ont sauvé les déposants. Les soldes des clients sont revenus à leurs valeurs précédant l’attaque. Mais un retour en arrière est un moyen de traitement brutal : il efface tout ce qui s’est passé dans cette période, pas seulement le voleur.

Environ 752 liquidationsIl avait déjà obtenu une somme estimée à 8,7 millions de dollars.Des utilisateurs ordinaires ont obtenu des prix falsifiés pour leurs actions ; des bots qui imitaient ces comportements ont récupéré encore 2 millions de dollars. Ces saisies ont été annulées – c’est une bonne nouvelle. Mais les transactions légitimes, les transferts et les transactions de type “bridge” qui se sont déroulées pendant ces deux heures écoulées ont également disparu des archives officielles. Aucun système de compensation publique n’a été mis en place pour ceux qui ont perdu leurs biens. Pendant ce temps, plus de 8 millions de dollars avaient déjà été transférés sur Ethereum avant le gel des transactions – soit environ 2 592 unités d’Ether – et ces fonds ne pouvaient plus être utilisés par les validateurs de Cronos. La chaîne peut effacer l’histoire, mais seulement celle qu’elle possède encore.

Ce que cela fait à CRO

Tout d’abord, il faut limiter les dommages causés aux biens. Il s’agissait d’une attaque contre un protocole indépendant, et non contre l’entreprise qui soutient cette chaîne. L’exchange, l’application et les fonds des clients de Crypto.com n’ont pas été affectés, comme l’a affirmé son PDG. Toute personne qui détient des CRO au sein de l’écosystème Crypto.com n’est donc jamais directement en danger.

Le problème durable est différent. Le produit vendu par Cronos est un registre en cuique, un registre dans lequel les participants ont confiance, car il ne peut pas être modifié. Cette propriété – l’finalité – est la raison pour laquelle les ponts, les marchés et les protocoles placent leur capital sur une chaîne. Un comité de…Environ 100 validateurs, dont beaucoup sont liés à Crypto.com.Il a justement démontré que cela peut se produire après deux heures d’histoire stabilisée, sans qu’il y ait de cadre de gouvernance formel qui définit quand cela est autorisé. Chaque partie prenante sur Cronos doit maintenant prendre en compte la possibilité que une transaction « confirmée » devienne non confirmée. Cela signifie une réduction du prix du token, mais pas une baisse de valeur immédiate.

Pire encore, la base économique qui justifiait ce réseau est maintenant en ruine. Une situation catastrophique.Cela représente environ la moitié de la valeur totale des actifs DeFi bloqués par Cronos.Le volume de prêts et les frais associés donnent à CRO une demande réelle. Son TVL a chuté de environ 122 millions de dollars à environ 3 millions de dollars en quelques jours, soit une baisse de plus de 90 %. La chaîne qui gère le registre financier doit également attirer des activités qui rendent le token utile. Mais sa principale source d’activité est maintenant vide.

La réaction du marché jusqu’à présent est remarquablement calme : le CRO a chuté de quelques pourcentages en environ un jour et demi, en partie due à une tendance générale de retrait des investissements dans les cryptomonnaies. Pour un détenteur de titres, cela signifie que l’incident est “contraint”. Mais vu de manière plus approfondie, cela signifie autre chose : un prix modéré sur une chaîne qui vient de prouver qu’elle peut changer son propre passé ne montre pas que l’incident est insignifiant. Cela indique plutôt que le marché n’a pas encore pris en compte le risque lié au token.

Le nombre qui compte

Le retour en arrière a permis de sauver votre dépôt. De plus, cela vous a montré quel type de règlement propose Cronos. La finalité sur Cronos est sociale, et non mathématique : un ensemble de validateurs coordonnés peut effacer les transactions déjà effectuées. Cette fois, l’argent a été sauvé, mais l’histoire et la confiance ont été perdues en contrepartie. Le cas de CRO repose toujours sur le fait qu’il s’agit d’un canal fiable pour accéder à l’écosystème Crypto.com. Ce qui s’est passé le 30 août montre que lorsque ce canal se brise, le registre de transactions devient négociable entre les initiés. Pour les environ 9 millions de dollars qui ont atteint Ethereum et ne ont jamais pu être récupérés, ils ont déjà été dépensés. Pour tous ceux qui décident de conserver des CRO, le vrai coût de cette intervention se fait sentir plus tard – chaque fois qu’une partie prenante décide tranquillement que une blockchain capable de annuler des transactions représente un risque, elle ne veut plus y participer.