Cronos a fait quelque chose que peu de blockchains acceptent encore de faire : tout arrêter. Dimanche 31 août 2026, les validateurs du réseau adossé à Crypto.com ont suspendu la production de blocs après un exploit sur le protocole de prêt Tectonic. Le montant en jeu approche les 75 millions de dollars.
L'attaque n'a pas commencé par une faille de code classique. Elle a commencé par un prix.
Un jeton de gouvernance gonflé cent fois en vingt minutes
Tectonic acceptait son propre jeton de gouvernance, TONIC, comme garantie, avec un facteur de collatéral de 20 pour cent. Le problème tient à la liquidité du jeton : environ 1,34 million de dollars seulement. Un actif aussi mince est facile à manipuler.
L'attaquant a fait grimper le cours de TONIC d'un facteur cent en une vingtaine de minutes, puis a emprunté contre cette valeur artificielle. Le chercheur Weilin Li décrit une manipulation de type Mango Markets, un schéma déjà vu en 2022. PeckShield, de son côté, chiffre la perte autour de 74 millions de dollars. Les deux estimations convergent.
Sur ce total, environ 6 millions de dollars ont atteint Ethereum via un pont avant la coupure. Le reste, près de 60 millions, est resté bloqué sur Cronos. C'est précisément l'intérêt d'arrêter la chaîne : figer les fonds avant qu'ils ne s'échappent.
Cent validateurs, une décision rapide
Cronos fonctionne avec un ensemble fermé de cent validateurs. Cette centralisation relative, souvent critiquée, a permis de coordonner l'arrêt en quelques minutes. Une blockchain à des milliers de nœuds n'aurait pas pu réagir aussi vite.
Avant l'incident, Tectonic pesait 121,7 millions de dollars de dépôts et 82,7 millions de dollars de prêts actifs, soit environ la moitié de la finance décentralisée sur Cronos. Le directeur général de Crypto.com, Kris Marszalek, a assuré que la plateforme d'échange fonctionnait normalement et que les fonds des clients étaient en sécurité. L'équipe de Tectonic a demandé aux déposants de ne plus interagir avec le protocole.
Ce que l'épisode rappelle à l'investisseur français
La leçon n'est pas nouvelle, mais elle reste utile. Un protocole DeFi n'offre pas les garanties d'une plateforme agréée. En France, le régime issu de MiCA encadre les prestataires de services sur crypto-actifs, comme le détaille notre point sur les plateformes agréées en France. Un protocole de prêt ouvert, lui, n'entre dans aucun de ces cadres.
Le facteur de collatéral trop généreux sur un actif peu liquide est un signal d'alarme repéré de longue date par les auditeurs. Pour choisir où déposer ses actifs, notre comparatif des plateformes crypto reste un point de départ. Les détails techniques de l'attaque sont documentés par Decrypt et chez CoinDesk, qui suivent la réouverture de la chaîne.
Reste la question du redémarrage. Une chaîne gelée doit redevenir active, et la manière dont les fonds bloqués seront traités décidera de la confiance accordée à Cronos dans les prochaines semaines.