En bref
- Cronos indique avoir annulé environ 111,2 millions de dollars liés à l'exploit de Tectonic en revenant en arrière sur sa blockchain.
- L'intervention a écarté 1 heure et 54 minutes de transactions, y compris des activités sans rapport avec l'attaque.
- Environ 9,19 millions de dollars ont quitté le réseau avant que les validateurs ne l'arrêtent et restent non récupérés.
Cronos, un réseau blockchain soutenu par Crypto.com, a effacé près de deux heures d'historique de transactions pour annuler environ 111,2 millions de dollars liés à un exploit du protocole de prêt Tectonic, selon un post-mortem du réseau publié lundi.
Selon les développeurs de Cronos, les validateurs ont annulé des transactions déjà effectuées pour protéger environ 92 % des fonds affectés encore sur le réseau, allant à l'encontre de l'attente selon laquelle les transactions blockchain sont permanentes.
« C'était une décision difficile, prise avec les validateurs, en pesant la finalité que les utilisateurs attendent d'une chaîne contre les fonds en jeu », ont écrit les développeurs de Cronos. « Restaurer l'état signifiait rejeter 1 heure et 54 minutes de transactions réglées. L'alternative, redémarrer sans restaurer l'état, aurait laissé les actifs empruntés sous le contrôle de l'attaquant. »
Ajoutant à la « décision difficile », le fait que le rollback a également inversé toutes les transactions légitimes traitées pendant cette période.
Le 30 août, des pirates ont ciblé le réseau Tectonic, qui permet aux utilisateurs d'emprunter des cryptomonnaies contre des garanties déposées. Selon le rapport, l'attaquant a fait monter le prix de TONIC sur des marchés décentralisés avec peu de liquidité, puis a emprunté environ 120,4 millions de dollars sur neuf marchés contre la garantie gonflée.
Selon Cronos, les validateurs ont arrêté le réseau à 9h32 HNE, puis ont annulé 10 961 blocs, effaçant 1 heure et 54 minutes de transactions.
« Chaque transaction dans cette fenêtre a été inversée, qu'elle ait touché ou non l'exploit, et les positions ouvertes sur les applications en direct ont été réévaluées lorsque les échanges ont repris », a écrit Cronos.
Malgré le rollback, environ 9,19 millions de dollars avaient déjà quitté Cronos avant l'arrêt. Cet argent reste non récupéré et était hors de portée du rollback, selon le rapport post-mortem.
Les estimations préliminaires évaluent la valeur affectée à 75 millions de dollars, et le montant ponté à 6 millions de dollars. Le compte de Cronos situe l'activité d'emprunt à 120,4 millions de dollars, dont environ 111,2 millions ont été annulés.
Le rapport post-mortem indique que la production de blocs a repris à 18h49 HNE le 30 août, après environ neuf heures hors ligne. Les validateurs ont eu besoin de plusieurs tours de coordination pour redémarrer en utilisant un logiciel corrigé et le même enregistrement de transactions.
Cronos a reconnu une mauvaise communication pendant l'arrêt et a déclaré que les transactions annulées peuvent désormais être vérifiées via des enregistrements archivés plutôt que via les explorateurs de blockchain publics.
BitcoinBTC · USD
$78,595+1.72%
Sep 1Sep 3Sep 5Sep 6Sep 8
$81.8k$80.0k$78.3k$76.6k
24h HighHigh$79,432
24h LowLow$77,666
VolVol$1.5B
Market projectionsOdds by Myriad
Today$78,000 to $80,000$78k–$80k52% chanceThis weekAbove $78,000Above $78k56% chance
Price data by CoinGeckoCoinGeckoMore Bitcoin news and projections →
« Nous reconnaissons les perturbations que cet incident a causées dans tout l'écosystème Cronos », a écrit Cronos. « Les opérations réseau ayant été rétablies, notre priorité reste d'achever la réconciliation avec les plateformes concernées et de tirer les leçons de cet incident pour renforcer les mesures de sécurité de l'écosystème. »
Autres exploits de crypto
D'autres réseaux ont été confrontés à des décisions similaires concernant l'arrêt des opérations ou l'inversion des transactions après une attaque.
En août, Maya Protocol a arrêté son réseau après qu'un attaquant a exploité six failles logicielles et a pris environ 1,65 million de dollars en actifs cryptographiques, selon le projet. Une vulnérabilité exploitée dans Ravencoin a également incité à des efforts pour reconstruire sa blockchain, mettant environ trois jours de transactions en risque d'inversion.
Les experts en sécurité ont averti que l'IA pourrait aider les attaquants à trouver des vulnérabilités plus rapidement, bien que le post-mortem de Cronos ne fournisse aucune preuve de l'implication de l'IA dans l'attaque de Tectonic.
