Community Trust ScoreVérifié
Deux plateformes de prêt DeFi viennent de subir une perte combinée de plus de 84 millions de dollars. Le coupable dans les deux cas : une manipulation de prix visant des tokens peu échangés utilisés comme garantie. Et les régulateurs américains avaient averti que cela arriverait.
Le plus gros des deux coups a frappé Tectonic, un protocole de prêt fonctionnant sur la blockchain Cronos. Les pertes y sont estimées à environ 75 millions de dollars — un chiffre qui n’est pas encore entièrement confirmé, car Tectonic n’a pas encore publié de bilan complet. L’attaquant a ciblé TONIC, un token qui ne se négocie pas en gros volumes et est utilisé comme garantie au sein du protocole. En augmentant fortement le prix du marché de TONIC, l’attaquant a gonflé la valeur des garanties à l’intérieur du système. Cette garantie gonflée a débloqué une capacité d’emprunt bien plus importante que celle qui aurait dû être disponible. L’attaquant l’a utilisée pour retirer des actifs liquides, principalement des USDT. Cronos a réagi rapidement et a arrêté la production de blocs pour stopper l’hémorragie, mais ce n’était pas assez rapide. Environ 6 millions de dollars avaient déjà été transférés sur Ethereum avant que la chaîne ne s’éteigne, convertis en environ 2 600 ETH. Les enquêtes sont toujours en cours. Aucun calendrier pour la reprise des opérations n’a été partagé publiquement.
6 millions de dollars déjà partis avant que Cronos ne puisse réagir.
Le marché MAMO de Moonwell touché en premier
Quelques jours avant Tectonic, le marché de prêt MAMO de Moonwell sur Base a été frappé avec essentiellement le même scénario. L’attaquant a commencé avec 1,95 million de dollars en USDC et les a utilisés pour acheter plus de 94 millions de tokens MAMO. Acheter ce volume sur un marché illiquide a fait exactement ce que l’on pouvait attendre — cela a fait grimper le prix de MAMO, ce qui a gonflé la valeur apparente des garanties de l’attaquant dans le système de prêt de Moonwell. Avec cette garantie gonflée, ils ont emprunté et retiré environ 11 millions de dollars en divers actifs. Moonwell a essayé de liquider rapidement une fois l’attaque devenue claire, mais il était trop tard pour éviter une dette résiduelle de 9,1 millions de dollars qui s’est installée sur la plateforme. Cette dette est toujours là.
Le problème de fond chez Moonwell était simple, bien que douloureux : le protocole évaluait les garanties MAMO en utilisant un marché illiquide. Quand quelqu’un avec suffisamment de capital décide de bouger ce marché, les valeurs des garanties suivent automatiquement. Les limites d’emprunt s’élargissent. Les actifs liquides sortent.
Pratiquement la même histoire chez Tectonic. Différente chaîne, différent token, même faiblesse structurelle.
Un scénario qui remonte aux marchés Mango
Aucune de ces attaques n’est sortie de nulle part. En 2022, Avraham Eisenberg a mené une opération presque identique contre Mango Markets, manipulant les prix des tokens MNGO pour retirer plus de 110 millions de dollars en actifs liquides. La tactique a un nom — manipulation d’oracle — et elle est sur le radar des régulateurs depuis lors. La CFTC et la SEC ont toutes deux pris des mesures contre des schémas manipulateurs de ce type après l’incident de Mango Markets. Eisenberg a été inculpé et poursuivi.
Et pourtant. Nous y sommes.
La vulnérabilité principale n’a pas changé : les protocoles de prêt DeFi qui permettent à des tokens peu échangés de servir de garantie ajusteront automatiquement les limites d’emprunt lorsque les prix de ces tokens bougent. Si un attaquant peut faire bouger le prix — et dans un marché illiquide, ce n’est souvent pas si difficile — il peut débloquer une capacité d’emprunt qui n’était pas censée exister. Le protocole ne peut pas faire la différence entre une découverte de prix organique et quelqu’un qui gonfle un token à faible volume avec quelques millions de dollars. Il voit juste un prix plus élevé et ouvre le robinet de crédit.
C’est l’écart. Il est connu depuis des années. Il est encore exploité.
Les marchés de prêt DeFi plus larges ont lutté avec les risques liés aux oracles depuis au moins le début des années 2020, et l’industrie a développé diverses approches — prix moyens pondérés dans le temps, disjoncteurs, seuils de liquidité pour les garanties éligibles. Mais l’adoption de ces mesures de protection n’est pas uniforme. Certains protocoles avancent plus vite que d’autres. Certains ne bougent pas du tout jusqu’à ce que quelque chose se casse.
Les attaques contre Moonwell et Tectonic n’ont pas nécessité d’exploits sophistiqués de type zero-day ou de nouvelles astuces cryptographiques. Elles ont nécessité du capital, un token illiquide, et un protocole de prêt prêt à traiter le prix spot de ce token comme évangile. L’attaquant chez Moonwell a commencé avec moins de 2 millions de dollars. Le retour était d’environ 11 millions de dollars en actifs retirés. Ce n’est pas un mauvais échange si vous êtes prêt à opérer en dehors de la loi.
Le réseau de Cronos reste arrêté selon les dernières informations disponibles, sans déclaration publique sur la reprise des opérations normales. Tectonic n’a pas publié de rapport complet sur les dommages. Moonwell gère une dette résiduelle de 9,1 millions de dollars sans résolution claire annoncée.
Le chiffre combiné de 84 millions de dollars augmentera probablement une fois que Tectonic aura terminé son bilan.
Hub : Prix, nouvelles et analyses de l’USDC
Hub: USDC : prix, actualités et analyse
Questions Fréquentes
Combien a coûté l’exploitation de Tectonic, et quel token a été ciblé ?
Tectonic a perdu environ 75 millions de dollars après qu’un attaquant a manipulé le prix de TONIC, un token peu échangé utilisé comme garantie sur la blockchain Cronos. Environ 6 millions de dollars ont été transférés sur Ethereum et convertis en environ 2 600 ETH avant que Cronos n’arrête la production de blocs.
Que s’est-il passé chez Moonwell, et quelle dette cela a-t-il laissé derrière ?
Le marché de prêt MAMO de Moonwell sur Base a été exploité en utilisant 1,95 million de dollars en USDC pour acheter plus de 94 millions de tokens MAMO, gonflant les valeurs des garanties et permettant le retrait d’environ 11 millions de dollars en actifs, laissant la plateforme avec une dette résiduelle de 9,1 millions de dollars.
Pourquoi c'est important
Cette situation met en lumière la vulnérabilité des plateformes DeFi face aux manipulations de prix, soulignant l'importance d'une régulation proactive dans l'écosystème des cryptomonnaies. Les pertes significatives subies par Tectonic et Moonwell pourraient inciter les investisseurs à reconsidérer les risques associés aux tokens moins liquides, tout en renforçant le débat sur la nécessité d'une surveillance accrue pour protéger les utilisateurs dans un marché encore largement non régulé.
