Le 30 ao\u00fbt 2026, un inconnu a transform\u00e9 environ 600 000 dollars (pr\u00e8s de 520 000 euros) en 75 millions en une vingtaine de minutes, sans jamais exploiter la moindre ligne de code d\u00e9fectueuse. Sa cible, Tectonic, \u00e9tait le plus gros protocole de pr\u00eat de la blockchain Cronos. Il a fonctionn\u00e9 exactement comme ses d\u00e9veloppeurs l’avaient programm\u00e9. Le d\u00e9faut se trouvait ailleurs : le protocole a accept\u00e9 comme argent comptant un prix qui n’existait plus que dans un pool de liquidit\u00e9 vid\u00e9 de sa substance. Quelques heures plus tard, les validateurs de Cronos ont pris une d\u00e9cision qui a fait tressaillir tout le secteur : ils ont rembobin\u00e9 leur propre cha\u00eene de plus de 10 000 blocs pour effacer l’attaque de l’histoire.<\/p>
Cet \u00e9pisode r\u00e9sume l’\u00e9tat de la s\u00e9curit\u00e9 DeFi en cette rentr\u00e9e. La manipulation d’oracle, la plus vieille faille du secteur, n’a jamais co\u00fbt\u00e9 aussi cher. TRM Labs a recens\u00e9 32 attaques par manipulation de prix depuis le d\u00e9but de 2026, un record absolu ; ce vecteur repr\u00e9sente d\u00e9sormais environ un piratage sur huit, contre un sur dix-sept en 2022<\/a>. Pour un investisseur fran\u00e7ais, l’affaire d\u00e9passe la technique. Elle pose une question d\u00e9rangeante : que reste-t-il quand un protocole sans interm\u00e9diaire vous d\u00e9pouille ? Souvent, aucun r\u00e9gulateur \u00e0 appeler ; et parfois, comme sur Cronos, un d\u00e9bat br\u00fblant sur le sens m\u00eame du mot immuable.<\/p> Ce dossier revient sur la vague d’attaques d’ao\u00fbt 2026, sur la m\u00e9canique qui les rend in\u00e9vitables, sur la riposte controvers\u00e9e de Cronos, et sur ce qui prot\u00e8ge vraiment (ou pas) l’utilisateur.<\/p> Le m\u00e9canisme de l’attaque tient en une phrase : rendre un actif sans valeur artificiellement pr\u00e9cieux, puis l’utiliser comme garantie. Le TONIC est le jeton de gouvernance de Tectonic, un actif peu \u00e9chang\u00e9 dont le volume hebdomadaire tournait autour de 305 000 dollars, \u00e0 peine de quoi remplir un carnet d’ordres. Avec un capital de d\u00e9part d’environ 600 000 dollars, l’attaquant a fait grimper le cours du TONIC d’un facteur cent en une vingtaine de minutes. Il a ensuite d\u00e9pos\u00e9 364 600 milliards de TONIC gonfl\u00e9s comme collat\u00e9ral, profitant d’un facteur de garantie de 20 %, et a emprunt\u00e9 pour environ 75 millions de dollars (pr\u00e8s de 65 millions d’euros) d’actifs bien r\u00e9els, eux, et imm\u00e9diatement convertibles.<\/p> Le timing a \u00e9t\u00e9 d\u00e9cisif. Environ 6 millions de dollars ont fil\u00e9 vers Ethereum avant que quiconque ne r\u00e9agisse ; le reste, quelque 69 millions, est rest\u00e9 bloqu\u00e9 sur Cronos, ce qui a ouvert la voie \u00e0 la riposte controvers\u00e9e des validateurs. Les chiffres de la d\u00e9route parlent d’eux-m\u00eames : la valeur totale verrouill\u00e9e (TVL) de Tectonic est pass\u00e9e d’environ 121,7 millions de dollars \u00e0 pr\u00e8s de 3 millions en 48 heures, un effondrement de 97,5 %, selon le r\u00e9cit d\u00e9taill\u00e9 publi\u00e9 par crypto.news<\/a>. Un protocole class\u00e9 parmi les plus importants d’un \u00e9cosyst\u00e8me entier, r\u00e9duit \u00e0 n\u00e9ant en deux jours par une attaque qui n’a rien pirat\u00e9 du tout.<\/p> Comme apr\u00e8s chaque incident de ce type, les r\u00e9flexes habituels se sont enclench\u00e9s : offre de prime pour un retour des fonds, tentatives de gel via les \u00e9metteurs de stablecoins, tra\u00e7age des adresses sur les explorateurs de blocs. Mais la part d\u00e9j\u00e0 convertie et pont\u00e9e vers Ethereum avant l’arr\u00eat de la cha\u00eene \u00e9tait hors de port\u00e9e, et c’est pr\u00e9cis\u00e9ment ce reliquat qui a pouss\u00e9 Cronos vers l’option la plus radicale, celle du rembobinage.<\/p> Rien dans l’attaque de Tectonic n’\u00e9tait nouveau. Le sch\u00e9ma date de f\u00e9vrier 2020, quand un premier assaillant avait utilis\u00e9 un flash loan pour fausser le prix de l’ETH sur un march\u00e9 peu profond et vider le protocole bZx d’environ 350 000 dollars, la premi\u00e8re attaque de ce type<\/a>. Six ans plus tard, la recette est identique : trouver un protocole de pr\u00eat qui lit le prix d’un jeton peu liquide sur un seul march\u00e9, pousser ce prix, emprunter contre la garantie sur\u00e9valu\u00e9e, dispara\u00eetre.<\/p> Pourquoi cette faille survit-elle \u00e0 une d\u00e9cennie d’audits ? Parce que l’incitation est imbattable et le co\u00fbt d\u00e9risoire. TRM Labs le formule cr\u00fbment : \u00ab Un attaquant capable de convaincre un protocole qu’un actif sans valeur vaut de l’or n’a jamais besoin de toucher au code. \u00bb Les protocoles de pr\u00eat d\u00e9cident du montant qu’un emprunteur peut retirer en lisant le prix du collat\u00e9ral chez un oracle, et l’oracle lit ce prix sur le march\u00e9. Quand un jeton ne s’\u00e9change presque pas, un seul acheteur suffit \u00e0 d\u00e9placer son cours. C’est la m\u00eame logique qui rend le cr\u00e9dit d\u00e9centralis\u00e9 si sensible aux chocs de collat\u00e9ral, un sujet que nous avons d\u00e9taill\u00e9 dans notre analyse du cr\u00e9dit DeFi et de la fin du levier facile<\/a>.<\/p> L’avertissement n’est pas r\u00e9cent. D\u00e8s 2020, Sergey Nazarov, cofondateur de Chainlink, pr\u00e9venait que \u00ab la seule raison pour laquelle ces sch\u00e9mas tr\u00e8s dangereux ne sont pas davantage discut\u00e9s, c’est que les pertes n’ont pas encore atteint le niveau de Mt. Gox \u00bb, dans une mise en garde publi\u00e9e par The Defiant<\/a>. Six ans et des milliards de dollars plus tard, l’avertissement tient toujours.<\/p> La tentation, apr\u00e8s chaque incident, est d’accuser l’oracle. C’est presque toujours faux. Marcin Kazmierczak, cofondateur de RedStone, l’a rappel\u00e9 apr\u00e8s Tectonic : \u00ab L’oracle ne s’est pas tromp\u00e9. Il a rapport\u00e9 fid\u00e8lement le prix du TONIC sur le pool qu’il lisait \u00e0 cet instant pr\u00e9cis. Rapporter un prix et v\u00e9rifier qu’un prix peut servir de garantie \u00e0 un pr\u00eat sont deux m\u00e9tiers diff\u00e9rents \u00bb, a-t-il d\u00e9clar\u00e9 \u00e0 crypto.news<\/a>.<\/p> La nuance est capitale. Un oracle a pour mission de dire ce que vaut un actif sur le march\u00e9, ici et maintenant. Il n’a pas pour mission de juger si ce march\u00e9 est assez profond pour qu’un pr\u00eateur puisse liquider la position sans faire s’effondrer le prix. Ce second travail, celui de la prudence, revient au protocole. La parade que d\u00e9fend Kazmierczak porte un nom : des plafonds d’emprunt index\u00e9s sur la liquidit\u00e9 r\u00e9ellement mobilisable. Concr\u00e8tement, m\u00eame si le TONIC affiche un cours multipli\u00e9 par cent, un plafond bien calibr\u00e9 n’aurait autoris\u00e9 un emprunt qu’\u00e0 hauteur de ce que le march\u00e9 pouvait r\u00e9ellement absorber, soit une somme d\u00e9risoire au regard des 75 millions extraits.<\/p> Presque toutes ces attaques suivent la m\u00eame chor\u00e9graphie en quatre temps :<\/p> Le flash loan est un amplificateur, pas la cause. Tectonic le prouve : l’attaquant n’a eu besoin que de 600 000 dollars de capital propre, sans emprunt \u00e9clair massif, pour d\u00e9placer un march\u00e9 aussi mince. La cause profonde reste toujours la m\u00eame : un protocole qui traite un prix issu d’un march\u00e9 manipulable comme une v\u00e9rit\u00e9 fiable. Une variante plus r\u00e9cente ne vise pas le prix de march\u00e9 mais un ratio d\u00e9riv\u00e9, par exemple le prix d’une part de coffre ERC-4626 ou le taux de change d’un jeton envelopp\u00e9, qu’un attaquant gonfle par des \u00ab donations \u00bb r\u00e9p\u00e9t\u00e9es ; c’est ainsi qu’en juillet 2026, l’exploit d’Edel Finance a fait s’envoler la valeur d’une action Google tokenis\u00e9e sans que l’oracle sous-jacent ne se trompe une seconde. Le standard OWASP a d’ailleurs hiss\u00e9 la manipulation d’oracle au rang SC03 de son classement 2026<\/a> des failles de smart contracts.<\/p> Trois jours avant Tectonic, un sc\u00e9nario quasi identique s’\u00e9tait jou\u00e9 sur Base, la cha\u00eene de couche 2 d’Ethereum. Le 27 ao\u00fbt 2026, un attaquant a fait passer le jeton MAMO d’environ 0,01 \u00e0 0,43 dollar sur un carnet d’ordres peu profond, puis s’est servi de ces jetons sur\u00e9valu\u00e9s pour emprunter du cbBTC, du WETH, de l’USDC et du wstETH sur le protocole de pr\u00eat Moonwell. En un peu plus de trois heures, il a tir\u00e9 des actifs d’une valeur brute de plus de 11 millions de dollars de quatre march\u00e9s ; les soci\u00e9t\u00e9s de s\u00e9curit\u00e9 PeckShield et CertiK ont chiffr\u00e9 la perte nette \u00e0 environ 8,7 millions de dollars<\/a> (pr\u00e8s de 7,5 millions d’euros). Pour stopper l’h\u00e9morragie, Moonwell a abaiss\u00e9 d’urgence tous ses plafonds d’emprunt sur Base \u00e0 1 wei, une valeur si infime qu’elle rend tout nouvel emprunt impossible.<\/p> Le plus inqui\u00e9tant n’est pas le montant, modeste au regard de Tectonic, mais la r\u00e9p\u00e9tition. C’\u00e9tait le troisi\u00e8me incident de s\u00e9curit\u00e9 de Moonwell en onze mois<\/a> : une erreur d’\u00e9valuation de l’oracle cbETH en f\u00e9vrier 2026, une attaque de gouvernance en mars, puis MAMO en ao\u00fbt. Le m\u00eame protocole, la m\u00eame famille de faille, trois fois. La manipulation d’oracle n’est pas un accident isol\u00e9 ; c’est un motif qui se r\u00e9p\u00e8te, y compris au sein d’une seule \u00e9quipe qui, \u00e0 chaque fois, promet de corriger.<\/p> De bZx en 2020 \u00e0 Tectonic en 2026, la liste des victimes dessine une continuit\u00e9 troublante. Les montants ont chang\u00e9 d’\u00e9chelle ; le m\u00e9canisme, presque jamais. Les conversions ci-dessous sont approximatives, au cours de septembre 2026.<\/p>Trois heures, 600 000 dollars, 75 millions envol\u00e9s : l’affaire Tectonic<\/h2>
Pourquoi la plus vieille attaque de la DeFi fonctionne encore<\/h2>
Un oracle qui ne s’est pas tromp\u00e9<\/h2>
L’anatomie d’une manipulation d’oracle<\/h2>
Moonwell, trois fois en onze mois<\/h2>
Une d\u00e9cennie de manipulations d’oracles<\/h2>