Quand la décentralisation échoue : pourquoi les blockchains publiques actuelles « débranchent » dès qu'une crise survient ?

Le 30 août, les validateurs de Cronos ont gelé toute la blockchain.

24 heures plus tôt, Fogo avait fait de même, et une semaine auparavant, Cosmos Labs avait émis une alerte urgente à toutes les chaînes exécutant son module EVM : soit elles se mettaient à niveau, soit elles s'arrêtaient.

Trois vecteurs d'attaque différents, trois structures de gouvernance on-chain différentes, mais tous ont abouti au même plan d'urgence : arrêter la chaîne.

Lorsqu'une véritable crise survient, la « dernière ligne de défense » d'un réseau décentralisé ne diffère guère du plan d'urgence d'une entreprise Internet traditionnelle : débrancher le câble.

75 millions de dollars, 20 minutes

Ce qui s'est passé sur Cronos a un air de déjà-vu digne d'un manuel.

L'attaquant a ciblé Tectonic, le plus grand et presque le seul protocole de prêt sur Cronos, avec une TVL d'environ 121,7 millions de dollars, représentant 46 % de la valeur totale bloquée en DeFi sur la chaîne. Le point d'appui de l'attaque était le jeton de gouvernance de Tectonic, TONIC, un actif à la liquidité extrêmement faible.

La méthode est classique : en environ 20 minutes, le prix du TONIC a été multiplié par environ 100, puis ces jetons « gonflés » ont été utilisés comme garantie pour emprunter des actifs réels dans le pool de prêt : cbBTC, USDC, WETH, des valeurs refuges.

Le chercheur on-chain Weilin Li estime que la position de l'attaquant s'élevait à environ 364,6 billions de milliards de TONIC. Avec un facteur de garantie de 20 %, la valeur de sa position après manipulation devait atteindre environ 375 millions de dollars pour soutenir un emprunt d'environ 75 millions de dollars. Ce chiffre correspond parfaitement à une multiplication par 100 du prix.

Les validateurs de Cronos ont réagi rapidement. Lorsque la chaîne a été gelée, l'attaquant n'avait transféré qu'environ 6 millions de dollars vers Ethereum via un pont inter-chaînes, laissant environ 60 millions de dollars bloqués sur la chaîne qui avait cessé de produire des blocs.

Le PDG de Crypto.com, Kris Marszalek, a immédiatement déclaré sur X que l'application et l'exchange Crypto.com n'étaient pas affectés et que l'équipe de sécurité aidait à l'enquête.

Ce fut un arrêt des pertes réussi, mais il a aussi révélé une réalité embarrassante : Cronos a pu coordonner un arrêt aussi rapide précisément parce que son ensemble de validateurs est suffisamment petit.

Cronos repose sur le consensus Tendermint, avec un maximum de 100 validateurs, et le nombre réellement actifs est encore plus faible. Cela rend la coordination d'urgence efficace, mais rend aussi le terme « décentralisation » délicat.

En octobre 2022, Avraham Eisenberg avait utilisé une méthode presque identique pour soutirer plus de 100 millions de dollars à Mango Markets sur Solana.

La méthode était la même : manipuler le prix du jeton MNGO à faible liquidité, puis emprunter des actifs réels avec une garantie surévaluée. Eisenberg a ensuite été arrêté et condamné pour fraude sur les matières premières. Le précédent juridique est établi : même si l'attaquant a techniquement suivi les règles du protocole, manipuler le prix d'un jeton DeFi constitue un délit pénal.

Il y a trois jours, le protocole de prêt Moonwell sur le réseau Base venait de perdre environ 8,7 millions de dollars à cause du même schéma d'attaque. L'attaquant a manipulé le prix du jeton à faible liquidité MAMO et a emprunté du cbBTC et de l'USDC. C'était le troisième incident de sécurité lié aux oracles pour Moonwell en 11 mois.

Le scénario de Mango Markets se rejoue de 2022 à 2026, sur trois chaînes différentes, avec trois noms de jetons différents, mais la logique de base n'a pas changé d'un iota.

Les protocoles de prêt DeFi qui listent des jetons à faible liquidité comme garantie, c'est comme une banque qui accepte en gage un tableau sans expertise autorisée : le prix affiché ne compte pas, seul compte ce qui peut être vendu.

La chaîne fonctionne normalement, puis s'arrête 15 heures plus tard

Le cas de Fogo est encore plus intrigant.

Le soir du 29 août (21 h 13, heure de l'Est), la Fondation Fogo a publié sur X qu'un attaquant inconnu avait « compromis » la fondation, entraînant le transfert de 400 millions de jetons FOGO à des acteurs malveillants. La fondation a notifié les exchanges et les forces de l'ordre, tout en soulignant que « la blockchain Fogo elle-même n'est pas affectée et continue de fonctionner normalement ».

400 millions de FOGO représentent 4 % de l'offre totale de genèse (10 milliards de jetons), mais plus de 10 % de l'offre en circulation actuelle. Au prix d'environ 0,0075 $ au moment de l'incident, cela représente environ 3 millions de dollars. Le montant n'est pas énorme, mais 10 % de l'offre en circulation tombant soudainement entre les mains d'un attaquant constitue un risque systémique pour une L1 dont la capitalisation boursière n'est déjà pas élevée.

La réaction de Bitget est intéressante : l'exchange a suspendu les dépôts et retraits de FOGO environ une heure avant la divulgation officielle de Fogo, invoquant une « maintenance du portefeuille ». KuCoin a suivi peu après. Le flair des exchanges a été plus affûté que l'annonce du projet.

Ce qui s'est passé ensuite est crucial : après que la fondation a déclaré que « la chaîne fonctionne normalement », environ 15 heures plus tard, Fogo a arrêté son mainnet. L'annonce indiquait que la suspension visait à empêcher tout transfert supplémentaire des actifs affectés, et que les validateurs mettraient à niveau le réseau pour « restreindre les adresses liées à des activités non autorisées ».

Entre « tout va bien » et « débrancher le câble », il ne s'est écoulé qu'une nuit de sommeil.

La fondation n'a toujours pas divulgué le vecteur d'attaque, ni expliqué si les jetons volés provenaient des réserves opérationnelles ou des avoirs de trésorerie. La question plus cruciale est la suivante : si Fogo peut coordonner ses validateurs pour arrêter toute la chaîne et geler des adresses spécifiques, comment définir son degré de décentralisation ?

Un bug, six chaînes, quatre mois

L'histoire de Cosmos EVM est une horreur d'une autre dimension.

Il ne s'agit pas d'un problème propre à une chaîne particulière, mais d'une vulnérabilité au niveau de la chaîne d'approvisionnement dans une base de code partagée. Cosmos EVM est un module open source qui permet aux blockchains basées sur le SDK Cosmos d'exécuter des contrats intelligents compatibles Ethereum. Toute chaîne ayant adopté ce module a hérité du même défaut de code.

La vulnérabilité est une erreur de sous-dépassement d'entier : lorsque le montant délégué d'un compte de vesting dépasse son solde disponible, le système ne renvoie pas d'erreur, mais fait « reboucler » le solde vers un nombre astronomique proche de 2 puissance 256. L'attaquant n'a pas besoin de privilèges d'administrateur ; il lui suffit de construire une transaction spéciale pour que n'importe quel compte se retrouve soudainement avec un solde quasi illimité.

La chronologie est troublante.

Le 25 avril, un chercheur a signalé ce défaut via le programme de bug bounty de Cosmos Labs. La conclusion de l'équipe de test : les réseaux de production ne sont pas affectés. Le correctif a été poussé comme une mise à jour de routine, sans être marqué comme critique pour la sécurité, sans publication d'avis de vulnérabilité, et sans notification aux opérateurs de chaînes en aval.

Le 13 août, l'équipe a confirmé en interne que toutes les chaînes Cosmos EVM étaient affectées. Le 19 août, la version corrigée a été publiée. Le 20 août, un jour seulement après la publication du correctif, la première attaque a frappé MANTRA. En cinq jours, l'attaque s'est propagée à six chaînes, dont MANTRA, TAC et KiiChain, pour une perte totale d'environ 5,72 millions de dollars.

Dans sa réponse d'urgence, Cosmos Labs a contacté 40 chaînes et a découvert 11 déploiements Cosmos EVM qui ne figuraient pas du tout dans son registre. Dans un écosystème de plus de 115 chaînes publiques, le fait que le mainteneur ne sache pas qui utilise son code est en soi plus effrayant que la vulnérabilité.

Le 24 août, Cosmos Labs a publié une déclaration publique sur X, recommandant à toutes les chaînes exécutant le module Cosmos EVM de demander à leurs validateurs de s'arrêter. Le correctif est de type « state-breaking » (rupture d'état), nécessitant une mise à niveau coordonnée ; les chaînes ne pouvant pas se mettre à niveau immédiatement ont été invitées à s'arrêter directement.

Ce n'est pas la première fois. En janvier 2026, des attaquants ont exploité une vulnérabilité de précompilation ICS20 dans la même base de code pour voler environ 7 millions de dollars au réseau EVM de Saga. Même base de code, même année, deux incidents de sécurité au niveau de la chaîne d'approvisionnement.

Le modèle de partage des logiciels open source offre d'énormes avantages en termes d'efficacité, mais en matière de sécurité, il signifie aussi qu'un bug peut se propager comme une maladie infectieuse dans tout l'écosystème. L'industrie du logiciel traditionnel dispose de mécanismes matures pour y faire face, comme les identifiants CVE, les avis de sécurité obligatoires et les fenêtres de correctifs en aval. Cosmos Labs a sauté presque toutes ces étapes dans cet incident.

Même propriété, deux évaluations

BeInCrypto, en couvrant l'arrêt de Cronos, a cité une formulation précise : une chaîne qui peut être arrêtée est aussi une chaîne qui peut récupérer des fonds.

Après l'arrêt de Cronos, le jeton CRO a en fait augmenté d'environ 4 à 5 %. Le marché a intégré le « succès de l'arrêt des pertes ». Environ 60 millions de dollars d'actifs volés restent bloqués sur la chaîne ; si les validateurs choisissent un rollback ou une liste noire, ces fonds pourraient être récupérés. Mais les déposants de Tectonic n'ont reçu à ce jour aucune promesse de remboursement.

Après l'arrêt de Fogo, le prix du FOGO a chuté de 18 à 20 %. La possibilité de geler les 400 millions de jetons détenus par l'attaquant dépend de ce que signifie techniquement « restreindre les adresses », ce que Fogo n'a toujours pas expliqué. De plus, un déblocage d'environ 1,54 milliard de FOGO (15,44 % de l'offre totale) est prévu pour le 26 septembre, et cette coïncidence temporelle fragilise encore davantage la confiance du marché.

Dans le cas de Cosmos EVM, MANTRA a repris la production de blocs après environ 30 heures d'arrêt, affirmant que les soldes des utilisateurs n'étaient pas affectés. TAC s'est arrêté au bloc 24 671 475 le 22 août et n'avait toujours pas repris au moment de la rédaction. KiiChain a confirmé avoir été attaqué 18 fois, avec une perte d'environ 148 millions de KII.

Face à la même vulnérabilité, trois chaînes ont connu trois issues différentes.

Au premier semestre 2026, Blockaid a signalé des pertes de plus de 1,1 milliard de dollars dues à des incidents de sécurité on-chain, réparties sur 212 incidents. Les statistiques de CertiK sont encore plus élevées : 344 incidents, pour environ 1,31 milliard de dollars de pertes, dépassant le total de toute l'année 2025.

Ces chiffres dessinent une réalité : les problèmes de sécurité des réseaux crypto ne s'améliorent pas, ils s'aggravent.

Les méthodes d'attaque sont constamment réutilisées et évoluent, mais les mécanismes de défense ne suivent pas. La tarification par oracle des jetons à faible liquidité et l'audit de sécurité des bases de code partagées restent deux talons d'Achille systémiques.

Le seul plan de secours est d'« arrêter la chaîne », ce qui est en soi un signal : l'architecture de sécurité de la génération actuelle de réseaux crypto est loin d'être prête à porter la vision de décentralisation sans confiance qu'ils prétendent incarner. Quant à ce qu'il faut faire après l'arrêt de la chaîne — rollback, liste noire ou redémarrage à l'identique — chaque option a ses propres conséquences et crée un précédent. Ce n'est pas un choix technique, c'est une décision de gouvernance, et la gouvernance n'a jamais été le sujet que le monde crypto aime discuter ouvertement.

Lien vers l'article original