Across Protocol Restaure Son Site Après Attaque Phishing

Imaginez ouvrir le site d’un protocole de bridge cross-chain réputé et vous retrouver face à une page parfaitement imitée qui vous invite discrètement à signer des autorisations. C’est exactement ce qui s’est produit le 10 novembre pour les visiteurs d’Across Protocol. En quelques heures, des pirates ont pris le contrôle du domaine, redirigé le trafic vers une interface frauduleuse et drainé des fonds estimés à près de 350 000 dollars. Le protocole a depuis récupéré son site, promis d’indemniser les victimes et annoncé une enquête complète. Cette affaire remet une fois de plus en lumière la fragilité des points d’entrée web dans l’écosystème crypto.

Comment l’attaque a pu se dérouler si rapidement

Tout a commencé aux alentours de 18 h 45 UTC le 10 novembre. Les attaquants ont réussi à s’emparer du domaine across.to grâce à une opération d’ingénierie sociale visant le registrar Namecheap. Ils n’ont pas touché aux smart contracts du bridge. Ils ont simplement modifié les paramètres DNS pour pointer vers une page de phishing soigneusement conçue pour ressembler au site officiel.

En moins de quinze minutes, l’équipe d’Across a reçu une alerte. Elle a immédiatement collaboré avec le groupe SEAL911 pour signaler le domaine comme malveillant auprès des principales wallets crypto. Cloudflare a ensuite classé le site comme dangereux et a retiré ses enregistrements DNS, coupant ainsi l’accès à la page frauduleuse. Pendant ce temps, le protocole a suspendu temporairement son frontend et ses services API le temps de reprendre le contrôle.

La récupération n’a pas été immédiate. Dans un premier temps, Namecheap n’a pas répondu aux sollicitations. Ce n’est que plus tard que le fondateur de la société, Richard Kirkendall, a intervenu publiquement, aidant à sécuriser le compte et lançant une investigation interne. Across a ensuite confirmé que le domaine était de nouveau sous son contrôle et que tous les systèmes fonctionnaient normalement.

Tous les utilisateurs touchés seront indemnisés. Nous publierons un post-mortem complet dans les prochains jours.

Across Protocol

Les mécanismes utilisés pour vider les wallets

Selon l’analyse de la société de sécurité GoPlus, les pertes s’élèvent à environ 350 000 dollars répartis sur plusieurs réseaux : Ethereum, Arbitrum, Base, BNB Chain, Ink et Plasma. Les victimes n’ont pas forcément envoyé des fonds volontairement. Beaucoup ont été amenées à signer des autorisations dangereuses.

Les attaquants ont principalement exploité trois techniques. D’abord les signatures EIP-2612, qui permettent d’approuver des dépenses sans transaction on-chain classique. Ensuite les autorisations Permit2, très utilisées dans les interfaces DeFi modernes. Enfin les approvals de tokens classiques qui donnent à un spender le droit de transférer des actifs à n’importe quel moment.

Une fois ces permissions accordées, le pirate peut déplacer les tokens sans nouvelle confirmation de la victime. Dans certains cas, des utilisateurs ont également envoyé des cryptos directement vers des adresses contrôlées par les attaquants. GoPlus a identifié plusieurs adresses de spender suspectes et a conseillé à chacun d’examiner minutieusement les permissions actives sur ses wallets.

La réaction d’Across et les mesures de protection mises en place

Dès la reprise du contrôle, Across a communiqué clairement. Le protocole a affirmé que son domaine bénéficiait pourtant de mesures de sécurité classiques et qu’il examinerait en détail les circonstances de la prise de contrôle dans son rapport final. Il a aussi insisté sur le fait que seuls les visiteurs ayant interagi avec le site pendant la fenêtre d’attaque étaient potentiellement concernés.

Pour les utilisateurs, le message a été direct : vérifier immédiatement les permissions accordées le 10 novembre. Across a recommandé d’utiliser des outils comme Revoke.cash pour inspecter et révoquer les approvals suspects. Révoquer une autorisation empêche de futures utilisations, mais ne permet pas de récupérer les fonds déjà partis.

Le protocole a également rappelé que certaines signatures off-chain, notamment les permits, peuvent rester valides même si elles n’apparaissent pas dans la liste classique des approvals de tokens. Les victimes sont invitées à contacter le compte officiel d’Across avec les détails de leurs transactions (adresses et hashes) tout en restant extrêmement prudentes face aux messages non sollicités qui prétendent venir de l’équipe.

Un contexte déjà tendu pour les sites DeFi

Cette attaque s’inscrit dans une série d’incidents similaires. Fin octobre, la société Blockaid avait déjà signalé au moins douze sites DeFi compromis par le même type de kit de phishing, baptisé Step Drainer. Parmi les victimes figurait notamment Flap, qui avait confirmé un détournement DNS redirigeant ses visiteurs vers une page frauduleuse.

Ces événements montrent que les attaquants se concentrent de plus en plus sur la couche web plutôt que sur les contrats intelligents eux-mêmes. Un domaine est souvent plus facile à compromettre via de l’ingénierie sociale ou une faille chez le registrar qu’un smart contract correctement audité. Une fois le site sous contrôle, il devient un piège extrêmement efficace car les utilisateurs font naturellement confiance à l’URL officielle.

Across n’en est d’ailleurs pas à son premier incident. En juillet, le protocole avait déjà subi une attaque distincte ciblant son relayer sur Solana. Des acteurs malveillants avaient fabriqué 1 627 événements de dépôt fictifs pour une valeur nominale de 41,7 millions de dollars. Le relayer avait traité 581 de ces demandes avant d’être suspendu, générant une perte nette inférieure à 4 millions de dollars après récupération d’une partie des fonds piégés. L’attaque de novembre est d’une nature totalement différente : elle visait directement les wallets des utilisateurs via le site web.

Pourquoi les bridges restent des cibles privilégiées

Les bridges cross-chain occupent une place stratégique dans l’écosystème. Ils permettent de déplacer des actifs entre différentes blockchains et concentrent donc d’importants volumes de liquidité. Selon les données de DefiLlama, Across a enregistré environ 5,9 milliards de dollars de transferts au cours des trente jours précédant l’attaque. Ce niveau d’activité attire forcément l’attention des pirates.

Pourtant, dans ce cas précis, ce n’est pas le bridge lui-même qui a été compromis, mais uniquement son interface web. Les contrats intelligents et les utilisateurs qui interagissaient via l’API ou des intégrations tierces n’ont pas été touchés. Cette distinction est importante : elle montre que même un protocole techniquement solide peut souffrir d’une faille située en amont, au niveau du nom de domaine ou de la gestion du site.

De nombreux projets crypto s’appuient encore sur des registrars traditionnels et des configurations DNS classiques. Ces infrastructures n’ont pas été conçues à l’origine pour résister à des attaques sophistiquées d’ingénierie sociale ciblant spécifiquement l’écosystème blockchain. Tant que cette situation perdure, les domaines resteront un point faible récurrent.

Les leçons à tirer pour les utilisateurs de DeFi

Cette affaire rappelle plusieurs règles de prudence élémentaires mais trop souvent négligées. La première consiste à vérifier systématiquement l’URL et le certificat avant de connecter un wallet, même si l’on arrive sur le site via un favori ou un lien habituel. Une redirection peut survenir à tout moment.

La deuxième règle concerne les signatures. Chaque fois qu’une interface demande une signature, il faut lire attentivement ce qui est demandé. Une approbation illimitée ou un permit permanent représente un risque élevé. Dans la mesure du possible, il vaut mieux privilégier des autorisations limitées en montant ou en durée.

Enfin, il est judicieux de maintenir une hygiène de wallet régulière. Des outils comme Revoke.cash permettent de lister et de révoquer les permissions inutiles. Faire ce ménage périodiquement réduit considérablement la surface d’attaque en cas de compromission future d’un site de confiance.

Ce que le protocole promet pour la suite

Across a pris un engagement clair : tous les utilisateurs touchés seront indemnisés. Cette promesse est importante pour la confiance, surtout après un incident qui n’est pas lié à une faille dans le code du protocole lui-même. Le projet a également annoncé la publication d’un post-mortem détaillé qui devrait expliquer précisément comment les attaquants ont réussi à contourner les protections existantes sur le domaine.

Dans l’immédiat, le site est de nouveau opérationnel et les services fonctionnent normalement. Des alertes de phishing peuvent cependant encore apparaître dans certains navigateurs ou wallets pendant un certain temps, conséquence des signalements effectués pendant la crise. Across a prévenu ses utilisateurs de ce possible effet de bord temporaire.

L’équipe a également souligné que les utilisateurs qui n’avaient pas visité le site pendant la fenêtre d’attaque n’étaient pas concernés. Cette précision vise à rassurer la grande majorité de la communauté tout en encourageant ceux qui ont interagi avec la page frauduleuse à agir rapidement.

Un signal d’alarme pour tout l’écosystème

L’attaque contre Across Protocol n’est pas isolée. Elle s’inscrit dans une tendance plus large où les pirates abandonnent parfois les exploits complexes de smart contracts au profit de méthodes plus simples et tout aussi rentables : le détournement de domaines et le phishing de permissions. Ces techniques demandent souvent moins de compétences techniques pointues mais une bonne capacité d’ingénierie sociale et une réactivité élevée.

Pour les projets, cela signifie qu’il faut renforcer la sécurité autour de la gestion des domaines. L’utilisation de registrars plus sécurisés, la mise en place de protections multi-facteurs avancées, le monitoring en temps réel des changements DNS et des plans de réponse rapide deviennent indispensables. Certains protocoles commencent également à explorer des solutions de noms de domaine on-chain ou des configurations DNS plus résistantes aux prises de contrôle traditionnelles.

Pour les utilisateurs, la leçon est claire : la confiance absolue envers une URL, même connue, n’est plus tenable. Chaque interaction avec un site DeFi doit s’accompagner d’une vérification minimale et d’une prudence accrue lors de la signature de permissions. Les outils de révocation existent ; encore faut-il les utiliser régulièrement.

Les enjeux de confiance après un tel incident

Un bridge comme Across repose largement sur la confiance des utilisateurs. Lorsqu’un domaine est détourné, même temporairement, cette confiance peut être ébranlée. La rapidité de la réponse, la transparence de la communication et l’engagement à indemniser les victimes jouent alors un rôle déterminant dans la capacité du protocole à retrouver sa crédibilité.

Across a choisi une approche proactive. En annonçant dès le départ que les utilisateurs seraient rendus « whole » et en promettant un post-mortem détaillé, le projet tente de transformer un incident regrettable en opportunité de démontrer sa maturité opérationnelle. Reste à voir si le rapport final apportera toutes les réponses attendues, notamment sur les éventuelles failles dans les procédures de sécurité du domaine.

Dans un secteur où les attaques se multiplient, la façon dont un projet gère la crise devient presque aussi importante que la solidité technique de son code. Les utilisateurs observent attentivement ces réactions et ajustent en conséquence le niveau de confiance qu’ils accordent aux différentes plateformes.

Vers une meilleure résilience des interfaces DeFi

Au-delà du cas particulier d’Across, cette affaire pose la question plus large de la résilience des interfaces web dans la finance décentralisée. Les smart contracts bénéficient d’audits, de programmes de bug bounty et d’une attention constante de la communauté. Les sites web et les domaines, en revanche, restent souvent le parent pauvre de la sécurité.

Plusieurs pistes émergent. Certaines équipes expérimentent des systèmes de signature multiple pour les changements DNS. D’autres mettent en place des alertes automatisées dès qu’un enregistrement est modifié. Des solutions de DNS décentralisé ou de noms de domaine basés sur la blockchain commencent également à être explorées, même si leur adoption reste encore limitée.

En attendant, la vigilance reste le meilleur rempart. Les utilisateurs avertis savent désormais qu’un site peut être compromis sans que le protocole sous-jacent ne soit touché. Cette distinction, longtemps théorique, est devenue concrète avec les récentes vagues d’attaques par détournement de domaine.

Un incident qui rappelle l’importance de la diversification

Pour les utilisateurs actifs en DeFi, l’attaque contre Across renforce un conseil déjà bien connu : ne pas concentrer tous ses actifs derrière un seul point d’entrée. Utiliser plusieurs wallets, limiter les approvals permanents et maintenir des montants raisonnables sur les interfaces web sont des pratiques qui réduisent l’impact potentiel d’une telle compromission.

Il est également utile de se familiariser avec les outils d’analyse de permissions. Savoir lire rapidement une demande de signature et identifier une autorisation dangereuse peut faire la différence entre une simple alerte et une perte réelle. Cette compétence devient presque aussi importante que la compréhension des mécanismes de yield farming ou de liquidité.

Enfin, suivre les canaux officiels des protocoles que l’on utilise régulièrement permet de réagir plus vite en cas d’incident. Dans le cas d’Across, la communication sur X a été relativement rapide et a permis de limiter la fenêtre d’exposition. Les utilisateurs qui suivent ces comptes ont pu être alertés plus tôt que ceux qui découvrent le problème seulement plusieurs heures plus tard.

Conclusion provisoire en attendant le post-mortem

Across Protocol a réussi à reprendre le contrôle de son domaine et à rétablir ses services. Les pertes estimées à 350 000 dollars restent significatives pour les utilisateurs concernés, même si le protocole s’est engagé à les indemniser. L’attaque elle-même n’a pas compromis les contrats intelligents ni les utilisateurs d’API, ce qui limite sa portée structurelle.

Pourtant, cet incident sert de rappel salutaire. La sécurité d’un protocole DeFi ne se limite pas à la robustesse de son code. Elle inclut aussi la protection de ses points d’entrée web, la réactivité de son équipe face aux crises et la capacité à communiquer clairement avec sa communauté. Sur ces aspects, Across a réagi avec une certaine efficacité, même si des questions subsistent sur les circonstances exactes de la prise de contrôle initiale.

Le post-mortem annoncé devrait apporter des éclaircissements précieux. En attendant, les utilisateurs sont invités à vérifier leurs permissions, à révoquer ce qui doit l’être et à rester vigilants. Dans un écosystème où les attaques par phishing de domaine se multiplient, la prudence individuelle reste la première ligne de défense.

Cette affaire montre une fois de plus que la finance décentralisée, malgré ses avancées technologiques, reste exposée à des vecteurs d’attaque très classiques. Tant que les interfaces web et les registres de domaines ne bénéficieront pas du même niveau d’attention que les smart contracts, ce type d’incident continuera de se produire. La communauté, les projets et les utilisateurs ont tous un rôle à jouer pour relever ce défi de sécurité.