Piratage du bridge Across : un domaine détourné siphonne environ 350 000 dollars sur six blockchains

Le bridge Across n’a pas failli à cause de ses smart contracts, mais à cause de son adresse internet. Le mardi 10 novembre au soir, des attaquants ont pris le contrôle du domaine across.to et redirigé les visiteurs vers une page d’hameçonnage plus vraie que nature. Quiconque y a connecté son portefeuille et confirmé une autorisation ou une signature doit dès maintenant vérifier et révoquer ses autorisations de jetons. Across a depuis récupéré le domaine et promet une indemnisation complète à toutes les victimes.

Selon une estimation de la société de sécurité GoPlus, le préjudice s’élève à environ 350 000 dollars, répartis sur six blockchains. Across n’a encore communiqué ni montant propre ni nombre de victimes. Pour les investisseurs en cryptoactifs, un point compte avant tout : l’attaque visait les portefeuilles des utilisateurs, le protocole lui-même est resté intact. Seuls ceux qui ont signé sur la fausse page pendant la période du détournement ont perdu de l’argent. Les utilisateurs qui transfèrent leurs cryptos d’un réseau à l’autre via une plateforme crypto réglementée n’étaient pas exposés à ce mode d’attaque, car la plateforme gère le changement de réseau en interne et n’exige aucune autorisation depuis votre propre portefeuille.

Bridge Across : ce qui s’est passé le 10 novembre

Across est un bridge, c’est-à-dire un protocole qui déplace des jetons d’une blockchain à l’autre, par exemple d’Ethereum vers Arbitrum ou Base. Les utilisateurs ouvrent en général l’interface web à l’adresse across.to, connectent leur portefeuille et confirment le transfert. C’est précisément cette interface web que les attaquants ont prise en main.

Selon Across, l’attaque a commencé en début de soirée mardi. Le soir même, l’équipe a averti sur X que personne ne devait ouvrir l’application, connecter un portefeuille ni signer de transactions ou d’autorisations. À ce moment-là, plusieurs utilisateurs signalaient déjà des portefeuilles vidés. Selon Cointelegraph, un utilisateur a fait état d’une perte de 9 000 USDC, un autre de 7 053 USDT0 siphonnés en sept transactions sur la blockchain Plasma. Ces chiffres individuels proviennent des victimes elles-mêmes et n’ont pas été confirmés de manière indépendante.

Le mercredi 11 novembre au matin, Across a levé l’alerte : le domaine était de nouveau sous son contrôle et tous les systèmes fonctionnaient normalement. L’équipe a remercié le fondateur de Namecheap, Richard Kirkendall, qui avait réagi sur X, aidé à sécuriser le compte et ouvert une enquête.

Détournement de domaine via le registraire Namecheap

Un détournement de domaine est la prise de contrôle d’une adresse internet par des personnes non autorisées. Qui contrôle un domaine décide, au moyen des enregistrements DNS, vers quel serveur il pointe. Le DNS est l’annuaire d’internet : il traduit un nom comme across.to en adresse de serveur. Si un attaquant modifie cet enregistrement, les visiteurs atterrissent sur son serveur alors que la barre d’adresse du navigateur affiche le bon domaine.

Across met en cause une attaque d’ingénierie sociale visant le registraire Namecheap. Un registraire est l’entreprise auprès de laquelle un domaine est enregistré et géré. Dans l’ingénierie sociale, les attaquants trompent des personnes plutôt que des machines : ils se font par exemple passer pour le titulaire du compte et amènent le support à modifier des identifiants ou à transférer un compte. Le déroulé exact dans le cas d’Across reste inconnu. L’équipe affirme que le domaine était protégé par les mesures de sécurité habituelles et annonce les détails dans son rapport final. Selon les informations disponibles, Namecheap ne s’est pas encore exprimé publiquement sur les faits ; la cause repose pour l’instant sur la seule version d’Across.

La rapidité de la riposte est frappante. Selon crypto.news, Across a reçu une alerte en moins de 15 minutes. Le groupe de sécurité SEAL 911 a fait signaler across.to comme site d’hameçonnage auprès des grands fournisseurs de portefeuilles, Cloudflare a classé le domaine comme dangereux et supprimé les enregistrements DNS. Across a coupé temporairement son interface web et son interface de programmation jusqu’à la récupération du domaine.

Environ 350 000 dollars de pertes sur six blockchains

GoPlus évalue les pertes à un peu moins de 350 000 dollars. Selon cette estimation, des portefeuilles sur Ethereum, Arbitrum, Base, BNB Chain, Ink et Plasma ont été touchés. Un autre chiffre d’environ 294 000 dollars circule dans certains médias, sans que son origine soit traçable. Tant qu’Across n’a pas présenté ses propres chiffres dans le rapport final, l’ordre de grandeur doit donc se lire comme une fourchette : quelques centaines de milliers de dollars, répartis sur un nombre encore inconnu de portefeuilles.

Au regard des grands piratages de bridges, comme l’attaque contre le bridge Ronin en 2022, au cours de laquelle plus de 600 millions de dollars étaient sortis des contrats eux-mêmes, la somme est modeste. Pour chaque victime, cela change peu de chose, car un drainer vide en général entièrement un portefeuille, dans la limite des autorisations accordées. Les cas individuels signalés concernent des stablecoins comme l’USDC et l’USDT0.

Approvals, permits et Permit2 : les signatures exploitées par le drainer

Un wallet drainer est un programme installé sur une page d’hameçonnage qui amène les utilisateurs à lui donner accès à leurs jetons. D’après l’analyse de GoPlus, la fausse page Across utilisait trois méthodes typiques de ce genre d’attaque :

• Autorisation directe de jetons (approval) : une transaction sur la blockchain qui permet à une adresse tierce de déplacer des jetons d’un type donné hors du portefeuille. Cette autorisation entraîne des frais et apparaît dans l’explorateur de blocs.
• Permit EIP-2612 : une signature donnée hors de la blockchain qui accorde la même permission. Elle ne coûte rien et n’apparaît d’abord nulle part. Ce n’est que lorsque l’attaquant la soumet qu’elle devient une autorisation.
• Autorisation Permit2 : Permit2 est un contrat très répandu par lequel de nombreuses applications regroupent les autorisations. Qui l’a approuvé une fois peut, par une signature supplémentaire, donner accès à des adresses particulières.

Dans certains cas, selon GoPlus, des victimes ont aussi été amenées à envoyer des cryptos directement aux adresses des attaquants. Toutes ces méthodes ont en commun que le logiciel du portefeuille montre seulement ce qui est signé, et non si la page est authentique. Sur un domaine détourné, tout a l’air normal. Le fonctionnement de ces signatures et la manière de les reconnaître dans la fenêtre de confirmation sont expliqués dans notre guide sur les wallet drainers et les autorisations.

Smart contracts intacts : pourquoi le bridge lui-même est resté sûr

Across souligne que les smart contracts du protocole n’ont pas été touchés. Les fonds déposés dans les contrats du bridge et la liquidité des fournisseurs sont restés intacts. Les utilisateurs de l’interface de programmation et les applications tierces qui intègrent Across en arrière-plan n’ont pas non plus été affectés, selon l’équipe. Ceux qui ont effectué un transfert via une application de portefeuille ou un agrégateur utilisant Across comme simple itinéraire n’ont donc jamais vu la fausse page.

La distinction est importante pour savoir si des avoirs en cours de transfert sont menacés. Un transfert lancé avant l’attaque via le site authentique est passé par les contrats inchangés. Le danger tenait uniquement à la combinaison de trois conditions : une visite sur across.to pendant la période concernée, un portefeuille connecté et une signature ou une transaction confirmée.

Révoquer les autorisations de jetons : comment vérifier votre portefeuille

Si vous vous êtes rendu sur across.to les 10 ou 11 novembre, contrôlez immédiatement les autorisations accordées par votre portefeuille. L’opération prend quelques minutes :

1. Afficher les autorisations : saisissez l’adresse de votre portefeuille sur Revoke.cash ou dans le Token Approval Checker d’Etherscan. Revoke.cash affiche les autorisations sur de nombreux réseaux, y compris celles de Permit2. Arbitrum et BNB Chain disposent de leurs propres explorateurs dotés de la même fonction.
2. Repérer les entrées suspectes : surveillez les autorisations datées des 10 ou 11 novembre, les adresses de destination inconnues et les montants « illimités ». GoPlus a signalé plusieurs adresses de destination de l’attaque comme suspectes.
3. Révoquer : chaque révocation est une petite transaction à part entière, soumise aux frais du réseau concerné. Sur Ethereum, une révocation ne coûtait récemment que des fractions de centime, comme le montre notre article de septembre sur la révocation des autorisations de jetons.
4. Changer d’adresse après une signature permit : une signature permit que l’attaquant n’a pas encore soumise n’apparaît dans aucune liste d’autorisations. Si vous avez signé sur la fausse page et que votre portefeuille contient encore des avoirs, le transfert vers une nouvelle adresse est la solution sûre.

Une révocation ne protège que ce qui se trouve encore dans le portefeuille. Elle ne restitue pas les jetons déjà siphonnés. Elle empêche en revanche le drainer d’y accéder de nouveau plus tard, par exemple lorsque de nouveaux stablecoins arrivent sur l’adresse.

Indemnisation par Across : la situation avant le rapport final

Across s’est engagé à indemniser intégralement toutes les victimes. « All affected users will be made whole » (tous les utilisateurs touchés seront intégralement dédommagés), a écrit l’équipe le 11 novembre, en annonçant un post-mortem détaillé dans les prochains jours. Un post-mortem est le rapport final établi après un incident de sécurité, avec chronologie, cause et conséquences. Dès le soir de l’attaque, Across avait demandé aux utilisateurs lésés d’envoyer le détail de leurs transactions.

Across n’a pas encore publié de procédure arrêtée avec formulaire, délai et modalités de versement. Il est donc judicieux de sécuriser dès maintenant vos propres preuves : l’adresse du portefeuille, les hashs de transaction des montants siphonnés, les horodatages et des captures d’écran de l’explorateur de blocs. Vous pourrez ainsi étayer une demande dès que la procédure sera en place. Si vous avez perdu de l’argent, vous pouvez en outre déposer plainte auprès de la police de votre pays, souvent aussi en ligne.

Alertes d’hameçonnage et faux sites de remboursement après l’attaque

Across signale que certains portefeuilles et navigateurs peuvent encore signaler pendant un temps le site authentique comme une page d’hameçonnage. En cause, les listes de blocage sur lesquelles SEAL 911 et Cloudflare ont inscrit le domaine pendant l’attaque. Selon l’équipe, ces alertes devraient bientôt disparaître.

Les piratages assortis d’une promesse d’indemnisation sont souvent suivis d’une seconde vague : faux sites de remboursement, messages directs de prétendus agents du support et formulaires demandant la phrase de récupération. La phrase de récupération est la liste de mots qui permet de restaurer intégralement un portefeuille. Aucune procédure d’indemnisation sérieuse ne la demande. Les informations sur le remboursement passent exclusivement par les canaux officiels d’Across ; les liens publiés en réponse aux messages de l’équipe ou envoyés en privé n’en font pas partie.

Le registraire, maillon faible : Name.com, Namecheap et le DNS

Le cas Across n’est pas isolé. Début novembre déjà, des attaquants avaient pris le contrôle de plusieurs domaines via le registraire Name.com et placé un drainer sur douze sites DeFi, comme nous l’avons décrit dans notre article sur les domaines Name.com détournés. Le schéma est identique : les contrats sur la blockchain sont sûrs, l’interface web qui les précède ne l’est pas.

Pour les utilisateurs, cela signifie qu’un favori ne protège pas à lui seul, puisque l’adresse est correcte. Ce sont plutôt les habitudes qui protègent : n’accorder des autorisations qu’à hauteur du montant nécessaire plutôt qu’illimitées, conserver les sommes importantes sur une adresse jamais connectée à des sites DeFi et faire régulièrement le ménage dans les autorisations. Les portefeuilles matériels aident dans la mesure où ils affichent chaque signature sur leur propre écran ; ils n’empêchent pas une autorisation malveillante confirmée en connaissance de cause.

Les investisseurs ont aussi croisé récemment Across à travers son propre jeton, l’ACX : Bitvavo l’avait retiré de la cote au 27 octobre, comme le montre notre article sur le retrait de l’ACX chez Bitvavo. Cela n’a rien à voir avec l’attaque du domaine, le jeton lui-même n’était pas la cible du drainer.

Piratage du bridge Across : jusqu’au post-mortem, le contrôle des autorisations prime

1. Faire le ménage dans les autorisations : contrôlez tous les portefeuilles que vous avez connectés à across.to pendant la période concernée et révoquez les autorisations suspectes. Si vous changez souvent de réseau, notre comparatif des wallets logiciels présente des fournisseurs qui affichent clairement les signatures avant confirmation.
2. Conserver les preuves : notez votre adresse, les hashs de transaction et les horodatages afin de pouvoir étayer votre demande d’indemnisation auprès d’Across dès que la procédure sera publiée.
3. Changer de réseau sans autorisation propre : si vous ne déplacez des cryptos d’une blockchain à l’autre qu’occasionnellement, vous pouvez passer par une plateforme qui propose dépôts et retraits sur plusieurs réseaux. Les prestataires qui le permettent, et à quels frais, figurent dans le comparatif des meilleures plateformes crypto.

(Au 11 novembre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)