Imaginez ouvrir le site d’un protocole de bridge réputé pour transférer vos actifs d’une chaîne à l’autre, et découvrir trop tard que la page que vous venez de consulter n’est plus celle d’origine. C’est exactement ce qui s’est produit le 10 novembre pour de nombreux utilisateurs d’Across Protocol. En quelques heures, un détournement de domaine a transformé l’interface habituelle en piège sophistiqué, avec des pertes estimées à près de 350 000 dollars. Le protocole a depuis repris le contrôle, promis une indemnisation et annoncé une enquête approfondie. Mais l’épisode laisse un goût amer et soulève des questions qui dépassent largement ce seul incident.
Un détournement de domaine qui a surpris tout le monde
Tout a commencé aux alentours de 18 h 45 UTC le 10 novembre. Un attaquant a réussi à prendre le contrôle du domaine d’Across grâce à une opération d’ingénierie sociale visant le registrar Namecheap. Aucune faille dans les contrats intelligents du bridge n’a été exploitée. L’attaque s’est concentrée sur l’infrastructure web, bien plus accessible une fois les accès administratifs compromis. Les visiteurs ont été redirigés vers une page frauduleuse soigneusement conçue pour imiter le site officiel.
Le protocole a reçu une alerte en moins de quinze minutes et a immédiatement engagé des actions pour limiter les dégâts. L’équipe a suspendu temporairement le frontend et les services API pendant la récupération. Des groupes de réponse comme SEAL911 ont aidé à signaler le domaine comme dangereux auprès des principaux portefeuilles. Cloudflare a ensuite classé le site comme malveillant et a retiré les enregistrements DNS, coupant ainsi l’accès à la page piégée. Ces mesures ont permis de freiner l’hémorragie pendant que les responsables négociaient le retour du contrôle du compte registrar.
Dans un premier temps, Namecheap n’a pas répondu rapidement aux demandes d’assistance. La situation a évolué lorsque le fondateur de l’entreprise, Richard Kirkendall, a intervenu publiquement. Across a ensuite remercié explicitement cette intervention qui a permis de sécuriser le compte et d’ouvrir une enquête interne. Le protocole a insisté sur le fait que son domaine disposait de protections classiques et que les circonstances exactes de la prise de contrôle feraient l’objet d’un rapport détaillé.
Comment les attaquants ont drainé les portefeuilles
Les pertes n’ont pas résulté d’un vol direct dans les smart contracts. Elles proviennent des interactions des utilisateurs avec la fausse page. Selon les analyses de GoPlus, les victimes ont été incitées à signer des permis EIP-2612, des autorisations Permit2 ou des approbations de tokens classiques. Une fois ces permissions accordées, un spender malveillant peut déplacer des tokens sans nouvelle signature pour chaque transaction.
Dans certains cas, les utilisateurs ont simplement envoyé des fonds directement vers des adresses contrôlées par l’attaquant. Les transactions suspectes ont été observées sur plusieurs réseaux : Ethereum, Arbitrum, Base, BNB Chain, Ink et Plasma. L’estimation globale tournait autour de 350 000 dollars au moment des premières analyses. Across n’a pas encore publié son propre chiffre consolidé ni le nombre exact de portefeuilles touchés.
Ce type d’attaque repose sur un principe simple mais redoutable : l’utilisateur croit interagir avec un service de confiance et signe des messages qui semblent anodins. Les signatures off-chain, en particulier, peuvent rester valides même après que l’utilisateur a révoqué des approbations classiques. C’est pourquoi le protocole a insisté pour que les personnes ayant connecté leur portefeuille pendant la fenêtre d’attaque vérifient minutieusement leurs permissions.
La réaction du protocole et la promesse d’indemnisation
Dès que le domaine est revenu sous son contrôle, Across a publié un message clair : tous les systèmes sont opérationnels et les utilisateurs affectés seront indemnisés. L’équipe a annoncé qu’un post-mortem complet serait publié dans les jours suivants. Elle a également précisé que les utilisateurs ayant accédé au site avant l’attaque n’étaient pas concernés, et que les intégrations tierces ainsi que les utilisateurs d’API n’avaient pas été impactés par le détournement du domaine.
« Tous les utilisateurs affectés seront remboursés. Nous publierons un post-mortem complet dans les prochains jours. »
Cette promesse d’indemnisation est importante. Dans un secteur où les pertes liées aux phishing restent souvent à la charge des victimes, l’engagement public d’un protocole de la taille d’Across envoie un signal fort. Il reste toutefois à voir comment le processus sera organisé, quels délais seront respectés et comment les preuves de perte seront validées. Les utilisateurs ont été invités à contacter le compte officiel avec les détails de leurs transactions, adresses de portefeuille et hachages, tout en restant vigilants face aux messages non sollicités qui tenteraient d’imiter l’équipe.
Un contexte déjà tendu pour les sites DeFi
Cet incident ne survient pas dans le vide. Fin octobre, une vague d’attaques similaires avait déjà frappé plusieurs sites DeFi. Des analyses avaient identifié au moins une douzaine de sites servant le toolkit de phishing connu sous le nom de Step Drainer. Certains projets avaient confirmé des attaques DNS qui redirigeaient les visiteurs vers des destinations non autorisées. Across s’inscrit donc dans une série plus large où les registres de domaines et les interfaces web deviennent des cibles privilégiées.
Le protocole avait déjà connu un autre incident en juillet, cette fois lié à son relayer opéré par Risk Labs sur Solana. Des attaquants avaient fabriqué plus de 1 600 événements de dépôt fictifs pour une valeur nominale de plusieurs dizaines de millions de dollars. Le relayer avait traité une partie de ces demandes avant d’être suspendu, aboutissant à une perte nette inférieure à 4 millions de dollars après récupération de certains fonds. L’attaque de novembre est de nature totalement différente : elle ne touche pas le cœur du protocole on-chain, mais l’expérience utilisateur et les permissions de portefeuille.
Ces deux événements rappellent que la sécurité d’un bridge ne se limite pas à l’audit des contrats. L’infrastructure web, les registres de domaines, les clés API et les processus humains constituent autant de points d’entrée possibles. Un protocole peut disposer de smart contracts robustes et pourtant perdre des centaines de milliers de dollars si son site principal est compromis pendant quelques heures.
Ce que les utilisateurs doivent vérifier immédiatement
Pour ceux qui ont visité le site pendant la période critique, la priorité est claire. Il faut examiner toutes les autorisations accordées le 10 novembre. Des outils comme Revoke.cash permettent de lister et de révoquer les approvals de tokens. Cette action empêche de nouvelles transferts basés sur ces permissions, même si elle ne permet pas de récupérer les fonds déjà partis.
Les signatures de type permit méritent une attention particulière. Certaines restent exploitables même lorsqu’elles n’apparaissent pas dans la liste classique des approvals. Les utilisateurs concernés doivent donc rester prudents et, le cas échéant, envisager de migrer des fonds vers un nouveau portefeuille si le doute persiste. Across a également rappelé que des alertes de phishing côté navigateur ou portefeuille pouvaient encore s’afficher après la restauration du site légitime.
Voici les gestes concrets recommandés :
- Vérifier l’historique des connexions et signatures du 10 novembre
- Révoquer systématiquement les approvals suspects
- Contrôler les adresses de spenders signalées par les outils de sécurité
- Contacter uniquement le compte officiel avec les preuves de transaction
- Ignorer tout message privé non sollicité prétendant provenir de l’équipe
Pourquoi les attaques par ingénierie sociale restent efficaces
L’ingénierie sociale continue de fonctionner parce qu’elle exploite la confiance et l’habitude. Un utilisateur qui a déjà interagi plusieurs fois avec Across n’attend pas nécessairement une vérification approfondie de chaque élément de l’interface. Une page qui ressemble à s’y méprendre à l’originale, un bouton de connexion familier et une demande de signature présentée comme une simple opération de bridge suffisent souvent à obtenir le résultat souhaité.
Les registres de domaines constituent un maillon particulièrement sensible. Une fois les accès compromis, l’attaquant peut modifier les enregistrements DNS, pointer vers un serveur sous son contrôle et servir une interface parfaitement crédible. Les protections classiques (2FA, verrouillage de domaine) ne sont efficaces que si les processus humains et les procédures de récupération sont robustes. Dans le cas présent, le temps de réaction de Namecheap a joué un rôle critique dans la durée de l’exposition.
Ce type d’attaque rappelle aussi les limites des alertes automatiques. Même si Cloudflare et les portefeuilles ont fini par classer le domaine comme dangereux, plusieurs utilisateurs avaient déjà interagi avec la page frauduleuse. La fenêtre de vulnérabilité, même courte, peut suffire à générer des pertes significatives lorsque le volume d’activité du protocole est élevé.
L’importance des bridges et le volume d’activité d’Across
Across figure parmi les bridges les plus actifs du marché. Les données de volume montraient environ 5,9 milliards de dollars de transferts sur les trente jours précédant l’incident. Ce niveau d’activité explique en partie pourquoi le site attire l’attention des attaquants. Plus un protocole concentre de flux et d’utilisateurs, plus la récompense potentielle d’un détournement d’interface devient intéressante.
Les bridges occupent une place stratégique dans l’écosystème multi-chaînes. Ils permettent de déplacer des liquidités et des actifs entre Ethereum et les solutions de seconde couche, ou entre différentes blockchains. Cette commodité a un coût en termes de surface d’attaque : non seulement les contrats doivent être sécurisés, mais l’ensemble de la chaîne d’accès utilisateur doit l’être également. Une interface compromise peut devenir le point faible d’un système autrement robuste.
Dans ce contexte, la restauration rapide du site et la promesse d’indemnisation constituent des éléments positifs. Ils montrent que le protocole prend la responsabilité de la chaîne complète, y compris des éléments hors chaîne. Il reste néanmoins nécessaire d’attendre le post-mortem pour comprendre précisément comment les protections existantes ont été contournées et quelles mesures structurelles seront mises en place pour éviter une récidive.
Les leçons pour l’ensemble de l’écosystème
Plusieurs enseignements se dégagent déjà. Premier point : la sécurité des domaines et des registres doit être traitée avec le même sérieux que celle des smart contracts. Les équipes doivent documenter les procédures de récupération, tester les scénarios de perte d’accès et maintenir des contacts opérationnels avec les registrars. Deuxième point : les utilisateurs doivent adopter des réflexes de vérification systématique, notamment en cas de demande de signature inhabituelle ou de changement d’interface.
Troisième point : les outils de révocation et de monitoring de permissions doivent devenir une habitude, pas une réaction d’urgence. Quatrième point : les protocoles ont intérêt à communiquer très rapidement et de manière transparente, même lorsque toutes les informations ne sont pas encore disponibles. La clarté sur ce qui est touché et ce qui ne l’est pas (API, intégrations, contrats) permet de limiter la panique et les rumeurs.
Enfin, la multiplication des attaques ciblant les interfaces web plutôt que les contrats montre une évolution des stratégies des attaquants. Les audits on-chain restent indispensables, mais ils ne suffisent plus. La sécurité doit être pensée de bout en bout, de la clé privée de l’utilisateur jusqu’au serveur qui sert la page de connexion.
Ce qui reste à clarifier dans les prochains jours
Plusieurs éléments manquent encore. Across n’a pas publié de chiffre officiel de pertes ni de décompte précis des portefeuilles touchés. Le post-mortem promis devrait préciser le vecteur exact d’ingénierie sociale utilisé, les protections qui ont été contournées et les améliorations prévues. Il sera également intéressant de savoir comment le processus d’indemnisation sera organisé et sur quelle base les pertes seront évaluées.
La réaction de Namecheap et les conclusions de son enquête interne pourront également éclairer les pratiques du secteur. Si un registrar de cette taille peut être la cible d’une opération d’ingénierie sociale réussie, d’autres protocoles utilisant les mêmes services sont potentiellement exposés. La transparence sur les mesures correctives côté registrar serait utile à l’ensemble de la communauté.
En attendant, les utilisateurs d’Across et plus largement des bridges DeFi ont intérêt à rester vigilants. Vérifier les permissions, se méfier des demandes de signature, utiliser des outils de révocation et suivre les canaux officiels restent les meilleures protections individuelles face à ce type de menace.
Une confiance à reconstruire progressivement
La restauration du site et la promesse de rendre les utilisateurs « whole » constituent un premier pas. La confiance, elle, se reconstruit sur la durée. Elle dépendra de la qualité du post-mortem, de la rapidité de l’indemnisation et de la solidité des mesures préventives annoncées. Dans un marché où les incidents se multiplient, chaque protocole est jugé non seulement sur sa capacité à éviter les attaques, mais aussi sur sa façon de les gérer lorsqu’elles surviennent.
Across dispose d’un volume d’activité élevé et d’une place établie dans l’écosystème cross-chain. Cet incident, bien que douloureux pour les victimes, peut aussi devenir l’occasion de renforcer les processus et de montrer l’exemple en matière de responsabilité. Pour les utilisateurs, le message reste le même : la commodité des bridges ne doit jamais faire oublier que chaque signature peut avoir des conséquences durables.
Les prochaines heures et les prochains jours diront si les leçons de cette attaque seront tirées de manière concrète. En attendant, le protocole a repris le contrôle de son domaine, les systèmes fonctionnent à nouveau et les utilisateurs touchés ont une promesse d’indemnisation. C’est un début. La suite dépendra de la transparence et de la rigueur avec lesquelles l’affaire sera documentée et traitée.
Dans un environnement où les attaques évoluent rapidement, la vigilance collective reste la meilleure défense. Vérifier, révoquer, communiquer et documenter : ces gestes simples, répétés à grande échelle, peuvent réduire significativement l’impact des prochaines tentatives du même type. Across a traversé un moment difficile. L’écosystème tout entier aurait intérêt à en tirer les conclusions avant que le prochain détournement de domaine ne se produise.
Les attaques par phishing ne disparaîtront pas demain. Elles s’adaptent, deviennent plus réalistes et ciblent précisément les moments où les utilisateurs baissent la garde. Face à cette réalité, les protocoles doivent renforcer leurs défenses humaines et organisationnelles autant que leurs contrats. Les utilisateurs, de leur côté, doivent accepter qu’une interface familière peut cacher un piège et que chaque signature mérite une seconde d’attention supplémentaire. C’est à ce prix que l’écosystème pourra continuer à se développer sans laisser trop de victimes sur le bord du chemin.
L’histoire d’Across le 10 et 11 novembre 2026 restera un cas d’école. Un domaine détourné, des permissions abusives, des pertes estimées à plusieurs centaines de milliers de dollars, une réaction relativement rapide et une promesse d’indemnisation. Derrière ces faits se cache une leçon plus large sur la fragilité des points d’accès humains et techniques qui relient les utilisateurs aux protocoles. Tant que ces points resteront vulnérables, les attaquants continueront de les exploiter. La question n’est plus de savoir si de nouvelles tentatives auront lieu, mais quand et contre qui.
Pour l’instant, le site est de nouveau sous contrôle et les systèmes tournent normalement. Les utilisateurs qui ont interagi pendant la fenêtre critique doivent encore faire le travail de vérification et de révocation. Ceux qui ont perdu des fonds attendent la concrétisation de la promesse d’indemnisation. Et toute la communauté observe pour voir si les mesures annoncées seront à la hauteur de l’enjeu. Dans le monde des bridges et de la DeFi, la confiance se gagne lentement et se perd très vite. Across a l’opportunité de démontrer qu’elle peut être reconstruite avec sérieux et transparence.
