Le pont inter-chaînes Across a vu son domaine officiel détourné le 10 novembre 2026, puis récupéré moins de sept heures plus tard après une attaque d’ingénierie sociale visant le registrar Namecheap. Si les contrats intelligents n’ont pas été compromis, la fausse page a permis de vider des portefeuilles d’utilisateurs, dans un contexte de hausse des pertes liées au piratage.
🔑 En bref
- Le domaine across.to a été remplacé par une page d’hameçonnage pendant environ six heures et demie.
- Le vecteur était un compromis du registrar Namecheap, et non une faille des contrats du pont.
- GoPlus estime les pertes à environ 350 000 dollars, sans chiffre officiel d’Across.
- La révocation des autorisations reste la mesure prioritaire pour les utilisateurs concernés.
Une intrusion de moins de sept heures sur le domaine officiel
Le 10 novembre 2026 vers 18 h 45 UTC, un attaquant a pris le contrôle de across.to, le domaine officiel du protocole Across. Le site légitime a été remplacé par une page d’hameçonnage destinée à vider les portefeuilles des visiteurs. Selon le protocole, l’intrusion résulte d’une attaque d’ingénierie sociale contre le registrar Namecheap, c’est-à-dire une manipulation de personnel visant à obtenir un accès ou à faire modifier un compte. Le mécanisme exact n’était pas détaillé au moment des faits, et Namecheap n’avait pas commenté publiquement la situation.
Across affirme avoir reçu une alerte moins de 15 minutes après le début de la prise de contrôle et avoir tenté aussitôt de mettre le site hors ligne. SEAL911, l’équipe d’intervention d’urgence de la Security Alliance, a signalé le domaine comme site d’hameçonnage auprès des principaux fournisseurs de portefeuilles. Cloudflare a d’abord marqué le domaine à risque, puis supprimé ses enregistrements DNS, rendant la page malveillante inaccessible.
| Heure (UTC) | Événement |
|---|---|
| 10 nov., 18 h 45 | Prise de contrôle de across.to et remplacement par une page d’hameçonnage |
| Moins de 15 min plus tard | Alerte reçue par Across, tentative de mise hors ligne du site |
| 10 nov., 19 h 05 | Avertissement publié sur X : ne pas connecter de portefeuille ni signer |
| 10 nov., 22 h 13 | Communiqué : Namecheap reste sans réponse, domaine non sécurisé |
| 11 nov., 1 h 16 | Domaine repris avec l’aide de Namecheap, services rétablis |
« Malgré tous nos efforts, Namecheap est resté sans réponse. »
Équipe Across, communiqué publié sur X, 10 novembre 2026
Ce délai est déterminant : plusieurs utilisateurs confirmaient déjà la vidange de leurs portefeuilles à 19 h 05, ce qui montre que la fenêtre de risque se joue en minutes, bien avant toute remédiation technique. Le protocole a expliqué que l’absence de réponse du registrar l’empêchait de sécuriser pleinement le domaine et de rétablir l’interface web et l’API, toutes deux hors ligne.
Des contrats intacts, mais un vecteur de risque bien réel
Across insiste sur un point central : l’incident touche l’infrastructure web qui mène au protocole, et non ses contrats blockchain. Le protocole affirme que ses contrats intelligents n’ont pas été compromis, pas plus que les fonds déposés dans les contrats du pont ou la liquidité fournie par ses participants. Les transferts lancés sur le site authentique avant l’attaque sont restés sécurisés.
Les zones à risque
- L’API et les applications tierces qui intègrent Across en arrière-plan n’ont pas été compromises, même si l’API a été maintenue hors ligne pendant la remédiation.
- La combinaison dangereuse était la visite de across.to pendant la fenêtre de détournement, suivie de la connexion d’un portefeuille puis de la confirmation d’une signature ou d’une transaction.
- Les transferts internes proposés par une plateforme d’échange centralisée, qui ne requièrent pas l’autorisation du portefeuille de l’utilisateur, n’étaient pas exposés à ce vecteur.
Les logiciels de portefeuille affichent ce qui est signé, mais ne peuvent pas vérifier si la page qui propose la signature est authentique. C’est précisément ce qui rend l’hameçonnage par signature efficace, même lorsque la blockchain sous-jacente fonctionne normalement.
Pertes estimées, autorisations invisibles et révocation
Across n’a publié ni montant officiel de pertes ni nombre d’utilisateurs touchés. La plateforme de sécurité GoPlus estime les pertes totales à environ 350 000 dollars, avec des fonds volés sur Ethereum, Arbitrum, Base, BNB Chain, Ink et Plasma. Un montant d’environ 294 000 dollars circulait dans certains médias sans origine traçable ; il n’a pas été retenu comme base fiable.
Des victimes ont signalé individuellement la perte de 9 000 USDC et de 7 053 USDT0, drainés en sept transactions sur Plasma. Ces montants proviennent des victimes elles-mêmes et n’ont pas été vérifiés indépendamment. GoPlus n’a pas fourni de ventilation complète par actif, portefeuille ou chaîne.
Selon l’analyse de GoPlus, la fausse page exploitait trois méthodes d’autorisation, dont la visibilité varie fortement :
| Méthode | Visibilité | Effet |
|---|---|---|
| Approbation directe de jeton | Visible dans l’explorateur de la blockchain | Autorise une adresse tierce à transférer un jeton précis |
| Signature EIP-2612 | Hors chaîne, sans frais, invisible tant qu’elle n’est pas soumise | Produit le même effet qu’une approbation directe |
| Permit2 | Contrat largement utilisé par les applications | Permet à une adresse autorisée d’en accorder une autre par une nouvelle signature |
Certaines victimes ont en outre été trompées au point d’envoyer directement leurs cryptomonnaies aux adresses des attaquants, ce qui ne relève d’aucune autorisation technique mais d’un simple transfert consenti.
Procédure de révocation
- Contacter l’équipe d’Across par message direct officiel sur X, en fournissant les informations de transactions.
- Révoquer sur Revoke.cash les permissions accordées le 10 ou le 11 novembre.
- Vérifier les approbations avec le vérificateur d’Etherscan ou avec les explorateurs d’Arbitrum et de BNB Chain.
- Repérer les destinataires inconnus, les montants illimités et les approbations datées de ces deux jours ; GoPlus a signalé plusieurs adresses de destination comme suspectes.
- Si des fonds subsistent, les déplacer vers une nouvelle adresse, car une signature EIP-2612 non soumise peut rester invisible dans les listes d’approbations.
Chaque révocation constitue une nouvelle transaction soumise aux frais du réseau concerné. Elle ne restitue pas les fonds déjà drainés, mais empêche l’attaquant d’accéder de nouveau au portefeuille. Conserver l’adresse, les empreintes des transactions, les horodatages et les captures d’écran facilitera une future demande de remboursement.
Un contexte de piratage en forte hausse
Across n’est pas un protocole marginal. Selon DefiLlama, il a traité environ 5,9 milliards de dollars d’actifs sur les 30 jours précédant l’incident, se classant troisième derrière Circle et LayerZero parmi les plus grands ponts inter-chaînes par volume. Le même jour, un autre groupe d’attaquants a détourné plusieurs domaines via le registrar Name.com et installé un drainer sur douze sites DeFi.
Ces événements s’inscrivent dans une hausse des pertes. DefiLlama recense 8,78 milliards de dollars perdus dans 341 piratages et exploits depuis le début de 2026, tandis que Blockaid évalue à plus de 1,1 milliard de dollars les pertes du premier semestre. The Block souligne que les outils d’intelligence artificielle permettent d’accélérer les attaques et de les rendre plus sophistiquées.
Pour mettre le cas Across en perspective, l’attaque du pont Ronin en 2022 avait fait sortir plus de 600 millions de dollars des contrats eux-mêmes : un vecteur différent, d’une tout autre ampleur. En mars, le protocole Neutrl avait aussi mis ses contrats en pause après une suspicion de détournement de son interface DNS.
« Tous les utilisateurs affectés seront intégralement remboursés. Nous publierons un compte rendu complet dans les prochains jours. »
Équipe Across, communiqué sur X, 11 novembre 2026
Au moment de la reprise, aucun formulaire, délai ni canal de versement n’avait été publié. Across a mis en garde contre les fausses pages de remboursement, les messages directs usurpant son support et les formulaires demandant une phrase de récupération : aucune procédure légitime ne demande cette phrase, qui donnerait à un tiers le contrôle complet du portefeuille.
Sur le plan du marché, la seule indication fournie concerne le jeton ACX, en recul de 0,76 % sur la page de The Block. Les sources ne l’établissent pas comme une réaction à l’incident, et le jeton n’était pas la cible du drainer.
Conclusion : perspectives et scénarios
L’incident illustre une faille structurelle : la sécurité d’un protocole décentralisé dépend aussi de ses couches web, DNS et de ses registrars, qui relèvent de prestataires centralisés. Les contrats ont tenu, mais des utilisateurs ont perdu des fonds à cause de signatures trompeuses.
Trois scénarios restent ouverts. Dans le scénario central, Across publie un compte rendu détaillé, indemnise les victimes identifiées et renforce l’authentification de son domaine, ce qui permettrait de reconstruire la confiance en quelques semaines. Dans un scénario plus défavorable, le compte rendu tarde ou reste partiel, et le bilan exact demeure flou. Dans un scénario de rupture, une nouvelle intrusion ou des blocklists durables fragiliseraient l’usage du pont. Les utilisateurs doivent surveiller la publication du rapport et les approbations actives de leurs portefeuilles.
Sources
- The Block, reprise du protocole Across
- Cointelegraph via TradingView, restauration du site Across
- CryptoTicker, détournement du domaine Across
- Bloomingbit, actualité Across
- Crypto Times, domaine Across détourné via Namecheap
- Ground News, attaque DNS et registrar contre Across
Cet article est publié à titre informatif et éducatif. Il ne constitue en aucun cas un conseil en investissement. Faites vos propres recherches (DYOR) avant toute décision.
