Dans la soirée du 10 novembre, le site officiel du pont interchaînes Across a été remplacé. Il ne s’agissait pas d’une simple fenêtre intempestive ajoutée au site : le nom de domaine tout entier avait été détourné. En ouvrant le site officiel, les visiteurs tombaient sur une page de phishing qui lui ressemblait à s’y méprendre. Across affirme que l’attaquant a eu recours à l’ingénierie sociale auprès du registraire du nom de domaine, Namecheap, et qu’il est parvenu à ses fins vers 2 h 45, le 11 novembre, heure de Pékin. Across indique avoir reçu une alerte dans les 15 minutes, puis publié un communiqué. L’organisation de sécurité SEAL911 a contribué à faire signaler le domaine comme site de phishing, et Cloudflare a ensuite supprimé ses enregistrements DNS, rendant la page inaccessible. Ce matin, Across a annoncé avoir récupéré son nom de domaine et rétabli tous ses systèmes. L’entreprise promet un remboursement intégral aux utilisateurs touchés et publiera un rapport détaillé sur l’incident dans quelques jours.

Les pages de phishing ne cherchent pas à obtenir votre phrase de récupération, mais votre signature. Vous cliquez sur le lien et connectez votre portefeuille ; la page vous demande de signer une autorisation — un permis EIP-2612 ou une autorisation Permit2. Une fois la signature obtenue, l’attaquant peut transférer vos jetons à votre insu, sans avoir à vous demander une seconde confirmation. La société de sécurité GoPlus estime qu’environ 350 000 dollars ont été dérobés grâce à ces signatures au cours de cette seule nuit, sur six chaînes : Ethereum, Arbitrum, Base, BNB Chain, Ink et Plasma. Ce chiffre est une estimation de GoPlus ; Across n’a pas encore confirmé le montant des pertes ni le nombre de personnes touchées. Les utilisateurs de l’API et les intégrations tierces n’ont pas été affectés. Les personnes qui avaient utilisé le site avant l’attaque n’ont pas non plus été touchées. Les victimes sont celles qui, au cours de ces quelques heures, se sont connectées à la page de phishing et ont signé l’autorisation.

Ce n’est pas la première fois. Dix jours plus tôt, le 31 octobre, la société de sécurité Blockaid a découvert qu’au moins 12 sites DeFi avaient été détournés selon la même méthode, à l’aide d’une boîte à outils de phishing appelée Step Drainer. Flap a confirmé que ses paramètres DNS avaient été modifiés. La méthode était exactement la même dans les deux cas ; seuls le bureau d’enregistrement visé et le projet ciblé changeaient. Une fois le nom de domaine compromis, le site officiel lui-même devient une page de phishing. À ce moment-là, les conseils habituels — vérifier l’adresse du site et s’assurer qu’il s’agit bien du site officiel — ne servent plus à rien.

Il y a trois choses à faire immédiatement. Premièrement, si vous vous êtes connecté au site officiel d’Across le 10 novembre, ouvrez Revoke.cash et vérifiez les autorisations accordées ce jour-là. Si vous en trouvez, révoquez-les. La révocation peut empêcher le transfert des fonds qui ne l’ont pas encore été, mais ne permet pas de récupérer ceux qui ont déjà été transférés. Un autre point à garder à l’esprit : les signatures de permis que vous avez signées n’apparaissent parfois pas dans la liste habituelle des autorisations. Across le précise également dans son avertissement. Donc, si vous n’êtes toujours pas rassuré après avoir vérifié vos autorisations, transférez les jetons restants vers un nouveau portefeuille. Deuxièmement, si un site que vous utilisez souvent vous demande soudainement de vous autoriser à nouveau, ou si sa page semble un peu différente de d’habitude, arrêtez-vous et vérifiez sur le compte officiel si une alerte a été publiée. Across a rapidement lancé l’alerte cette fois-ci : un simple coup d’œil peut vous éviter bien des ennuis. Troisièmement, après l’incident, des personnes se feront forcément passer pour le service client et vous contacteront en privé en prétendant pouvoir vous aider à récupérer vos fonds ou vous indemniser. Elles vous demanderont d’abord de les ajouter comme contact, puis de cliquer sur un lien. Ce sont toutes des arnaques de la deuxième vague. Across ne demande les relevés de transactions que par l’intermédiaire de ses comptes officiels. Ne répondez à personne qui vous contacte de manière spontanée.

Mon avis tient en une phrase : pour se protéger du phishing, vérifier l’adresse du site ne suffit plus. Le regard que l’on jette sur une autorisation avant de la signer est plus important que tout le reste.

La dernière fois que vous avez connecté votre portefeuille et signé une autorisation, avez-vous bien vérifié ce que vous signiez ?

#防骗 #钱包安全 #Across #跨链桥 #SécuritéWeb3

— Xiaokai, petit investisseur Web3

Cet article reflète uniquement une opinion personnelle et ne constitue en aucun cas un conseil en investissement. Les données proviennent de crypto.news, de The Block, de GoPlus et des comptes officiels d’Across. Les montants correspondent aux chiffres disponibles au moment de la publication. Veuillez évaluer les risques par vous-même.