Across Protocol a rétabli son site web après le détournement de son DNS le 10 novembre, qui a brièvement redirigé les visiteurs vers une page d’hameçonnage et — selon des chercheurs en sécurité — entraîné environ 350 000 dollars de pertes sur plusieurs chaînes. Ce qui s’est passé - Vers 18 h 45 UTC le 10 novembre, des pirates ont pris le contrôle du domaine d’Across au moyen d’une attaque d’ingénierie sociale visant le bureau d’enregistrement Namecheap et ont remplacé le site officiel par une interface frauduleuse. Le protocole affirme qu’il s’agissait d’une prise de contrôle du domaine, et non d’une faille dans un contrat intelligent. - Across a reçu une alerte dans les quelque 15 minutes qui ont suivi et a immédiatement entamé les mesures correctives, suspendant temporairement son interface et son API pendant qu’il reprenait le contrôle du compte auprès du bureau d’enregistrement. - Le groupe de sécurité SEAL911 a signalé le domaine d’hameçonnage aux principaux portefeuilles, et Cloudflare l’a classé comme dangereux et a supprimé ses enregistrements DNS, empêchant ainsi tout nouvel accès à la page malveillante. Across a depuis rétabli le domaine et confirmé que tous les systèmes sont opérationnels. Ampleur et pertes - La société de sécurité GoPlus estime que près de 350 000 dollars ont été dérobés. Elle indique que les portefeuilles des victimes sur Ethereum, Arbitrum, Base, BNB Chain, Ink et Plasma ont été touchés, bien qu’Across n’ait publié ni montant total confirmé des pertes ni nombre d’utilisateurs concernés. - Selon GoPlus, la page d’hameçonnage aurait pu inciter les utilisateurs à signer des autorisations EIP-2612, des autorisations Permit2 ou des approbations directes de jetons. Ces autorisations peuvent permettre à un opérateur approuvé de transférer des jetons sans que le propriétaire du portefeuille approuve chaque transaction. Dans d’autres cas, les victimes auraient pu être convaincues d’envoyer directement des fonds à des adresses contrôlées par les pirates. - GoPlus a identifié des adresses d’opérateurs suspectes et a invité les utilisateurs à examiner les autorisations accordées autour du 10 novembre. Réponse et conseils aux utilisateurs - Across a remercié le fondateur de Namecheap, Richard Kirkendall, pour sa réactivité et son aide à sécuriser le compte. Le protocole a également indiqué qu’une enquête avait été ouverte et a promis de publier un rapport d’analyse complet et d’indemniser les utilisateurs touchés. - Le protocole a précisé que les utilisateurs qui avaient simplement visité le site avant sa prise de contrôle n’avaient pas été touchés, et que les intégrations tierces ainsi que les utilisateurs de l’API n’avaient pas été compromis. - Across a conseillé à toute personne ayant connecté un portefeuille pendant l’attaque de vérifier et de révoquer ses autorisations via Revoke.cash (ou des outils équivalents). La révocation des approbations bloque les transferts futurs utilisant ces autorisations, mais n’annule pas les transactions déjà exécutées. Les utilisateurs qui pensent avoir été victimes de l’attaque devraient contacter les canaux officiels d’Across en indiquant les adresses de portefeuille et les empreintes des transactions, et se méfier des tentatives d’hameçonnage par usurpation d’identité. Contexte et incidents connexes - Le détournement du domaine fait suite à une vague de détournements de sites DeFi le 31 octobre, liée à l’outil d’hameçonnage Step Drainer, qui a touché au moins une douzaine de sites (dont Flap). Cet incident est distinct de celui survenu en juillet chez Across, qui impliquait un relayer de Risk Labs sur Solana : des événements de dépôt falsifiés avaient alors entraîné le traitement de centaines de demandes frauduleuses et une perte nette de moins de 4 millions de dollars, après que certains fonds des pirates ont été bloqués. - Across reste l’un des principaux ponts inter-chaînes en matière d’activité (DefiLlama fait état d’environ 5,9 milliards de dollars de transferts au cours des 30 jours précédents). Et ensuite Across indique que son enquête est toujours en cours ; un rapport d’analyse détaillé expliquera comment le pirate a pris le contrôle du domaine malgré les mesures de sécurité déjà en place. Les équipes de sécurité continuent de surveiller la situation et recommandent aux utilisateurs d’auditer les autorisations de leurs portefeuilles et de rester prudents face aux avertissements d’hameçonnage qui pourraient persister dans les navigateurs ou les portefeuilles après le rétablissement du site. Lire d’autres actualités générées par l’IA sur : https://app.chaingpt.org/news