Across Protocol a récupéré son site web après un détournement DNS survenu le 10 novembre, qui a brièvement redirigé les visiteurs vers une page d’hameçonnage et — selon des chercheurs en sécurité — entraîné environ 350 000 $ de pertes sur plusieurs chaînes. Que s’est-il passé ? - Vers 18 h 45 UTC le 10 novembre, des attaquants ont pris le contrôle du domaine d’Across au moyen d’une attaque d’ingénierie sociale visant le bureau d’enregistrement Namecheap, puis ont remplacé le site officiel par une interface frauduleuse. Le protocole indique qu’il s’agissait d’une prise de contrôle du domaine, et non d’une exploitation de contrat intelligent. - Across a reçu une alerte environ 15 minutes plus tard et a immédiatement commencé à remédier à la situation, suspendant temporairement son interface frontend et son API pendant qu’il reprenait le contrôle du compte auprès du bureau d’enregistrement. - Le groupe de sécurité SEAL911 a signalé le domaine d’hameçonnage aux principaux portefeuilles, et Cloudflare l’a classé comme dangereux et a supprimé ses enregistrements DNS, bloquant ainsi tout accès supplémentaire à la page malveillante. Across a depuis rétabli le domaine et confirmé que tous ses systèmes fonctionnent. Portée et pertes - La société de sécurité GoPlus estime qu’environ 350 000 $ ont été dérobés. Selon elle, les portefeuilles des victimes sur Ethereum, Arbitrum, Base, BNB Chain, Ink et Plasma ont été touchés, bien qu’Across n’ait publié ni montant total confirmé des pertes ni nombre d’utilisateurs concernés. - GoPlus indique que la page d’hameçonnage a pu inciter les utilisateurs à signer des autorisations EIP-2612, des autorisations Permit2 ou des approbations directes de jetons. Ces autorisations peuvent permettre à un opérateur approuvé de transférer des jetons sans que le propriétaire du portefeuille approuve chaque transaction. Dans d’autres cas, les victimes ont peut-être été convaincues d’envoyer directement des fonds à des adresses contrôlées par les attaquants. - GoPlus a repéré des adresses d’opérateurs suspectes et a exhorté les utilisateurs à vérifier les autorisations accordées aux alentours du 10 novembre. Réponse et conseils aux utilisateurs - Across a remercié le fondateur de Namecheap, Richard Kirkendall, pour sa réactivité et son aide à sécuriser le compte ; le protocole a également indiqué qu’une enquête avait été ouverte et promis de publier un rapport post-mortem complet et d’indemniser les utilisateurs touchés. - Le protocole a précisé que les utilisateurs qui s’étaient contentés de visiter le site avant la prise de contrôle n’avaient pas été touchés, et que les intégrations tierces ainsi que les utilisateurs de l’API n’avaient pas été compromis. - Across a conseillé à toute personne ayant connecté un portefeuille pendant l’attaque de vérifier et de révoquer les autorisations via Revoke.cash (ou des outils équivalents). La révocation des approbations bloque les transferts futurs effectués à l’aide de ces autorisations, mais n’annule pas les transactions déjà exécutées. Les utilisateurs qui pensent avoir été victimes devraient contacter les canaux officiels d’Across en fournissant leurs adresses de portefeuille et les empreintes de transaction, et se méfier des usurpations d’identité par hameçonnage. Contexte et incidents connexes - Le détournement du domaine fait suite à une vague de détournements de sites DeFi survenue le 31 octobre et liée à l’outil d’hameçonnage Step Drainer, qui a touché au moins une douzaine de sites, dont Flap. Cet incident est distinct de celui d’Across en juillet, impliquant un relayer de Risk Labs sur Solana, où des événements de dépôt fabriqués ont entraîné le traitement de centaines de demandes frauduleuses et une perte nette inférieure à 4 millions de dollars, après que certains fonds des attaquants ont été bloqués. - Across reste l’un des principaux ponts inter-chaînes en matière d’activité (DefiLlama fait état d’environ 5,9 milliards de dollars de transferts au cours des 30 derniers jours). Et maintenant ? Across indique que son enquête est en cours ; un rapport post-mortem détaillé expliquera comment l’attaquant a pu prendre le contrôle malgré les mesures de sécurité déjà en place dans le protocole. Les équipes de sécurité poursuivent leur surveillance et conseillent aux utilisateurs d’auditer les autorisations de leurs portefeuilles et de rester prudents face aux alertes d’hameçonnage persistantes dans les navigateurs ou les portefeuilles après le rétablissement du site. Lire d’autres actualités générées par l’IA sur : https://app.chaingpt.org/news