BitcoinWorldUn utilisateur d’Aave perd 305 000 $ lors du détournement du site d’Across Protocol

Un utilisateur qui avait fourni des actifs à Aave a perdu environ 148,60 aWETH, d’une valeur d’environ 305 000 $, après avoir signé une autorisation de dépense sur la page frauduleuse qui avait remplacé le domaine across.to d’Across Protocol le 10 novembre, selon une enquête de la société d’analyse on-chain Bitquery, mise à jour le 12 novembre et rapportée par Cryptoslate. Across a d’abord révélé le détournement dans des publications sur X, l’attribuant à une opération d’ingénierie sociale visant son bureau d’enregistrement de domaine, Namecheap, et a déclaré que son domaine était de nouveau sous son contrôle le 11 novembre.

La trace de Bitquery du 12 novembre estime que 401 900 $ ont été dérobés dans neuf portefeuilles répartis sur cinq blockchains lors du détournement, le déposant unique sur Aave représentant environ 76 % de ce total. L’actif était un jeton de dépôt Aave générant des intérêts : le vol a donc touché une position de prêt détenue en dehors du bridge. Faits essentiels

• La mise à jour de Bitquery du 12 novembre estime que 401 900 $ ont été dérobés dans neuf portefeuilles sur Ethereum, Arbitrum, Base, BNB Chain et Optimism lors du détournement d’across.to, le 10 novembre.

• Le 10 novembre à 20:09:23 UTC, une transaction sur Ethereum a enregistré une approbation illimitée depuis le portefeuille 0x42e7…483c, puis envoyé environ 115.23 aWETH à 0x2846…1fde et 28.81 aWETH à 0x0c7c…d37b. Bitquery attribue cette répartition de 80/20 à l’attaquant et au portefeuille percevant les frais du drainer.

• L’historique des transferts du déposant fait apparaître quatre prélèvements, le dernier ayant eu lieu avant 20:12:23 UTC. Bitquery indique que le propriétaire a révoqué l’approbation une minute après le dernier prélèvement.

• Across a annoncé aux utilisateurs que son nom de domaine avait été rétabli le 11 novembre avec l’aide de Richard Kirkendall, fondateur de Namecheap. Cointelegraph a rapporté que l’équipe s’était engagée à indemniser intégralement tous les utilisateurs touchés et à publier ultérieurement un rapport d’analyse de l’incident.

• La société de sécurité GoPlus a estimé les pertes à près de 350 000 $ sur six réseaux blockchain, selon crypto.news, citant Ethereum, Arbitrum, Base, BNB Chain, Ink et Plasma.

Comment une autorisation signée a permis d’accéder à un dépôt Aave

L’actif volé était l’aWETH, un jeton générant des intérêts qui représente un dépôt Aave. La documentation d’Aave, citée par Bitquery, indique que ces jetons sont transférables et qu’un message d’autorisation peut permettre à un autre compte de les dépenser. D’après la reconstitution de Bitquery, la fausse page Across a demandé une telle autorisation, que l’attaquant a utilisée pour récupérer les jetons.

La première transaction regroupait l’approbation et deux transferts de jetons. Trois autres prélèvements ont suivi au cours des trois minutes suivantes, portant les pertes liées à Aave à environ 304 500 $ aux cours du moment du vol — soit 76 % du total retracé — avant la révocation de l’approbation. La révocation d’une autorisation empêche les transferts ultérieurs, mais n’annule pas ceux déjà enregistrés sur la blockchain. Les fonds du déposant avaient donc déjà été transférés.

Bitquery a également ajouté un transfert de 26.38 ETH, passé précédemment inaperçu, provenant d’une autre victime et représentant environ 54 000 $ à l’époque. Le cabinet a précisé que le montant de 294 000 $ largement relayé correspondait aux fonds présents dans le portefeuille percevant les frais, dont certains y étaient déjà avant l’attaque.

Les rapports ne s’accordent pas sur le montant total

Les informations disponibles diffèrent à la fois par leur périmètre et par leurs estimations. La mise à jour de Bitquery du 12 novembre évalue le total à 401 900 $ dans neuf portefeuilles et sur cinq chaînes ; GoPlus, selon crypto.news, a estimé les pertes à près de 350 000 $ sur six réseaux, en ajoutant Ink et Plasma. Dans son article du 11 novembre, Cointelegraph indiquait qu’Across n’avait pas encore communiqué son propre bilan confirmé ni le nombre d’utilisateurs touchés.

Across a déclaré que l’incident résultait d’une compromission de son bureau d’enregistrement de nom de domaine, et non de ses contrats intelligents : l’attaquant a redirigé les visiteurs vers une page d’hameçonnage, tandis que les intégrations tierces et les utilisateurs de l’API n’ont pas été touchés. GoPlus, selon crypto.news, a indiqué que les victimes avaient probablement été amenées à signer des autorisations EIP-2612, des autorisations Permit2 ou des approbations directes de jetons.

Pourquoi c’est important

Ces pertes montrent qu’une compromission au niveau d’un nom de domaine peut coûter plus cher que le bridge lui-même : la principale victime identifiée n’avait jamais transféré d’actifs via Across, mais a été exposée par l’intermédiaire d’un jeton de prêt transférable. Cela élargit le périmètre des dégâts causés par le détournement de sites web dans la DeFi, où les actifs tokenisés et générateurs de rendement se trouvent de plus en plus souvent dans des portefeuilles interagissant avec des interfaces tierces.

Cet incident fait également suite à d’autres attaques visant des sites web dans la DeFi, notamment les détournements d’octobre suivis à l’aide de l’outil Step Drainer. Il souligne à quel point les risques pour les utilisateurs se situent désormais davantage au niveau de l’interface que des contrats.

Points à surveiller

Across a déclaré qu’il publierait un rapport d’analyse complet expliquant comment l’attaquant a pris le contrôle, et son engagement à indemniser les victimes constitue la prochaine étape concrète pour les utilisateurs touchés. Le bilan final pourrait également évoluer si Bitquery ou GoPlus révisent leurs analyses. Dans l’intervalle, les victimes ont été invitées à vérifier leurs approbations sur Revoke.cash.

Aperçu du marché

Le 13 novembre à 03:16 UTC, Aave (AAVE) s’échangeait à 112 $ (10 568 ₹), en baisse de 5,5 % sur 24 heures et de 14,2 % sur sept jours, avec une capitalisation boursière de 1,73 milliard de dollars et un volume sur 24 heures de 153,9 millions de dollars, selon les données de CoinPaprika. Ethereum (ETH) s’échangeait à 1 981 $ (186 288 ₹), en baisse de 3,5 % sur la journée et de 11,2 % sur la semaine.

Cet article intitulé « Un utilisateur d’Aave perd 305 000 $ lors du détournement du site web d’Across Protocol » a d’abord paru sur BitcoinWorld.