Piratage d’Across Protocol : le domaine across.to est repris, les victimes seront remboursées, et Bitquery chiffre les pertes à 402 000 dollars

Mise à jour du 13 novembre 2026, 17 h 51 UTC : La société d’analyse Bitquery estime, dans une enquête mise à jour le 12 novembre, que le faux site across.to a vidé environ 402 000 dollars de neuf portefeuilles sur cinq blockchains entre 19 h 02 et 21 h 53 UTC le 10 novembre, un chiffre qu’elle présente comme un minimum. Environ 304 500 dollars viennent d’un seul portefeuille Ethereum détenant de l’aWETH d’Aave ; ces transferts sont visibles sur Etherscan et aboutissent à deux adresses que le guide de récupération d’Across classe parmi les destinataires des fonds volés. Across ne donne toujours aucun total, et le post-mortem promis le 11 novembre n’a pas été publié.

Across Protocol, l’un des ponts cross-chain les plus fréquentés, a perdu le contrôle de son nom de domaine across.to pendant plusieurs heures le mardi 10 novembre, et les visiteurs se sont vu présenter une fausse application qui leur demandait de signer des autorisations de tokens. Le pont affirme qu’un attaquant a pris le domaine vers 18 h 45 UTC par une attaque d’ingénierie sociale contre son registrar, Namecheap. À 01 h 16 UTC le mercredi 11 novembre, Across a indiqué que le domaine était de nouveau sous son contrôle et que tous ses systèmes fonctionnaient normalement. Le protocole a promis que les utilisateurs touchés seraient indemnisés, mais blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il n’a publié ni total des pertes ni nombre de victimes. La société d’analyse Bitquery estime les pertes à environ 402 000 dollars sur neuf portefeuilles, un chiffre qu’Across n’a pas confirmé.

Rien de ce qu’Across a dit ne pointe une faille dans ses smart contracts. Le vol, tel que le décrit Across, s’est produit à la porte d’entrée : celui qui contrôle un nom de domaine décide quel site web charge un navigateur, et pendant quelques heures across.to a chargé un drainer de portefeuilles à la place du pont.

Ce piratage d’Across Protocol n’a donc rien d’une exploitation de contrat, et la conséquence pratique se joue du côté de l’utilisateur. Toute personne qui a connecté un portefeuille et signé quelque chose sur across.to le 10 novembre peut encore avoir des autorisations ouvertes au profit de contrats de l’attaquant. Across a publié un guide de récupération qui recense ces contrats réseau par réseau ; les adresses sont reproduites plus bas.

Ce qui s’est passé sur across.to le 10 novembre, heure par heure

La chronologie provient des propres messages d’Across sur X et des articles de Cointelegraph. Toutes les heures sont en UTC.

Le premier avertissement était sans détour. « Do NOT visit the app, connect your wallet, or sign any transaction or approval there until further notice » (ne visitez pas l’application, ne connectez pas votre portefeuille et ne signez aucune transaction ni autorisation jusqu’à nouvel ordre), a écrit Across, dans le texte cité par DeFi Prime. À ce stade, l’équipe parlait d’un « incident de sécurité potentiel » et ne disait pas que le site avait été pris, selon Cointelegraph.

Le récit plus détaillé est arrivé à 22 h 13 UTC. Across y explique que, dans les 15 minutes suivant la prise de contrôle, il a été alerté et a agi pour couper le site, que le groupe de sécurité SEAL911 a signalé across.to comme site de phishing auprès des principaux portefeuilles, et que Cloudflare a travaillé avec l’équipe pour marquer le domaine, avant de retirer ses enregistrements DNS. « In the brief period before Cloudflare fully blocked the malware site, some users who visited across.(to) may have been affected » (pendant la brève période précédant le blocage complet du site malveillant par Cloudflare, certains utilisateurs ayant visité across.(to) ont pu être touchés), indique le message. Il ajoute qu’aucune intégration tierce ni aucun utilisateur de l’API n’a été touché.

Comment le domaine a été pris : un registrar, pas un contrat

L’explication donnée jusqu’ici est brève : une attaque d’ingénierie sociale contre Namecheap, son registrar, a donné à un acteur malveillant le contrôle du domaine. Across n’a pas dit qui, chez Namecheap, avait été approché, par quel canal, ni ce que l’attaquant a modifié en premier : le compte, les serveurs de noms ou les enregistrements DNS. Ce sont ces détails que devra éclaircir le post-mortem promis.

L’équipe a été catégorique sur sa propre configuration. « Across’s domain was fully locked down with best-in-class security practices; this unauthorized takeover should not have been possible » (le domaine d’Across était entièrement verrouillé avec les meilleures pratiques de sécurité ; cette prise de contrôle non autorisée n’aurait pas dû être possible), a-t-elle écrit à 22 h 13 UTC. Le même message précisait que Namecheap n’avait pas répondu et que le front end et l’API resteraient hors ligne tant que le domaine ne serait pas sécurisé.

Quelques heures plus tard, le ton a changé. Dans son message de 01 h 16 UTC, Across a annoncé que tout était rétabli et a remercié le fondateur de Namecheap, sous son pseudo X @synth, d’avoir répondu, aidé à sécuriser le compte et ouvert une enquête. Cointelegraph l’a identifié comme Richard Kirkendall. Le vendredi 13 novembre, Namecheap en tant qu’entreprise n’avait toujours publié aucune déclaration : le seul récit disponible de la prise de contrôle reste celui d’Across.

Deux services extérieurs ont assuré l’essentiel du confinement. SEAL911, un groupe d’intervention d’urgence en sécurité, a fait avertir les utilisateurs par les portefeuilles que across.to était un site de phishing. Cloudflare a d’abord classé le domaine comme à risque, puis retiré ses enregistrements DNS, ce qui a mis la fausse application hors ligne alors que, selon Across, Namecheap n’avait toujours pas répondu.

Les pertes : environ 402 000 dollars selon Bitquery, aucun total chez Across

Le seul décompte détaillé vient pour l’instant de Bitquery, une société d’analyse de blockchains. Dans une enquête mise à jour le 12 novembre, elle estime que le faux site a pris environ 402 000 dollars (401 900 dollars) à neuf portefeuilles sur cinq réseaux, Ethereum, Arbitrum, Base, Optimism et BNB Chain, entre 19 h 02 et 21 h 53 UTC le 10 novembre, chaque vol étant valorisé au moment où il a eu lieu. Sa première version, le 11 novembre, parlait d’environ 348 000 dollars ; la hausse vient d’un transfert d’ether repéré ensuite.

Un seul portefeuille pèse environ les trois quarts du total. Son propriétaire détenait 148,60 aWETH, le jeton qu’Aave remet à ceux qui déposent de l’ether, soit 304 514 dollars selon Bitquery, et avait signé un permit sur le faux site. Le voleur a retiré les jetons en quatre transactions en trois minutes environ, chacune partagée à 80/20 entre lui et le portefeuille de commission du drainer. Le propriétaire a annulé l’autorisation une minute après le dernier retrait, trop tard : le voleur avait déjà échangé l’essentiel contre de l’ether via UniswapX, selon Bitquery. Un deuxième portefeuille Ethereum a perdu environ 55 200 dollars, surtout 26,38 ETH, six autres entre 4 700 et 9 000 dollars environ chacun, et le dernier seulement un jeton sans prix de marché.

Ce vol principal se vérifie sur la blockchain. Sur Etherscan, le premier retrait, à 20 h 09 UTC le 10 novembre, fait sortir du portefeuille 115,23 aEthWETH et 28,81 aEthWETH, soit un partage 80/20, vers 0x2846…1fde et 0x0c7c…d37b, deux des quatre adresses que le guide de récupération d’Across classe parmi les destinataires des fonds volés. Trois autres retraits ont suivi à 20 h 12 UTC, pour environ 148,6 aEthWETH au total. Les montants en dollars, les huit autres portefeuilles et le lien entre chaque vol et across.to reposent sur l’analyse de Bitquery.

Bitquery reconnaît que ce lien est indirect. Rien sur la blockchain n’indique quel site une victime utilisait : la société rattache les vols à across.to par leur horaire, le partage 80/20 et un portefeuille du voleur actif seulement pendant le détournement. Elle présente aussi son total comme un minimum. Des paiements au voleur par d’autres voies lui échapperaient, les réseaux sans données de transfert comme HyperEVM et Avalanche ne sont pas comptés, et les jetons sans prix de marché sont exclus. Plasma et Ink, où Across signale des contrats de l’attaquant, ne figurent pas parmi ses cinq réseaux : les 7 053 USDT0 qu’un utilisateur dit avoir perdus sur Plasma ne sont donc pas dans le total.

Bitquery corrige au passage un chiffre qui a circulé le 11 novembre. Les 294 000 dollars cités pour le piratage correspondaient au solde du portefeuille de commission du drainer, pas au montant volé. Selon Bitquery, au moins 57 % de ce solde s’y trouvait déjà avant le détournement, soit environ 167 000 dollars issus de vols plus anciens, et ce chiffre oubliait les quelque 278 000 dollars envoyés directement au voleur.

Across lui-même n’a donné aucun chiffre de pertes, ni nombre de victimes, ni liste des réseaux où des fonds ont été pris. Avant le décompte de Bitquery, il n’existait que des témoignages individuels. Mardi soir, Cointelegraph a relayé trois messages publiés sur X : un utilisateur disait avoir perdu 9 000 $ en USDC, un autre 7 053 USDT0 en sept transactions sur le réseau Plasma, et un troisième affirmait qu’un portefeuille avait été vidé après plusieurs utilisations du pont. Cointelegraph précise n’en avoir vérifié aucun de façon indépendante. Chacun est l’affirmation d’un seul utilisateur, et on ne peut pas les additionner pour en tirer un total.

Le guide de récupération ne donne pas de montants non plus. Il cartographie le dispositif de l’attaquant : huit contrats « spender » sur six réseaux (Ethereum, Base, Arbitrum, Ink, Plasma et BNB Chain) et quatre adresses ayant reçu des fonds volés. Une adresse figure sur les deux listes, le contrat Plasma, et Plasma est le réseau cité dans le témoignage sur l’USDT0. Selon le guide, les huit contrats exécutent le même code malveillant, et l’attaquant peut réutiliser les adresses sur d’autres réseaux.

Pour mesurer l’audience du pont, Across se classait troisième parmi les ponts par volume de transferts sur 30 jours, avec environ 5,9 milliards de dollars déplacés, derrière Circle et LayerZero, d’après des données DefiLlama citées par Cointelegraph le 11 novembre. C’est une mesure de trafic, pas d’exposition : seules les personnes qui ont utilisé le site pendant la fenêtre du détournement, et signé ce qu’il demandait, sont à risque.

Qui est exposé après le piratage d’Across Protocol

Le guide de récupération est précis. Vous devez le suivre si, le 10 novembre 2026, vous avez visité across.to et fait l’une de ces quatre choses : connecter un portefeuille, approuver un token, signer un message ou un permit, ou envoyer une transaction. Selon le guide, le faux site demandait aux visiteurs de signer des autorisations et des permits permettant à des contrats de l’attaquant de sortir des tokens de leur portefeuille, et certaines de ces autorisations sont toujours ouvertes.

Une autorisation ouverte n’expire pas parce que le site est réparé. Tant qu’elle n’est pas révoquée, l’attaquant peut prendre toute quantité supplémentaire de ce token qui arriverait plus tard dans le portefeuille, un versement de salaire ou un transfert depuis une plateforme d’échange, par exemple. C’est pourquoi la révocation compte même pour quelqu’un qui a déjà perdu des fonds.

Les personnes qui utilisent Across via une autre application ou une intégration de portefeuille ne sont pas concernées par cette liste. Across indique que les intégrations et les utilisateurs de l’API n’ont pas été touchés, et que l’attaque a visé uniquement le domaine du site web.

Si les ponts sont nouveaux pour vous, notre explication sur le fonctionnement d’un pont cross-chain, de la messagerie aux intents détaille ce que fait Across derrière son interface.

Les contrats de l’attaquant à révoquer, réseau par réseau

Voici les adresses de spenders listées dans le guide de récupération diffusé après l’incident, que DeFi Prime présente comme celui d’Across. Si l’une d’elles apparaît comme spender de vos tokens, sur n’importe quel réseau, Across demande de la révoquer. L’équipe indique qu’elle pourrait ajouter d’autres adresses.

Le guide recense quatre adresses ayant reçu des fonds volés : 0x2846e69d3298e99eddf2fd8116e952844da11fde, 0x0c7c656126aa62625fdd8051eb69dc14aee8d37b, 0x3ef438c34ce51a697a24247fe033c4562c94f0fd (le contrat Plasma ci-dessus) et 0xa0e6c7d79b74d1a6d366dd11309b6faafda05ac5. N’envoyez jamais rien à ces adresses, et considérez comme une arnaque tout message qui vous le demande.

Que faire si vous avez signé sur across.to le 10 novembre

Les étapes du guide passent par revoke.cash, un outil gratuit qui liste les autorisations de tokens d’un portefeuille. Notre propre routine en six étapes pour révoquer des autorisations de tokens présente les mêmes outils plus en détail. En résumé :

1. Tapez vous-même revoke.cash dans la barre d’adresse. Ne suivez pas un lien de révocation reçu par message privé, en réponse ou par e-mail : des copies du site existent.
2. Collez votre adresse dans la barre de recherche pour consulter sans vous connecter. Il faudra connecter le portefeuille pour révoquer quoi que ce soit.
3. Commencez par le réseau où vous avez utilisé Across, puis recommencez pour Ethereum, Base, Arbitrum, Ink, BNB Chain et tout autre réseau où vous détenez des fonds.
4. Collez chaque adresse malveillante du tableau dans le champ « Search by Spender ». Une ligne qui apparaît est une autorisation donnée à l’attaquant. Trier par « Last Updated » et vérifier tout ce qui date du 10 novembre aide aussi.
5. Vérifiez les lignes Permit2. Certaines victimes ont signé un permit Permit2 plutôt qu’une autorisation directe, et revoke.cash l’affiche sur une ligne distincte, avec le vrai spender et une mention d’expiration.
6. Révoquez chaque correspondance et confirmez dans votre portefeuille. Chaque révocation est une transaction onchain : gardez un peu d’ETH sur Ethereum, Base, Arbitrum et Ink, ou du BNB sur BNB Chain.
7. Rechargez la page et vérifiez que les lignes ont disparu ou affichent une allocation nulle, sur chaque réseau.

Une ligne dont le spender est simplement Permit2 correspond à l’autorisation normale qu’utilisent des applications comme Uniswap. Across précise que la révoquer coupe aussi toute allocation de l’attaquant sur ce token, au prix de devoir réapprouver la prochaine fois que vous utiliserez une telle application.

Ce que la révocation ne peut pas réparer

Révoquer empêche les vols futurs. Cela ne restitue pas les tokens déjà pris, et un transfert direct vers l’attaquant, lorsque le faux site demandait d’envoyer des coins plutôt que de les approuver, ne laisse rien à révoquer.

Il existe une lacune que revoke.cash ne peut pas montrer. Un permit que vous avez signé mais que l’attaquant n’a pas encore soumis onchain n’existe que sous forme de signature : il n’apparaît dans aucune liste. Le conseil d’Across à toute personne ayant signé quoi que ce soit sur across.to ce jour-là est de révoquer ce qui est visible, puis de déplacer les actifs restants vers un nouveau portefeuille. Si vous ne pouvez pas révoquer tout de suite, sortir les tokens concernés fonctionne aussi, car une autorisation ne peut vider que ce qui se trouve dans le portefeuille.

Demander une indemnisation, et les faux supports qui suivront

Les utilisateurs qui ont perdu des fonds sont invités à envoyer à Across leur adresse de portefeuille et les hashs de leurs transactions, et le contact doit partir d’eux : Across dit qu’il n’enverra jamais le premier message privé, ne demandera jamais de phrase de récupération ni de clé privée, et ne demandera à personne de « valider » ou de « synchroniser » un portefeuille sur un site. De faux comptes de support suivent souvent ce genre d’incident : un message proposant un remboursement a plus de chances d’être la seconde attaque que l’indemnisation.

Aucune date, aucun formulaire de demande ni aucune source de financement n’a été annoncé pour le remboursement. La promesse d’Across, telle que la cite Cointelegraph, est courte : « All affected users will be made whole. We’ll share a full post-mortem in the coming days » (tous les utilisateurs touchés seront indemnisés ; nous publierons un post-mortem complet dans les prochains jours).

Repérer un front end détourné avant de signer

Un détournement de domaine met en échec le conseil habituel de vérifier l’URL, puisque l’URL est la bonne. Ce qui change, c’est ce que le site vous demande de signer. Quelques habitudes aident à repérer un faux front end :

• Lisez chaque demande de signature. Un transfert par pont nécessite une autorisation pour le token que vous déplacez, pas une autorisation illimitée pour d’autres tokens ni un permit sur des actifs que vous n’avez pas choisis.
• Comparez l’adresse du spender dans la fenêtre de votre portefeuille avec les adresses de contrats que le projet publie dans sa documentation. Un spender inconnu est une raison de s’arrêter.
• Prenez au sérieux les alertes des portefeuilles. Ici, SEAL911 a fait signaler across.to comme phishing par les principaux portefeuilles, et cet avertissement a été la première ligne de défense.
• Après une alerte, consultez le compte officiel du projet avant de retourner sur son site, et refusez toute signature sans lien évident avec l’action que vous vouliez accomplir.
• Utilisez un portefeuille séparé, qui ne contient que ce que vous comptez déplacer, pour les ponts et les nouvelles applications : une autorisation ne pourra alors atteindre qu’un petit solde.

Rien de cela ne protège contre une signature d’apparence normale, et c’est pourquoi révoquer les autorisations inutilisées toutes les quelques semaines fait partie d’une routine de sécurité DeFi de base.

Deuxième détournement de registrar visant des sites DeFi en 12 jours

L’affaire Across survient moins de deux semaines après une vague de détournements DNS visant des sites DeFi enregistrés chez Name.com les 30 et 31 octobre. Notre article sur le détournement DNS de Name.com revient sur cet épisode, dont la cause n’était pas encore confirmée à l’époque.

Namecheap a déjà connu cela. Vers le 23 juin 2022, des attaquants ont détourné les enregistrements DNS de projets DeFi qui l’utilisaient, parmi lesquels Convex Finance, Ribbon Finance, Allbridge et DeFi Saver, et ont poussé les visiteurs à approuver des contrats malveillants. Kirkendall, alors directeur général de Namecheap, a déclaré que l’entreprise avait remonté le problème jusqu’à « a specific CS agent that was either hacked or compromised somehow » (un agent du support client précis, piraté ou compromis d’une manière ou d’une autre) et avait supprimé les accès de cet agent, a rapporté ForkLog le 24 juin 2022.

En juillet 2024, Compound Finance, Celer Network, Pendle Finance et Unstoppable Domains ont vu leurs domaines pris après le transfert des clients de Google Domains vers Squarespace ; des chercheurs ont mis en cause des réglages de compte trop faibles par défaut, une lecture que Squarespace a ensuite contestée dans son propre post-mortem, a rapporté Krebs on Security le 15 juillet 2024. Galxe en octobre 2023, puis Aerodrome et Velodrome en novembre 2025, ont perdu leurs front ends de façon similaire, comme The Block l’a rappelé dans son article sur la vague Name.com.

Pour Across, c’est le deuxième incident en quatre mois, mais d’une autre nature. Le 17 juillet 2026, un relayeur exploité par Risk Labs a avancé environ 4,5 millions de dollars contre 581 fausses demandes de dépôt Solana, pour une perte nette de moins de 4 millions de dollars ; Across a mis en cause un logiciel hors chaîne et affirmé que les fonds des utilisateurs n’étaient pas touchés, a rapporté crypto.news. L’attaque du 10 novembre n’a pas touché la mécanique du protocole. Elle est passée par le registrar.

Ce que l’on ignore encore

La liste des questions ouvertes est longue, et la plupart n’auront de réponse qu’avec le post-mortem qu’Across a promis le 11 novembre « dans les prochains jours », toujours pas publié le 13 novembre :

• Le bilan d’Across lui-même, en pertes et en victimes. L’estimation d’environ 402 000 dollars de Bitquery est un minimum qui laisse de côté certains réseaux, et Across ne l’a ni confirmée ni contestée.
• Comment l’ingénierie sociale a fonctionné chez Namecheap, et ce que conclura l’enquête de Namecheap. Le registrar n’a pas publié son propre récit.
• Si des fonds volés ont été gelés ou récupérés, par exemple des stablecoins dont les émetteurs peuvent bloquer des adresses.
• Qui paie l’indemnisation, comment les demandes seront vérifiées, et quand les versements commenceront.

D’ici là, la démarche utile est celle qu’Across a demandée mardi soir : toute personne ayant utilisé across.to le 10 novembre doit vérifier sur chaque réseau la présence des adresses de spenders ci-dessus et révoquer ce qu’elle y trouve.