Le site du pont Across a été remplacé par un faux pendant une partie de la soirée de mardi
Across est ce qu'on appelle un pont, un service qui fait passer vos cryptos d'un réseau à un autre, par exemple d'Ethereum vers Arbitrum. Mardi soir, vers 19 h 45, heure de Paris, un escroc s'est fait remettre le nom de domaine across.to (l'adresse du site) en trompant la société qui le gère, Namecheap. L'adresse officielle menait alors vers une copie du site, faite pour vider le portefeuille crypto de ceux qui s'y connectaient. L'équipe dit avoir été alertée en un quart d'heure et a coupé son site. Les grands portefeuilles crypto (MetaMask, Rabby et les autres) ont bloqué l'adresse. Across a repris la main dans la nuit.
Si vous n'avez pas ouvert across.to mardi soir, vous n'avez rien à faire. Si vous y êtes allé et que vous avez signé quelque chose, vérifiez vos soldes et retirez les autorisations données ce jour-là, avec le même portefeuille crypto (un outil comme revoke.cash le fait). Across promet de rembourser toutes les victimes, sans dire encore combien elles sont.
Across : le domaine across.to détourné chez Namecheap, les visiteurs de mardi soir exposés
Across, troisième pont inter-chaînes par le volume des trente derniers jours (5,9 milliards de dollars selon DefiLlama), a perdu le contrôle de son domaine across.to mardi 10 novembre vers 18 h 45 UTC, soit 19 h 45 à Paris. Pas de faille dans le protocole : l'attaquant a trompé le registrar Namecheap par ingénierie sociale et s'est fait attribuer le domaine. L'adresse officielle renvoyait alors vers un site de phishing (hameçonnage).
L'équipe dit avoir été prévenue en moins de quinze minutes. Elle a coupé l'interface et l'API, SEAL 911 a fait signaler le domaine aux grands portefeuilles, et Cloudflare a supprimé ses enregistrements DNS, ce qui l'a rendu inaccessible. Les contrats et les applications qui passent par l'API d'Across n'ont pas été touchés. Dans la nuit, Across a récupéré le domaine avec l'aide de Richard Kirkendall, le fondateur de Namecheap, et remis ses systèmes en service.
Seules les personnes qui ont ouvert across.to entre l'attaque et le blocage sont exposées. Plusieurs utilisateurs signalent des portefeuilles vidés, mais ni le montant ni le nombre de victimes ne sont connus. Across s'engage à les rembourser intégralement et publiera un rapport d'incident dans les prochains jours. Si vous êtes passé par le site mardi soir, révoquez les autorisations accordées ce jour-là, avec le portefeuille utilisé à ce moment-là.
Lire la version expert
Across : domaine détourné à 19 h 45, site piégé, contrats intacts, remboursement promis
Le détournement date du mardi 10 novembre, vers 18 h 45 UTC. Un attaquant a obtenu de Namecheap, par ingénierie sociale, le contrôle du domaine across.to et a pointé le DNS vers un site piégé. Across dit avoir été alerté en moins de quinze minutes : interface et API coupées, domaine signalé par SEAL 911 aux listes de phishing des portefeuilles, puis Cloudflare qui le marque à risque et supprime ses enregistrements DNS. Les contrats du pont n'ont pas bougé. Les intégrations tierces et les clients de l'API, qui ne passent pas par le domaine, n'ont pas été exposés.
Le mécanisme du faux site n'est pas documenté. Les comptes rendus parlent de portefeuilles vidés, ce qui désigne en général une signature acceptée sur l'interface piégée : approbation ERC-20, permit ou transfert. Le montant des pertes et le nombre de victimes ne sont pas communiqués. Across promet d'indemniser toutes les victimes et un rapport d'incident complet dans les prochains jours. Le domaine est revenu sous contrôle dans la nuit, avec l'aide du fondateur de Namecheap, Richard Kirkendall.
Reste à savoir par quel canal Namecheap s'est laissé convaincre, combien de temps le faux site a été servi, et sous quelle forme les remboursements arriveront. Pour le bilan, un vol n'est pas une cession au sens de l'article 150 VH bis du CGI : il ne crée pas de moins-value imputable, et les jetons disparus sortent du portefeuille sans effet fiscal. Un remboursement reçu en crypto entre en principe dans le portefeuille comme une acquisition au cours du jour. Les hachages des transactions et les échanges avec Across documenteront ces deux lignes.
