Across a fait une annonce d'urgence le 10 novembre, exigeant que les utilisateurs cessent d'ouvrir l'application, de ne pas se connecter aux portefeuilles ni de signer des autorisations. L'équipe enquête sur un incident de sécurité des informations qui pourrait être lié au domaine réseau ; de nombreux utilisateurs de la communauté ont signalé que leurs portefeuilles avaient été volés et les autorités demandent les détails des transactions un par un. (Résumé précédent : $ACX a grimpé de 80 % ! Across Protocol prévoit de réorganiser DAO en une société entité, et les jetons peuvent être échangés contre des capitaux propres dans un rapport de 1:1 ou rachetés avec une prime) (Supplément de fond : le pont inter-chaînes Verus Ethereum a été attaqué ! Surveillance Blockaid : perte de plus de 11,58 millions de dollars américains) Le protocole de pont inter-chaînes Across Protocol a adopté X le 10 novembre Publier une annonce demandant aux utilisateurs de ne pas ouvrir leurs propres applications, ne pas se connecter à leur portefeuille, ni signer de transaction ou d'autorisation pendant l'enquête jusqu'à nouvel ordre. Il s'agit de la première déclaration officielle publiée après la révélation de l'incident. Le message n’expliquait pas la nature de l’incident et ne confirmait pas non plus si le site Web avait été piraté. Across est un pont inter-chaînes qui permet aux utilisateurs de déplacer des actifs entre Ethereum et d'autres blockchains. Dans l'annonce officielle, l'équipe a seulement déclaré qu'elle enquêtait sur des « incidents de sécurité potentiels » et a promis de continuer à mettre à jour les progrès. Pour les utilisateurs qui disposent encore de l’autorisation Across, il n’existe pour l’instant qu’une seule directive officielle : ne pas bouger pour l’instant. ALERTE Nous étudions actuellement un problème avec le domaine Across. Ne visitez PAS l’application, ne connectez pas votre portefeuille et n’y signez aucune transaction ou approbation jusqu’à nouvel ordre. Nous publierons des mises à jour au fur et à mesure que nous les aurons. — Across (@AcrossProtocol) 10 novembre 2026 Le rapport de catastrophe du côté communautaire est arrivé plus rapidement que la déclaration officielle. Un utilisateur a déclaré avoir perdu environ 9 000 dollars américains en USDC après l'opération ; un autre utilisateur a signalé qu'un total de 7 053 USDT0 avaient été transférés en sept transactions sur la chaîne Plasma, ce qui équivaut à effacer immédiatement le solde stable du portefeuille. Un troisième utilisateur a souligné que son portefeuille avait été vidé après avoir utilisé le pont à plusieurs reprises et a affirmé que le site Web avait été piraté. Across a répondu à ces retours en demandant un hachage des transactions une par une pour retracer le flux des fonds. Les pertes mentionnées ci-dessus ne sont actuellement signalées que de manière unilatérale par les utilisateurs et n'ont pas été vérifiées de manière indépendante. Across n’a pas répondu aux demandes détaillées avant la date limite. Cependant, cette publication a en fait analysé les deux domaines across.to et status.across.to avant la date limite, et tous deux ont signalé qu'ils ne pouvaient pas être analysés (aucune adresse associée au nom d'hôte), ce qui est cohérent avec ce que l'équipe a appelé « un problème avec le domaine ». Cela signifie que le problème peut résider au niveau du DNS ou de l'enregistrement du domaine, plutôt que de la rupture directe du contrat en chaîne ; la cause exacte doit encore être expliquée par les résultats médico-légaux officiels. Pourquoi tout le portefeuille peut-il être vidé avec une seule autorisation ? Pour les utilisateurs de ponts inter-chaînes, l'action la plus dangereuse n'est souvent pas le transfert, mais « l'autorisation ». Au moment où l'utilisateur appuie sur confirmation sur le front-end, ce qui se passe réellement, c'est que l'autorisation d'utiliser un certain jeton est accordée à un ensemble d'adresses de contrat. Si le site Web est remplacé par une version contrôlée par un attaquant à ce moment-là, la fenêtre de signature qui apparaîtra dans le portefeuille sera la même que d'habitude. Il sera difficile pour l'utilisateur de savoir depuis l'interface que ce qu'il signe remet l'intégralité de l'autorisation de transfert. Ce type de technique, appelé draineur de portefeuille, ne nécessite pas de clé privée ni de piratage du portefeuille lui-même. Tant que l'autorisation est obtenue une seule fois, les actifs peuvent être emportés à tout moment. Le vol en série de portefeuilles autogérés iOS, qui n'a été révélé que le 5 novembre et averti par GoPlus, a entraîné une perte d'environ 561 000 $ US selon l'alliance de sécurité SEAL. Il a suivi le même chemin. Pour les utilisateurs, l’ordre des mesures correctives est clair : vérifier d’abord les autorisations récemment signées, révoquer les contrats non reconnus, puis entrer uniquement par des entrées officiellement vérifiées. Le vieux problème du pont à chaînes croisées, cette fois l'entrée a été modifiée. Les pertes majeures des ponts inter-chaînes au cours des dernières années se sont presque toutes produites au niveau contractuel. Le pont inter-chaînes Ronin a été violé en 2022, ce qui a entraîné l'un des vols les plus importants de l'histoire de DeFi, et le protocole a ensuite été à nouveau publié ; en mai de cette année, le pont inter-chaînes Verus Ethereum a été attaqué et Blockaid a enregistré des pertes de plus de 11,58 millions de dollars. Si le contrat est rompu, cela laissera au moins des traces sur la chaîne et fournira également une orientation claire pour renforcer les mécanismes d'audit et de signatures multiples. Si quelque chose arrive cette fois au front-end ou au domaine, la surface d'attaque passera du contrat intelligent à « la page Web ouverte par l'utilisateur ». Pour le pont, le registraire de domaine, le fournisseur DNS, le CDN et la chaîne de déploiement front-end sont tous devenus des risques qui doivent être gérés, et ces liens ont rarement été inclus dans le périmètre des audits de contrats intelligents dans le passé. L'incident du piratage de Vercel cette année, qui a également amené les développeurs de chiffrement à modifier d'urgence les clés API, est un signe d'avertissement dans la même chaîne d'approvisionnement. Le timing n’était pas bon pour Across lui-même. L'accord avait précédemment proposé l'idée de restructurer le DAO en une société autonome, permettant aux jetons d'être échangés contre des actions ou rachetés avec une prime dans un rapport de 1:1, et se préparait à rapprocher la structure de gouvernance du marché institutionnel. S'il est confirmé que le domaine du réseau ou du front-end est perdu à ce moment-là, il sera plus difficile de répondre aux questions des investisseurs sur sa discipline opérationnelle que aux questions techniques. La valeur d'un pont inter-chaînes repose sur la confiance de « lui remettre l'actif pendant quelques minutes ». Une fois que la confiance doit être restaurée par des rapports médico-légaux, la période de rétablissement est souvent mesurée en trimestres. Observations de suivi Il y a quatre choses à surveiller : si le rapport médico-légal officiel confirme le piratage DNS ou les changements au niveau du fournisseur de domaine, si la perte totale réelle sur la chaîne dépasse le nombre actuellement annoncé par les utilisateurs, si d'autres frontaux DeFi ont été affectés au cours de la même période et si Across suspendra le contrat de pont pour arrêter l'hémorragie. Avant que la conclusion officielle ne soit donnée, "ne pas ouvrir, ne pas connecter, ne pas signer" reste la seule opération sûre. Rapports associés : Vercel a été piraté, les développeurs de chiffrement ont modifié en urgence les clés API : l'outil d'IA Context.ai est devenu une vulnérabilité, la chaîne d'approvisionnement frontale Web3 a sonné l'alarme, GoPlus a averti : les portefeuilles autogérés iOS ont été volés à plusieurs reprises ! SEAL a signalé une perte d'environ 561 000 $ US, et Trust Wallet en a été principalement la victime. Le plus grand vol de l’histoire de DeFi. Le pont inter-chaînes Ronin « s'est à nouveau contracté » pour piller des actifs sans signatures multiples, mais il y a maintenant un tournant. À travers le pont inter-chaînes est soupçonné d'avoir été piraté ! Les autorités ont demandé d'urgence la désactivation et des portefeuilles ont été volés. Cet article a été publié pour la première fois dans BlockTempo, le média d'information blockchain le plus influent.