Across Protocol hat seine Website nach einem Domain-Hijacking-Angriff am 10. November wiederhergestellt, bei dem Nutzer auf eine betrügerische Seite umgeleitet wurden. Sicherheitsforscher schätzen, dass etwa 350.000 US-Dollar aus Kryptowährungs-Wallets gestohlen wurden.
Zusammenfassung
- Across Protocol hat seine Website wiederhergestellt, nachdem Angreifer seine Domain durch einen gemeldeten Social-Engineering-Angriff auf Namecheap übernommen hatten.
- GoPlus schätzte die Verluste nach dem Phishing-Vorfall auf fast 350.000 US-Dollar über sechs Blockchain-Netzwerke hinweg.
- Angreifer nutzten Berichten zufolge bösartige Token-Genehmigungen und Permit-Signaturen, um auf die Kryptowährungs-Wallets der Nutzer zuzugreifen.
- Across bestätigte, dass API-Nutzer und Drittanbieter-Integrationen von der Website-Kompromittierung nicht betroffen waren.
- Das Protokoll versprach, betroffene Nutzer zu entschädigen und einen detaillierten Bericht über den Angriff zu veröffentlichen.
In einem Update vom Mittwoch bestätigte die Cross-Chain-Bridge, dass ihre Domain wieder unter ihrer Kontrolle sei und alle Systeme normal funktionierten. Das Team führte den Angriff auf Social Engineering zurück, an dem der Domain-Registrar Namecheap beteiligt war, und versprach, betroffene Nutzer zu entschädigen.
„Alle betroffenen Nutzer werden vollständig entschädigt. Wir werden in den kommenden Tagen eine vollständige Post-Mortem-Analyse veröffentlichen“, erklärte Across.
Das Sicherheitsunternehmen GoPlus schätzte, dass die Phishing-Operation Wallets in Ethereum, Arbitrum, Base, BNB Chain, Ink und Plasma betraf. Across hat seine eigene bestätigte Verlustzahl oder die Gesamtzahl der betroffenen Nutzer nicht bekannt gegeben.
Across Protocol erklärt, Angreifer erlangten die Kontrolle über Namecheap
Der Vorfall begann am 10. November gegen 18:45 UTC, als ein Angreifer unbefugte Kontrolle über die Across-Domain erlangte, nachdem das Protokoll nach eigenen Angaben Ziel eines Social-Engineering-Angriffs auf Namecheap geworden war.
Anstatt die Smart Contracts der Bridge auszunutzen, manipulierte der Angreifer die Domain-Einstellungen der Website und leitete Besucher auf eine Phishing-Seite um, die dem legitimen Dienst nachempfunden war.
In seiner Offenlegung des Vorfalls erklärte Across, dass es innerhalb von 15 Minuten eine Warnung erhielt und sofort damit begann, die kompromittierte Website abzuschalten.
Die Sicherheitsreaktionsgruppe SEAL911 half dabei, across.to bei großen Kryptowährungs-Wallets als Phishing-Seite zu kennzeichnen. Cloudflare stufte die Domain anschließend als gefährlich ein, bevor die DNS-Einträge entfernt wurden, wodurch Besucher daran gehindert wurden, die betrügerische Seite zu erreichen.
Diese Maßnahmen wurden ergriffen, während das Protokoll daran arbeitete, die Kontrolle über sein Domain-Registrar-Konto zurückzugewinnen. Across setzte während des Wiederherstellungsprozesses seine Frontend- und API-Dienste vorübergehend aus.
Zu diesem Zeitpunkt erklärte das Team, dass Namecheap nicht auf seine Unterstützungsanfragen reagiert habe. In seiner späteren Ankündigung dankte es jedoch dem Namecheap-Gründer Richard Kirkendall für die Hilfe bei der Sicherung des Kontos und die Einleitung einer Untersuchung.
Across betonte, dass seine Domain durch etablierte Sicherheitskontrollen geschützt gewesen sei, und erklärte, dass die Umstände der unbefugten Übernahme in seinem Bericht nach dem Vorfall untersucht würden.
Phishing-Angriff entzieht Nutzer-Wallets Berichten zufolge 350.000 US-Dollar
Die geschätzten Verluste stammten aus Transaktionen und Berechtigungen, die über die betrügerische Website in dem Zeitraum erlangt wurden, in dem die Angreifer die Domain kontrollierten.
Laut GoPlus könnten Nutzer, die mit der Phishing-Seite interagierten, dazu verleitet worden sein, EIP-2612-Permits, Permit2-Autorisierungen oder direkte Token-Genehmigungen zu unterzeichnen.
Solche Berechtigungen können es einem genehmigten Ausgeber ermöglichen, Token aus einer Wallet zu übertragen, ohne dass der Eigentümer jede nachfolgende Transaktion autorisieren muss.
In einigen Fällen könnten Opfer dazu überredet worden sein, Kryptowährungen direkt an von dem Angreifer kontrollierte Adressen zu senden.
GoPlus identifizierte mehrere verdächtige Spender-Adressen, die mit dem Vorfall in Verbindung stehen, und riet Nutzern, die während des Angriffs erteilten Berechtigungen zu überprüfen.
Die gemeldete Verlustschätzung von 350.000 US-Dollar umfasst mehrere Blockchain-Netzwerke, obwohl Across diese Zahl nicht unabhängig bestätigt hat.
Das Team erklärte, dass Nutzer, die vor dem Angriff auf seine Website zugegriffen hatten, nicht betroffen seien. In seiner Erklärung wurde zudem klargestellt, dass Drittanbieter-Integrationen und API-Nutzer von der Domain-Kompromittierung nicht betroffen waren.
Der Angriff folgt auf eine separate Reihe von DeFi-Website-Hijackings, über die am 31. Oktober berichtet wurde, als das Sicherheitsunternehmen Blockaid mindestens 12 Websites identifizierte, die das Step-Drainer-Phishing-Toolkit bereitstellten.
Zu diesen Vorfällen gehörte Flap, das bestätigte, dass ein DNS-Angriff Besucher von seiner legitimen Website auf ein nicht autorisiertes Ziel umgeleitet hatte.
Across verspricht Entschädigung, während Nutzer Wallet-Genehmigungen überprüfen
Nach der Wiederherstellung bestätigte Across, dass seine Dienste betriebsbereit seien, und riet potenziell betroffenen Nutzern, ihre Wallets auf verdächtige Berechtigungen zu überprüfen.
In seiner Sicherheitsanleitung verwies das Team Nutzer, die während des Angriffs Wallets verbunden hatten, auf Revoke.cash, um die am 10. November erteilten Autorisierungen zu überprüfen und zu widerrufen.
Das Widerrufen einer Genehmigung verhindert weitere Übertragungen unter Verwendung dieser Berechtigung, kann jedoch bereits erfolgte Transaktionen nicht rückgängig machen.
Nutzer, die bösartige Permits unterzeichnet haben, müssen möglicherweise zusätzliche Vorsichtsmaßnahmen ergreifen, da einige Off-Chain-Signaturen weiterhin verwendbar bleiben können, auch wenn sie nicht unter den gewöhnlichen Token-Genehmigungen erscheinen.
Das Protokoll erklärte, dass temporäre Browser- und Wallet-Phishing-Warnungen nach der Wiederherstellung der Website weiterhin sichtbar bleiben könnten.
Ein separater Cloudflare-bezogener Phishing-Vorfall im Oktober betraf kompromittierte API-Anmeldedaten, die es Angreifern ermöglichten, betrügerische Nachrichten zu versenden, die scheinbar vom Hardware-Wallet-Hersteller Foundation stammten.
Foundation erklärte, der Vorfall habe seine Kommunikationsinfrastruktur betroffen, jedoch nicht die Hardware-Wallets oder die gespeicherten Gelder der Kunden kompromittiert.
Across erlitt zuvor einen separaten Cross-Chain-Sicherheitsvorfall
Der Phishing-Angriff im November ist getrennt von einem Vorfall im Juli zu betrachten, der den von Risk Labs betriebenen Relayer von Across Protocol auf Solana betraf.
Wie crypto.news zuvor berichtete, fabrizierten Angreifer 1.627 Solana-Einzahlungsereignisse mit einem angegebenen Gesamtwert von 41,7 Millionen US-Dollar.
Der Relayer verarbeitete 581 betrügerische Anfragen, bevor er den Betrieb einstellte, was nach Berücksichtigung der eingefrorenen Angreifer-Gelder zu einem Nettoverlust von weniger als 4 Millionen US-Dollar führte.
Anders als bei jenem Vorfall richtete sich der Angriff im November gegen die Website-Domain des Protokolls und die Wallet-Berechtigungen der Besucher, die mit der betrügerischen Seite interagiert hatten.
Daten von DefiLlama platzierten Across unter den führenden Cross-Chain-Bridges nach Transaktionsaktivität, mit etwa 5,9 Milliarden US-Dollar an Überweisungen, die in den vorangegangenen 30 Tagen verzeichnet wurden.
Across erklärte, dass seine Untersuchung der Domain-Übernahme im November noch andauere und dass es eine detaillierte Post-Mortem-Analyse veröffentlichen werde, die erkläre, wie der Angreifer die Kontrolle erlangte.
