Across Protocol ha restaurado su sitio web tras un ataque de secuestro de dominio el 10 de noviembre que redirigió a los usuarios a una página fraudulenta, y los investigadores de seguridad estiman que se robaron aproximadamente $350,000 de billeteras de criptomonedas.
Resumen
- Across Protocol restauró su sitio web después de que los atacantes secuestraran su dominio mediante un presunto ataque de ingeniería social a Namecheap.
- GoPlus estimó pérdidas de casi $350,000 en seis redes blockchain tras el incidente de phishing.
- Según los informes, los atacantes utilizaron aprobaciones de tokens maliciosas y firmas de permiso para acceder a las billeteras de criptomonedas de los usuarios.
- Across confirmó que los usuarios de la API y las integraciones de terceros no se vieron afectados por el compromiso del sitio web.
- El protocolo prometió compensar a los usuarios afectados y publicar un informe detallado sobre el ataque.
En una actualización del miércoles, el puente entre cadenas confirmó que su dominio volvía a estar bajo su control y que todos los sistemas funcionaban con normalidad. El equipo atribuyó el ataque a una ingeniería social que involucró al registrador de dominios Namecheap y prometió compensar a los usuarios afectados.
“Todos los usuarios afectados serán compensados en su totalidad. Compartiremos un análisis post mortem completo en los próximos días”, declaró Across.
La firma de seguridad GoPlus estimó que la operación de phishing afectó a billeteras en Ethereum, Arbitrum, Base, BNB Chain, Ink y Plasma. Across no ha divulgado su propia cifra confirmada de pérdidas ni el número total de usuarios afectados.
Across Protocol afirma que los atacantes obtuvieron el control a través de Namecheap
El incidente comenzó aproximadamente a las 18:45 UTC del 10 de noviembre, cuando un atacante obtuvo el control no autorizado del dominio de Across tras lo que el protocolo describió como un ataque de ingeniería social dirigido a Namecheap.
En lugar de explotar los contratos inteligentes del puente, el atacante manipuló la configuración del dominio del sitio web y dirigió a los visitantes a una página de phishing diseñada para parecerse al servicio legítimo.
En su divulgación del incidente, Across dijo que recibió una alerta en un plazo de 15 minutos y comenzó de inmediato a trabajar para desactivar el sitio web comprometido.
El grupo de respuesta de seguridad SEAL911 ayudó a señalar across.to como un sitio de phishing en las principales billeteras de criptomonedas. Cloudflare posteriormente clasificó el dominio como peligroso antes de eliminar sus registros DNS, impidiendo que los visitantes llegaran a la página fraudulenta.
Las medidas se tomaron mientras el protocolo trabajaba para recuperar el control de su cuenta de registrador de dominios. Across suspendió temporalmente sus servicios de frontend y API durante el proceso de recuperación.
En esa etapa, el equipo dijo que Namecheap no había respondido a sus solicitudes de asistencia. Sin embargo, su anuncio posterior agradeció al fundador de Namecheap, Richard Kirkendall, por ayudar a asegurar la cuenta y abrir una investigación.
Across sostuvo que su dominio había estado protegido por controles de seguridad establecidos y dijo que las circunstancias que rodearon la toma de control no autorizada se examinarían en su informe posterior al incidente.
Según los informes, el ataque de phishing drena $350K de las billeteras de los usuarios
Las pérdidas estimadas provinieron de transacciones y permisos obtenidos a través del sitio web fraudulento durante el período en que los atacantes controlaron el dominio.
Según GoPlus, los usuarios que interactuaron con la página de phishing podrían haber sido persuadidos de firmar permisos EIP-2612, autorizaciones Permit2 o aprobaciones directas de tokens.
Dichos permisos pueden permitir que un gastador aprobado transfiera tokens desde una billetera sin requerir que el propietario autorice cada transacción posterior.
En algunos casos, se puede haber persuadido a las víctimas para que enviaran criptomonedas directamente a direcciones controladas por el atacante.
GoPlus identificó varias direcciones de gasto sospechosas asociadas con el incidente y aconsejó a los usuarios que examinaran los permisos otorgados durante el ataque.
La estimación de pérdidas reportada de $350,000 abarca múltiples redes blockchain, aunque Across no ha confirmado la cifra de forma independiente.
El equipo dijo que los usuarios que accedieron a su sitio web antes del ataque no se vieron afectados. Su declaración aclaró además que las integraciones de terceros y los usuarios de API no se vieron afectados por el compromiso del dominio.
El ataque sigue a una serie separada de secuestros de sitios web DeFi reportados el 31 de octubre, cuando la firma de seguridad Blockaid identificó al menos 12 sitios web que servían el kit de herramientas de phishing Step Drainer.
Esos incidentes incluyeron a Flap, que confirmó que un ataque DNS había redirigido a los visitantes de su sitio web legítimo a un destino no autorizado.
Across promete compensación mientras los usuarios verifican las aprobaciones de billetera
Tras la restauración, Across confirmó que sus servicios estaban operativos y aconsejó a los usuarios potencialmente afectados que inspeccionaran sus billeteras en busca de permisos sospechosos.
En su guía de seguridad, el equipo indicó a los usuarios que conectaron billeteras durante el ataque que acudieran a Revoke.cash para revisar y revocar las autorizaciones otorgadas el 10 de noviembre.
Revocar una aprobación impide futuras transferencias usando ese permiso, aunque no puede revertir transacciones que ya han ocurrido.
Los usuarios que firmaron permisos maliciosos pueden necesitar tomar precauciones adicionales porque algunas firmas fuera de la cadena pueden seguir siendo utilizables incluso cuando no aparecen entre las aprobaciones de tokens ordinarias.
El protocolo dijo que las advertencias temporales de phishing del navegador y la billetera podrían permanecer visibles después de la restauración del sitio web.
Un incidente de phishing relacionado con Cloudflare separado en octubre involucró credenciales de API comprometidas que permitieron a los atacantes enviar mensajes fraudulentos que parecían originarse del fabricante de billeteras de hardware Foundation.
Foundation dijo que el incidente afectó su infraestructura de comunicación pero no comprometió las billeteras de hardware de los clientes ni los fondos almacenados.
Across sufrió previamente un incidente de seguridad entre cadenas separado
El ataque de phishing de noviembre es distinto de un incidente de julio que involucró al relayer de Across Protocol operado por Risk Labs en Solana.
Como crypto.news informó anteriormente, los atacantes fabricaron 1,627 eventos de depósito en Solana con un valor declarado combinado de $41.7 millones.
El relayer procesó 581 solicitudes fraudulentas antes de suspender las operaciones, lo que resultó en una pérdida neta de menos de $4 millones después de contabilizar los fondos del atacante atrapados.
A diferencia de ese incidente, el ataque de noviembre se dirigió al dominio del sitio web del protocolo y a los permisos de billetera de los visitantes que interactuaron con la página fraudulenta.
Los datos de DefiLlama situaron a Across entre los principales puentes entre cadenas por actividad de transacciones, con aproximadamente $5.9 mil millones en transferencias registradas durante los 30 días anteriores.
Across dijo que su investigación sobre la toma de control del dominio de noviembre sigue en curso y que publicará un análisis post-mortem detallado que explique cómo el atacante obtuvo el control.
