Across Protocol a restauré son site web après une attaque de détournement de domaine survenue le 10 novembre, qui redirigeait les utilisateurs vers une page frauduleuse, les chercheurs en sécurité estimant qu'environ 350 000 $ ont été volés dans des portefeuilles de cryptomonnaies.
Résumé
- Across Protocol a restauré son site web après que des attaquants ont détourné son domaine via une attaque d'ingénierie sociale signalée contre Namecheap.
- GoPlus a estimé à près de 350 000 $ les pertes sur six réseaux blockchain à la suite de l'incident d'hameçonnage.
- Les attaquants auraient utilisé des approbations de jetons malveillantes et des signatures de permis pour accéder aux portefeuilles de cryptomonnaies des utilisateurs.
- Across a confirmé que les utilisateurs de l'API et les intégrations tierces n'ont pas été affectés par la compromission du site web.
- Le protocole a promis d'indemniser les utilisateurs affectés et de publier un rapport détaillé sur l'attaque.
Dans une mise à jour de mercredi, le pont inter-chaînes a confirmé que son domaine était de nouveau sous son contrôle et que tous les systèmes fonctionnaient normalement. L'équipe a attribué l'attaque à une ingénierie sociale impliquant le registraire de domaines Namecheap et a promis d'indemniser les utilisateurs affectés.
« Tous les utilisateurs affectés seront indemnisés. Nous partagerons un post-mortem complet dans les prochains jours », a déclaré Across.
La société de sécurité GoPlus a estimé que l'opération d'hameçonnage a affecté des portefeuilles sur Ethereum, Arbitrum, Base, BNB Chain, Ink et Plasma. Across n'a pas divulgué son propre chiffre de pertes confirmé ni le nombre total d'utilisateurs affectés.
Across Protocol affirme que les attaquants ont pris le contrôle via Namecheap
L'incident a commencé vers 18h45 UTC le 10 novembre, lorsqu'un attaquant a pris le contrôle non autorisé du domaine d'Across à la suite de ce que le protocole a décrit comme une attaque d'ingénierie sociale ciblant Namecheap.
Plutôt que d'exploiter les contrats intelligents du pont, l'attaquant a manipulé les paramètres de domaine du site web et a dirigé les visiteurs vers une page d'hameçonnage conçue pour ressembler au service légitime.
Dans sa divulgation de l'incident, Across a déclaré avoir reçu une alerte dans les 15 minutes et avoir immédiatement commencé à travailler pour fermer le site web compromis.
Le groupe d'intervention en sécurité SEAL911 a aidé à signaler across.to comme site d'hameçonnage auprès des principaux portefeuilles de cryptomonnaies. Cloudflare a ensuite classé le domaine comme dangereux avant de supprimer ses enregistrements DNS, empêchant les visiteurs d'atteindre la page frauduleuse.
Ces mesures ont été prises pendant que le protocole s'efforçait de reprendre le contrôle de son compte de registraire de domaines. Across a temporairement suspendu ses services frontend et API pendant le processus de récupération.
À ce stade, l'équipe a déclaré que Namecheap n'avait pas répondu à ses demandes d'assistance. Cependant, son annonce ultérieure a remercié le fondateur de Namecheap, Richard Kirkendall, pour avoir aidé à sécuriser le compte et ouvert une enquête.
Across a maintenu que son domaine avait été protégé par des contrôles de sécurité établis et a déclaré que les circonstances entourant la prise de contrôle non autorisée seraient examinées dans son rapport post-incident.
L'attaque d'hameçonnage aurait vidé 350 000 $ des portefeuilles des utilisateurs
Les pertes estimées provenaient de transactions et d'autorisations obtenues via le site web frauduleux pendant la période où les attaquants contrôlaient le domaine.
Selon GoPlus, les utilisateurs qui ont interagi avec la page d'hameçonnage ont pu être persuadés de signer des permis EIP-2612, des autorisations Permit2 ou des approbations directes de jetons.
De telles autorisations peuvent permettre à un dépensier approuvé de transférer des jetons depuis un portefeuille sans exiger que le propriétaire autorise chaque transaction ultérieure.
Dans certains cas, les victimes ont pu être persuadées d'envoyer directement des cryptomonnaies à des adresses contrôlées par l'attaquant.
GoPlus a identifié plusieurs adresses de dépense suspectes associées à l'incident et a conseillé aux utilisateurs d'examiner les autorisations accordées lors de l'attaque.
L'estimation de perte de 350 000 $ rapportée couvre plusieurs réseaux blockchain, bien qu'Across n'ait pas confirmé ce chiffre de manière indépendante.
L'équipe a déclaré que les utilisateurs qui ont accédé à son site web avant l'attaque n'ont pas été affectés. Sa déclaration a en outre précisé que les intégrations tierces et les utilisateurs d'API n'ont pas été affectés par la compromission du domaine.
L'attaque fait suite à une série distincte de détournements de sites web DeFi signalés le 31 octobre, lorsque la société de sécurité Blockaid a identifié au moins 12 sites web diffusant la boîte à outils de phishing Step Drainer.
Ces incidents incluaient Flap, qui a confirmé qu'une attaque DNS avait redirigé les visiteurs de son site web légitime vers une destination non autorisée.
Across promet une compensation alors que les utilisateurs vérifient les approbations de portefeuille
Après la restauration, Across a confirmé que ses services étaient opérationnels et a conseillé aux utilisateurs potentiellement affectés d'inspecter leurs portefeuilles à la recherche d'autorisations suspectes.
Dans ses conseils de sécurité, l'équipe a dirigé les utilisateurs qui ont connecté des portefeuilles pendant l'attaque vers Revoke.cash pour examiner et révoquer les autorisations accordées le 10 novembre.
La révocation d'une approbation empêche d'autres transferts utilisant cette autorisation, bien qu'elle ne puisse pas annuler les transactions déjà effectuées.
Les utilisateurs qui ont signé des permis malveillants peuvent avoir besoin de prendre des précautions supplémentaires, car certaines signatures hors chaîne peuvent rester utilisables même lorsqu'elles n'apparaissent pas parmi les approbations de jetons ordinaires.
Le protocole a déclaré que des avertissements temporaires de phishing du navigateur et du portefeuille pourraient rester visibles après la restauration du site web.
Un incident de phishing lié à Cloudflare distinct en octobre impliquait des identifiants d'API compromis qui ont permis aux attaquants d'envoyer des messages frauduleux semblant provenir du fabricant de portefeuilles matériels Foundation.
Foundation a déclaré que l'incident avait affecté son infrastructure de communication mais n'avait pas compromis les portefeuilles matériels des clients ni les fonds stockés.
Across a déjà subi un incident de sécurité inter-chaînes distinct
L'attaque de phishing de novembre est distincte d'un incident de juillet impliquant le relais d'Across Protocol opéré par Risk Labs sur Solana.
Comme crypto.news l'a précédemment rapporté, les attaquants ont fabriqué 1 627 événements de dépôt Solana avec une valeur déclarée combinée de 41,7 millions de dollars.
Le relais a traité 581 demandes frauduleuses avant de suspendre ses opérations, entraînant une perte nette de moins de 4 millions de dollars après prise en compte des fonds d'attaquants bloqués.
Contrairement à cet incident, l'attaque de novembre ciblait le domaine du site web du protocole et les autorisations de portefeuille des visiteurs qui ont interagi avec la page frauduleuse.
Les données de DefiLlama plaçaient Across parmi les principaux ponts inter-chaînes par activité de transactions, avec environ 5,9 milliards de dollars de transferts enregistrés au cours des 30 jours précédents.
Across a déclaré que son enquête sur la prise de contrôle du domaine de novembre était toujours en cours et qu'elle publierait un post-mortem détaillé expliquant comment l'attaquant a pris le contrôle.
