Across Protocol przywrócił swoją stronę internetową po ataku przejęcia domeny z 10 listopada, który przekierowywał użytkowników na fałszywą stronę, a badacze bezpieczeństwa szacują, że z portfeli kryptowalutowych skradziono około 350 000 dolarów.
Podsumowanie
- Across Protocol przywrócił swoją stronę internetową po tym, jak atakujący przejęli jego domenę w wyniku zgłoszonego ataku socjotechnicznego na Namecheap.
- GoPlus oszacował straty na prawie 350 000 dolarów w sześciu sieciach blockchain po incydencie phishingu.
- Atakujący mieli wykorzystać złośliwe zatwierdzenia tokenów i podpisy permit, aby uzyskać dostęp do portfeli kryptowalutowych użytkowników.
- Across potwierdził, że użytkownicy API i integracje zewnętrzne nie zostali dotknięci kompromitacją strony internetowej.
- Protokół obiecał zrekompensować poszkodowanym użytkownikom i opublikować szczegółowy raport na temat ataku.
W środowej aktualizacji most międzyłańcuchowy potwierdził, że jego domena ponownie znajduje się pod jego kontrolą, a wszystkie systemy działają normalnie. Zespół przypisał atak socjotechnice związanej z rejestratorem domen Namecheap i obiecał zrekompensować poszkodowanym użytkownikom.
„Wszyscy poszkodowani użytkownicy otrzymają pełną rekompensatę. W nadchodzących dniach udostępnimy pełny raport powłamaniowy” — stwierdził Across.
Firma zajmująca się bezpieczeństwem GoPlus oszacowała, że operacja phishingu dotknęła portfele w sieciach Ethereum, Arbitrum, Base, BNB Chain, Ink i Plasma. Across nie ujawnił własnej potwierdzonej kwoty strat ani łącznej liczby poszkodowanych użytkowników.
Across Protocol twierdzi, że atakujący przejęli kontrolę za pośrednictwem Namecheap
Incydent rozpoczął się około 18:45 UTC 10 listopada, gdy atakujący uzyskał nieuprawnioną kontrolę nad domeną Across w wyniku, jak to określił protokół, ataku socjotechnicznego wymierzonego w Namecheap.
Zamiast wykorzystać inteligentne kontrakty mostu, atakujący manipulował ustawieniami domeny strony internetowej i kierował odwiedzających na stronę phishingową zaprojektowaną tak, aby przypominała legalną usługę.
W swoim ujawnieniu incydentu Across podał, że otrzymał alert w ciągu 15 minut i natychmiast rozpoczął działania mające na celu wyłączenie skompromitowanej strony internetowej.
Grupa reagowania bezpieczeństwa SEAL911 pomogła oznaczyć across.to jako stronę phishingową w głównych portfelach kryptowalutowych. Cloudflare następnie sklasyfikował domenę jako niebezpieczną, po czym usunął jej rekordy DNS, uniemożliwiając odwiedzającym dotarcie do fałszywej strony.
Środki te podjęto, podczas gdy protokół pracował nad odzyskaniem kontroli nad swoim kontem rejestratora domen. Across tymczasowo zawiesił swoje usługi frontendowe i API w trakcie procesu odzyskiwania.
Na tym etapie zespół poinformował, że Namecheap nie odpowiedział na jego prośby o pomoc. Jednak w późniejszym ogłoszeniu podziękował założycielowi Namecheap, Richardowi Kirkendallowi, za pomoc w zabezpieczeniu konta i wszczęcie dochodzenia.
Across utrzymywał, że jego domena była chroniona przez ustalone mechanizmy kontroli bezpieczeństwa, i zapowiedział, że okoliczności nieuprawnionego przejęcia zostaną zbadane w raporcie powłamaniowym.
Atak phishingowy miał opróżnić portfele użytkowników z 350 tys. dolarów
Szacowane straty wynikały z transakcji i uprawnień uzyskanych za pośrednictwem fałszywej strony internetowej w okresie, gdy atakujący kontrolowali domenę.
Według GoPlus użytkownicy, którzy weszli w interakcję ze stroną phishingową, mogli zostać nakłonieni do podpisania pozwoleń EIP-2612, autoryzacji Permit2 lub bezpośrednich zatwierdzeń tokenów.
Takie uprawnienia mogą pozwolić zatwierdzonemu wydającemu na transfer tokenów z portfela bez wymagania od właściciela autoryzacji każdej kolejnej transakcji.
W niektórych przypadkach ofiary mogły zostać nakłonione do wysłania kryptowalut bezpośrednio na adresy kontrolowane przez atakującego.
GoPlus zidentyfikował kilka podejrzanych adresów wydających powiązanych z incydentem i zalecił użytkownikom sprawdzenie uprawnień przyznanych podczas ataku.
Zgłoszona szacowana strata w wysokości 350 000 dolarów obejmuje wiele sieci blockchain, chociaż Across nie potwierdził niezależnie tej kwoty.
Zespół poinformował, że użytkownicy, którzy uzyskali dostęp do jego strony internetowej przed atakiem, nie zostali dotknięci. W oświadczeniu dodatkowo wyjaśniono, że integracje zewnętrzne i użytkownicy API nie zostali dotknięci przejęciem domeny.
Atak następuje po osobnej serii przejęć stron DeFi zgłoszonych 31 października, kiedy firma bezpieczeństwa Blockaid zidentyfikowała co najmniej 12 stron serwujących zestaw narzędzi phishingowych Step Drainer.
Te incydenty obejmowały Flap, który potwierdził, że atak DNS przekierował odwiedzających z jego legalnej strony internetowej do nieautoryzowanego miejsca docelowego.
Across obiecuje rekompensatę, gdy użytkownicy sprawdzają zatwierdzenia portfeli
Po przywróceniu Across potwierdził, że jego usługi działają, i zalecił potencjalnie dotkniętym użytkownikom sprawdzenie swoich portfeli pod kątem podejrzanych uprawnień.
W swoich wytycznych bezpieczeństwa zespół skierował użytkowników, którzy podłączyli portfele podczas ataku, do Revoke.cash w celu przeglądu i cofnięcia autoryzacji przyznanych 10 listopada.
Cofnięcie zatwierdzenia zapobiega dalszym transferom z wykorzystaniem tego uprawnienia, chociaż nie może odwrócić transakcji, które już miały miejsce.
Użytkownicy, którzy podpisali złośliwe zezwolenia, mogą potrzebować podjąć dodatkowe środki ostrożności, ponieważ niektóre podpisy off-chain mogą pozostać użyteczne, nawet gdy nie pojawiają się wśród zwykłych zatwierdzeń tokenów.
Protokół poinformował, że tymczasowe ostrzeżenia o phishingu w przeglądarce i portfelu mogą pozostać widoczne po przywróceniu strony internetowej.
Osobny incydent phishingowy związany z Cloudflare w październiku obejmował przejęte dane uwierzytelniające API, które pozwoliły atakującym wysyłać fałszywe wiadomości wyglądające na pochodzące od producenta portfeli sprzętowych Foundation.
Foundation poinformował, że incydent dotknął jego infrastrukturę komunikacyjną, ale nie naruszył portfeli sprzętowych klientów ani przechowywanych środków.
Across wcześniej doświadczył osobnego incydentu bezpieczeństwa międzyłańcuchowego
Listopadowy atak phishingowy jest oddzielny od incydentu z lipca dotyczącego przekaźnika Across Protocol obsługiwanego przez Risk Labs w sieci Solana.
Jak wcześniej informował crypto.news, atakujący sfabrykowali 1627 zdarzeń depozytów w Solanie o łącznej deklarowanej wartości 41,7 miliona dolarów.
Przekaźnik przetworzył 581 fałszywych żądań przed zawieszeniem działalności, co skutkowało stratą netto poniżej 4 milionów dolarów po uwzględnieniu uwięzionych środków atakującego.
W przeciwieństwie do tamtego incydentu, listopadowy atak był wymierzony w domenę strony internetowej protokołu i uprawnienia portfeli odwiedzających, którzy weszli w interakcję z fałszywą stroną.
Dane z DefiLlama umieściły Across wśród wiodących mostów międzyłańcuchowych pod względem aktywności transakcyjnej, z około 5,9 miliarda dolarów transferów zarejestrowanych w poprzednich 30 dniach.
Across poinformował, że jego dochodzenie w sprawie listopadowego przejęcia domeny jest w toku i że opublikuje szczegółowy raport post-mortem wyjaśniający, w jaki sposób atakujący przejął kontrolę.
