O Across Protocol restaurou seu site após um ataque de sequestro de domínio em 10 de novembro que redirecionou os usuários para uma página fraudulenta, com pesquisadores de segurança estimando que aproximadamente US$ 350.000 foram roubados de carteiras de criptomoedas.
Resumo
- O Across Protocol restaurou seu site após os atacantes sequestrarem seu domínio por meio de um suposto ataque de engenharia social à Namecheap.
- A GoPlus estimou perdas de quase US$ 350.000 em seis redes blockchain após o incidente de phishing.
- Os atacantes supostamente usaram aprovações maliciosas de tokens e assinaturas de permissão para acessar as carteiras de criptomoedas dos usuários.
- A Across confirmou que os usuários da API e as integrações de terceiros não foram afetados pelo comprometimento do site.
- O protocolo prometeu compensar os usuários afetados e divulgar um relatório detalhado sobre o ataque.
Em uma atualização de quarta-feira, a ponte cross-chain confirmou que seu domínio estava novamente sob seu controle e que todos os sistemas operavam normalmente. A equipe atribuiu o ataque a engenharia social envolvendo o registrador de domínios Namecheap e prometeu compensar os usuários afetados.
“Todos os usuários afetados serão ressarcidos. Compartilharemos uma análise completa pós-incidente nos próximos dias”, declarou a Across.
A empresa de segurança GoPlus estimou que a operação de phishing afetou carteiras nas redes Ethereum, Arbitrum, Base, BNB Chain, Ink e Plasma. A Across não divulgou seu próprio número confirmado de perdas nem o número total de usuários afetados.
Across Protocol afirma que os atacantes obtiveram controle por meio da Namecheap
O incidente começou por volta das 18h45 UTC de 10 de novembro, quando um atacante obteve controle não autorizado do domínio da Across após o que o protocolo descreveu como um ataque de engenharia social direcionado à Namecheap.
Em vez de explorar os contratos inteligentes da ponte, o atacante manipulou as configurações de domínio do site e direcionou os visitantes para uma página de phishing projetada para se parecer com o serviço legítimo.
Em sua divulgação do incidente, a Across afirmou que recebeu um alerta em até 15 minutos e imediatamente começou a trabalhar para desativar o site comprometido.
O grupo de resposta de segurança SEAL911 ajudou a sinalizar across.to como um site de phishing nas principais carteiras de criptomoedas. A Cloudflare subsequentemente classificou o domínio como perigoso antes de remover seus registros DNS, impedindo que os visitantes acessassem a página fraudulenta.
As medidas foram tomadas enquanto o protocolo trabalhava para recuperar o controle de sua conta no registrador de domínios. A Across suspendeu temporariamente seus serviços de frontend e API durante o processo de recuperação.
Naquele momento, a equipe afirmou que a Namecheap não havia respondido aos seus pedidos de assistência. No entanto, seu anúncio subsequente agradeceu ao fundador da Namecheap, Richard Kirkendall, por ajudar a proteger a conta e abrir uma investigação.
A Across sustentou que seu domínio havia sido protegido por controles de segurança estabelecidos e afirmou que as circunstâncias em torno da tomada não autorizada seriam examinadas em seu relatório pós-incidente.
Ataque de phishing supostamente drena US$ 350 mil das carteiras dos usuários
As perdas estimadas decorreram de transações e permissões obtidas por meio do site fraudulento durante o período em que os atacantes controlaram o domínio.
De acordo com a GoPlus, os usuários que interagiram com a página de phishing podem ter sido persuadidos a assinar permissões EIP-2612, autorizações Permit2 ou aprovações diretas de tokens.
Tais permissões podem permitir que um gastador aprovado transfira tokens de uma carteira sem exigir que o proprietário autorize cada transação subsequente.
Em alguns casos, as vítimas podem ter sido persuadidas a enviar criptomoedas diretamente para endereços controlados pelo atacante.
A GoPlus identificou vários endereços de gastadores suspeitos associados ao incidente e aconselhou os usuários a examinar as permissões concedidas durante o ataque.
A estimativa relatada de perda de US$ 350.000 abrange várias redes blockchain, embora a Across não tenha confirmado o valor de forma independente.
A equipe afirmou que os usuários que acessaram seu site antes do ataque não foram afetados. Sua declaração esclareceu ainda que integrações de terceiros e usuários de API não foram afetados pelo comprometimento do domínio.
O ataque ocorre após uma série separada de sequestros de sites DeFi relatados em 31 de outubro, quando a empresa de segurança Blockaid identificou pelo menos 12 sites servindo o kit de phishing Step Drainer.
Esses incidentes incluíram o Flap, que confirmou que um ataque de DNS redirecionou visitantes de seu site legítimo para um destino não autorizado.
A Across promete compensação enquanto usuários verificam aprovações de carteira
Após a restauração, a Across confirmou que seus serviços estavam operacionais e aconselhou os usuários potencialmente afetados a inspecionar suas carteiras em busca de permissões suspeitas.
Em sua orientação de segurança, a equipe direcionou os usuários que conectaram carteiras durante o ataque ao Revoke.cash para revisar e revogar autorizações concedidas em 10 de novembro.
Revogar uma aprovação impede transferências futuras usando essa permissão, embora não possa reverter transações que já ocorreram.
Usuários que assinaram permissões maliciosas podem precisar tomar precauções adicionais, porque algumas assinaturas off-chain podem permanecer utilizáveis mesmo quando não aparecem entre as aprovações de tokens comuns.
O protocolo disse que avisos temporários de phishing do navegador e da carteira podem permanecer visíveis após a restauração do site.
Um incidente de phishing relacionado à Cloudflare separado em outubro envolveu credenciais de API comprometidas que permitiram aos atacantes enviar mensagens fraudulentas que pareciam originar-se do fabricante de carteiras de hardware Foundation.
A Foundation disse que o incidente afetou sua infraestrutura de comunicação, mas não comprometeu as carteiras de hardware dos clientes nem os fundos armazenados.
A Across sofreu anteriormente um incidente de segurança cross-chain separado
O ataque de phishing de novembro é separado de um incidente de julho envolvendo o relayer do Across Protocol operado pela Risk Labs na Solana.
Como o crypto.news relatou anteriormente, os atacantes fabricaram 1.627 eventos de depósito na Solana com um valor declarado combinado de US$ 41,7 milhões.
O relayer processou 581 solicitações fraudulentas antes de suspender as operações, resultando em uma perda líquida de menos de US$ 4 milhões após contabilizar os fundos do atacante presos.
Diferentemente daquele incidente, o ataque de novembro teve como alvo o domínio do site do protocolo e as permissões de carteira dos visitantes que interagiram com a página fraudulenta.
Dados da DefiLlama colocaram a Across entre as principais pontes cross-chain por atividade de transações, com aproximadamente US$ 5,9 bilhões em transferências registradas nos 30 dias anteriores.
A Across disse que sua investigação sobre a tomada de domínio de novembro continua em andamento e que divulgará um post-mortem detalhado explicando como o atacante obteve o controle.
