Протокол Across восстановил свой веб-сайт после атаки с захватом домена 10 ноября, в ходе которой пользователи перенаправлялись на мошенническую страницу; по оценкам исследователей безопасности, из криптовалютных кошельков было похищено около 350 000 долларов.
Краткое содержание
- Протокол Across восстановил свой веб-сайт после того, как злоумышленники захватили его домен в результате предполагаемой атаки социальной инженерии на Namecheap.
- GoPlus оценила убытки почти в 350 000 долларов в шести блокчейн-сетях после фишингового инцидента.
- По сообщениям, злоумышленники использовали вредоносные одобрения токенов и подписи permit для доступа к криптовалютным кошелькам пользователей.
- Across подтвердил, что пользователи API и сторонние интеграции не пострадали от компрометации веб-сайта.
- Протокол пообещал компенсировать ущерб пострадавшим пользователям и опубликовать подробный отчет об атаке.
В среду в обновлении кросс-чейн мост подтвердил, что его домен снова находится под его контролем и все системы работают нормально. Команда связала атаку с социальной инженерией, затронувшей регистратора доменов Namecheap, и пообещала компенсировать ущерб пострадавшим пользователям.
«Все пострадавшие пользователи получат полную компенсацию. В ближайшие дни мы поделимся полным разбором инцидента», — заявил Across.
Компания по безопасности GoPlus оценила, что фишинговая операция затронула кошельки в сетях Ethereum, Arbitrum, Base, BNB Chain, Ink и Plasma. Across не раскрыл собственную подтвержденную сумму убытков или общее число пострадавших пользователей.
Across Protocol заявляет, что злоумышленники получили контроль через Namecheap
Инцидент начался примерно в 18:45 UTC 10 ноября, когда злоумышленник получил несанкционированный контроль над доменом Across в результате, как описал протокол, атаки социальной инженерии, направленной на Namecheap.
Вместо эксплуатации смарт-контрактов моста злоумышленник манипулировал настройками домена веб-сайта и направлял посетителей на фишинговую страницу, созданную так, чтобы выглядеть как легитимный сервис.
В своем сообщении об инциденте Across заявил, что получил оповещение в течение 15 минут и немедленно начал работу по отключению скомпрометированного веб-сайта.
Группа реагирования на инциденты безопасности SEAL911 помогла пометить across.to как фишинговый сайт в основных криптовалютных кошельках. Впоследствии Cloudflare классифицировал домен как опасный, а затем удалил его DNS-записи, не позволяя посетителям попасть на мошенническую страницу.
Эти меры были приняты, пока протокол работал над восстановлением контроля над своей учетной записью регистратора доменов. В процессе восстановления Across временно приостановил работу своего фронтенда и API-сервисов.
На том этапе команда сообщила, что Namecheap не ответил на ее запросы о помощи. Однако в своем последующем объявлении она поблагодарила основателя Namecheap Ричарда Киркендалла за помощь в защите аккаунта и начало расследования.
Across настаивал на том, что его домен был защищен установленными средствами безопасности, и заявил, что обстоятельства несанкционированного захвата будут изучены в отчете о послеинцидентном разборе.
По сообщениям, фишинговая атака опустошила кошельки пользователей на 350 тыс. долларов
Оценочные убытки стали результатом транзакций и разрешений, полученных через мошеннический веб-сайт в период, когда злоумышленники контролировали домен.
По данным GoPlus, пользователей, взаимодействовавших с фишинговой страницей, могли убедить подписать разрешения EIP-2612, авторизации Permit2 или прямые одобрения токенов.
Такие разрешения могут позволить одобренному распорядителю переводить токены из кошелька без необходимости для владельца авторизовывать каждую последующую транзакцию.
В некоторых случаях жертв могли убедить отправить криптовалюту напрямую на адреса, контролируемые злоумышленником.
GoPlus выявила несколько подозрительных адресов спендеров, связанных с инцидентом, и рекомендовала пользователям проверить разрешения, выданные во время атаки.
Сообщаемая оценка ущерба в $350 000 охватывает несколько блокчейн-сетей, хотя Across независимо не подтвердила эту цифру.
Команда заявила, что пользователи, зашедшие на её сайт до атаки, не пострадали. В своём заявлении она также уточнила, что сторонние интеграции и пользователи API не пострадали от компрометации домена.
Атака последовала за отдельной серией взломов сайтов DeFi, о которых сообщалось 31 октября, когда охранная фирма Blockaid выявила как минимум 12 сайтов, распространяющих фишинговый набор инструментов Step Drainer.
Эти инциденты включали Flap, которая подтвердила, что DNS-атака перенаправила посетителей с её легитимного сайта на несанкционированный ресурс.
Across обещает компенсацию, пока пользователи проверяют одобрения кошельков
После восстановления Across подтвердила, что её сервисы работают, и рекомендовала потенциально пострадавшим пользователям проверить свои кошельки на наличие подозрительных разрешений.
В своих рекомендациях по безопасности команда направила пользователей, подключавших кошельки во время атаки, на Revoke.cash для проверки и отзыва авторизаций, выданных 10 ноября.
Отзыв одобрения предотвращает дальнейшие переводы с использованием этого разрешения, хотя он не может отменить уже совершённые транзакции.
Пользователям, подписавшим вредоносные разрешения, возможно, потребуется принять дополнительные меры предосторожности, поскольку некоторые внесетевые подписи могут оставаться действующими, даже если они не отображаются среди обычных одобрений токенов.
Протокол заявил, что временные предупреждения о фишинге в браузере и кошельке могут оставаться видимыми после восстановления сайта.
Отдельный фишинговый инцидент, связанный с Cloudflare, в октябре включал скомпрометированные учётные данные API, которые позволили злоумышленникам отправлять мошеннические сообщения, якобы исходящие от производителя аппаратных кошельков Foundation.
Foundation заявила, что инцидент затронул её коммуникационную инфраструктуру, но не скомпрометировал аппаратные кошельки клиентов или хранящиеся средства.
Ранее Across уже пережила отдельный кросс-чейн инцидент безопасности
Ноябрьская фишинговая атака не связана с июльским инцидентом, затронувшим релейер Across Protocol на Solana, управляемый Risk Labs.
Как ранее сообщал crypto.news, злоумышленники сфабриковали 1 627 событий депозита в Solana с общей заявленной стоимостью $41,7 млн.
Релейер обработал 581 мошеннический запрос, прежде чем приостановить работу, что привело к чистому убытку менее $4 млн с учётом заблокированных средств злоумышленника.
В отличие от того инцидента, ноябрьская атака была нацелена на домен сайта протокола и разрешения кошельков посетителей, взаимодействовавших с мошеннической страницей.
Данные DefiLlama поместили Across в число ведущих кросс-чейн мостов по транзакционной активности: за предшествующие 30 дней было зафиксировано около $5,9 млрд переводов.
Across заявила, что её расследование ноябрьского захвата домена продолжается и что она опубликует подробный пост-мортем, объясняющий, как злоумышленник получил контроль.
