Across Protocol відновив свій вебсайт після атаки з перехопленням домену 10 листопада, яка перенаправляла користувачів на шахрайську сторінку, а дослідники з безпеки оцінюють, що з криптовалютних гаманців було викрадено приблизно 350 000 доларів.
Короткий огляд
- Across Protocol відновив свій вебсайт після того, як зловмисники перехопили його домен через, за повідомленнями, атаку соціальної інженерії на Namecheap.
- GoPlus оцінила збитки майже у 350 000 доларів у шести блокчейн-мережах після фішингового інциденту.
- Зловмисники, за повідомленнями, використовували шкідливі дозволи на токени та дозвільні підписи для доступу до криптовалютних гаманців користувачів.
- Across підтвердив, що користувачі API та сторонні інтеграції не постраждали від компрометації вебсайту.
- Протокол пообіцяв компенсувати постраждалим користувачам і опублікувати детальний звіт про атаку.
У середу в оновленні міжланцюговий міст підтвердив, що його домен знову під його контролем і всі системи працюють нормально. Команда приписала атаку соціальній інженерії, пов'язаній з реєстратором доменів Namecheap, і пообіцяла компенсувати постраждалим користувачам.
«Усім постраждалим користувачам буде відшкодовано збитки. Ми поділимося повним аналізом інциденту найближчими днями», — заявив Across.
Фірма з безпеки GoPlus оцінила, що фішингова операція торкнулася гаманців у мережах Ethereum, Arbitrum, Base, BNB Chain, Ink і Plasma. Across не розкрив власну підтверджену цифру збитків або загальну кількість постраждалих користувачів.
Across Protocol заявляє, що зловмисники отримали контроль через Namecheap
Інцидент розпочався приблизно о 18:45 UTC 10 листопада, коли зловмисник отримав несанкціонований контроль над доменом Across внаслідок, як описав протокол, атаки соціальної інженерії, спрямованої на Namecheap.
Замість використання смарт-контрактів мосту зловмисник маніпулював налаштуваннями домену вебсайту та спрямовував відвідувачів на фішингову сторінку, створену так, щоб виглядати як легітимний сервіс.
У своєму розкритті інциденту Across заявив, що отримав сповіщення протягом 15 хвилин і негайно почав працювати над вимкненням скомпрометованого вебсайту.
Група реагування на безпеку SEAL911 допомогла позначити across.to як фішинговий сайт у провідних криптовалютних гаманцях. Згодом Cloudflare класифікував домен як небезпечний, після чого видалив його DNS-записи, не даючи відвідувачам потрапити на шахрайську сторінку.
Ці заходи були вжиті, поки протокол працював над поверненням контролю над своїм обліковим записом реєстратора доменів. Across тимчасово призупинив свої фронтенд- та API-сервіси під час процесу відновлення.
На тому етапі команда заявила, що Namecheap не відповів на її запити про допомогу. Однак у своєму подальшому оголошенні вона подякувала засновнику Namecheap Річарду Кіркендаллу за допомогу в захисті облікового запису та відкриття розслідування.
Across наполягав, що його домен був захищений встановленими засобами контролю безпеки, і заявив, що обставини несанкціонованого захоплення будуть розглянуті в його звіті про інцидент.
Фішингова атака, за повідомленнями, викрала 350 тис. доларів з гаманців користувачів
Оціночні збитки походять від транзакцій і дозволів, отриманих через шахрайський вебсайт протягом періоду, коли зловмисники контролювали домен.
За даними GoPlus, користувачів, які взаємодіяли з фішинговою сторінкою, могли переконати підписати дозволи EIP-2612, авторизації Permit2 або прямі дозволи на токени.
Такі дозволи можуть дати схваленому розпоряднику можливість переказувати токени з гаманця без необхідності для власника авторизувати кожну наступну транзакцію.
У деяких випадках жертв могли переконати надіслати криптовалюту безпосередньо на адреси, контрольовані зловмисником.
GoPlus виявила кілька підозрілих адрес витрат, пов'язаних з інцидентом, і порадила користувачам перевірити дозволи, надані під час атаки.
Повідомлена оцінка збитків у розмірі 350 000 доларів охоплює кілька блокчейн-мереж, хоча Across не підтвердила цю цифру незалежно.
Команда заявила, що користувачі, які відвідали її вебсайт до атаки, не постраждали. У своїй заяві вона також уточнила, що сторонні інтеграції та користувачі API не постраждали від компрометації домену.
Атака відбулася після окремої серії зламів вебсайтів DeFi, про які повідомлялося 31 жовтня, коли компанія з безпеки Blockaid виявила щонайменше 12 вебсайтів, що розповсюджували фішинговий інструментарій Step Drainer.
До тих інцидентів входив Flap, який підтвердив, що DNS-атака перенаправила відвідувачів з його легітимного вебсайту на несанкціонований ресурс.
Across обіцяє компенсацію, поки користувачі перевіряють дозволи гаманців
Після відновлення Across підтвердила, що її сервіси працюють, і порадила потенційно постраждалим користувачам перевірити свої гаманці на наявність підозрілих дозволів.
У своїх рекомендаціях з безпеки команда скерувала користувачів, які підключали гаманці під час атаки, до Revoke.cash, щоб переглянути та відкликати авторизації, надані 10 листопада.
Відкликання дозволу запобігає подальшим переказам з використанням цього дозволу, хоча воно не може скасувати транзакції, які вже відбулися.
Користувачам, які підписали шкідливі дозволи, можливо, потрібно вжити додаткових запобіжних заходів, оскільки деякі позаланцюгові підписи можуть залишатися придатними до використання, навіть якщо вони не відображаються серед звичайних дозволів на токени.
Протокол заявив, що тимчасові попередження про фішинг у браузері та гаманці можуть залишатися видимими після відновлення вебсайту.
Окремий фішинговий інцидент, пов'язаний з Cloudflare, у жовтні включав скомпрометовані облікові дані API, які дозволили зловмисникам надсилати шахрайські повідомлення, що нібито походили від виробника апаратних гаманців Foundation.
Foundation заявила, що інцидент вплинув на її комунікаційну інфраструктуру, але не скомпрометував апаратні гаманці клієнтів або збережені кошти.
Across раніше зазнала окремого міжланцюгового інциденту безпеки
Листопадова фішингова атака є окремою від липневого інциденту, що стосувався релеєра Across Protocol на Solana, яким керує Risk Labs.
Як crypto.news повідомляло раніше, зловмисники сфабрикували 1 627 подій депозиту в Solana із загальною заявленою вартістю 41,7 мільйона доларів.
Релеєр обробив 581 шахрайський запит, перш ніж призупинити роботу, що призвело до чистих збитків менше 4 мільйонів доларів після врахування заблокованих коштів зловмисника.
На відміну від того інциденту, листопадова атака була націлена на домен вебсайту протоколу та дозволи гаманців відвідувачів, які взаємодіяли з шахрайською сторінкою.
Дані DefiLlama розмістили Across серед провідних міжланцюгових мостів за транзакційною активністю, з приблизно 5,9 мільярда доларів переказів, зафіксованих за попередні 30 днів.
Across заявила, що її розслідування листопадового захоплення домену триває і що вона опублікує детальний постмортем, який пояснить, як зловмисник отримав контроль.
