在11月10日发生域名劫持攻击、将用户重定向至欺诈页面后，Across Protocol已恢复其网站，安全研究人员估计约有35万美元从加密货币钱包中被盗。
摘要
- 在攻击者通过据报针对Namecheap的社会工程攻击劫持其域名后，Across Protocol已恢复其网站。
- GoPlus估计，在此次钓鱼事件后，六个区块链网络上的损失接近35万美元。
- 据报道，攻击者利用恶意代币授权和permit签名来访问用户的加密货币钱包。
- Across确认，API用户和第三方集成未受网站被入侵的影响。
- 该协议承诺赔偿受影响用户，并发布关于此次攻击的详细报告。
在周三的更新中，该跨链桥确认其域名已重新回到其控制之下，所有系统均正常运行。该团队将此次攻击归因于涉及域名注册商Namecheap的社会工程攻击，并承诺赔偿受影响用户。
“所有受影响用户都将得到全额补偿。我们将在未来几天内分享完整的事后分析报告，”Across表示。
安全公司GoPlus估计，此次钓鱼操作影响了以太坊、Arbitrum、Base、BNB Chain、Ink和Plasma上的钱包。Across尚未披露其自身确认的损失数字或受影响用户总数。
Across Protocol称攻击者通过Namecheap获得控制权
该事件始于11月10日协调世界时约18:45，当时攻击者在该协议所称针对Namecheap的社会工程攻击后，未经授权获得了对Across域名的控制权。
攻击者并未利用该跨链桥的智能合约，而是操纵了网站的域名设置，并将访客引导至一个仿冒合法服务的钓鱼页面。
在其事件披露中，Across表示其在15分钟内收到警报，并立即开始着手关闭被入侵的网站。
安全响应组织SEAL911帮助将across.to标记为钓鱼网站，并通知了主要加密货币钱包。随后Cloudflare将该域名归类为危险，并在移除其DNS记录前阻止访客访问该欺诈页面。
这些措施是在该协议努力重新控制其域名注册商账户期间采取的。Across在恢复过程中暂时暂停了其前端和API服务。
在该阶段，该团队表示Namecheap尚未回应其援助请求。然而，其随后的公告感谢了Namecheap创始人Richard Kirkendall帮助保护账户安全并展开调查。
Across坚称其域名一直受到既有安全控制的保护，并表示将在其事件后报告中审查围绕此次未经授权接管的有关情况。
据报道钓鱼攻击从用户钱包中盗走35万美元
估计损失源于攻击者控制域名期间通过该欺诈网站获得的交易和权限。
据GoPlus称，与钓鱼页面交互的用户可能被说服签署EIP-2612许可、Permit2授权或直接的代币授权。
此类权限可允许经批准的支出者从钱包中转走代币，而无需钱包所有者为之后的每笔交易进行授权。
在某些情况下，受害者可能被说服将加密货币直接发送到攻击者控制的地址。
GoPlus 识别出与此次事件相关的几个可疑支出者地址，并建议用户检查在攻击期间授予的权限。
据报道，约 35 万美元的损失估计涵盖多个区块链网络，不过 Across 尚未独立证实这一数字。
该团队表示，在攻击发生前访问其网站的用户未受影响。其声明进一步澄清，第三方集成和 API 用户未受域名劫持影响。
此次攻击发生之前，10 月 31 日曾报道过一系列独立的 DeFi 网站劫持事件，当时安全公司 Blockaid 识别出至少 12 个网站提供 Step Drainer 钓鱼工具包。
这些事件包括 Flap，该公司证实一次 DNS 攻击将其合法网站的访问者重定向至未经授权的目的地。
Across 承诺赔偿，用户检查钱包授权
恢复之后，Across 确认其服务已恢复正常运行，并建议可能受影响的用户检查其钱包是否存在可疑权限。
在其安全指南中，该团队引导在攻击期间连接过钱包的用户前往 Revoke.cash，以审查并撤销 11 月 10 日授予的授权。
撤销授权可防止使用该权限进行进一步转账，但无法逆转已经发生的交易。
签署了恶意许可的用户可能需要采取额外预防措施，因为某些链下签名即使未出现在普通代币授权列表中，仍可能保持可用状态。
该协议表示，在网站恢复后，浏览器和钱包的临时钓鱼警告可能仍会显示。
10 月另一起与 Cloudflare 相关的钓鱼事件涉及 API 凭据泄露，使攻击者能够发送看似来自硬件钱包制造商 Foundation 的欺诈信息。
Foundation 表示，该事件影响了其通信基础设施，但未危及客户的硬件钱包或存储的资金。
Across 此前曾遭遇另一起跨链安全事件
11 月的钓鱼攻击与 7 月涉及 Across Protocol 由 Risk Labs 运营的 Solana 中继器的事件是分开的。
正如 crypto.news 此前报道，攻击者伪造了 1,627 笔 Solana 存款事件，申报总价值达 4,170 万美元。
该中继器在处理了 581 笔欺诈请求后暂停运营，在计入被困的攻击者资金后，净损失不到 400 万美元。
与那起事件不同，11 月的攻击针对的是该协议的网站域名以及与欺诈页面交互的访问者的钱包权限。
DefiLlama 的数据显示，Across 在交易活动方面位居领先的跨链桥之列，过去 30 天内记录的转账金额约为 59 亿美元。
Across 表示，其对 11 月域名接管的调查仍在进行中，并将发布详细的事后分析，解释攻击者是如何获得控制权的。
