Across Protocol відновив вебсайт після атаки фішингу з втратами на $350 тис.

Across Protocol успішно відновив роботу свого офіційного сайту після атаки 10 листопада, коли зловмисники захопили контроль над доменом через соціальну інженерію, пов’язану з регістрацією доменного імені на Namecheap. За оцінками фірми GoPlus, в результаті фішингової операції було втрачено близько $350 000 з криптогаманців користувачів на шести блокчейн-мережах.

Зловмисники не атакували смартконтракти мосту, а змінили налаштування домену сайту, направивши відвідувачів на підроблену сторінку, яка імітувала справжній сервіс Across. Усього за 15 хвилин після атаки команда протоколу отримала попередження і почала вжити заходів щодо припинення доступу до скомпрометованого сайту.

Інформаційна група SEAL911 допомогла позначити домен across.to як фішинговий ресурс у провідних криптовалютних гаманцях. Одночасно Cloudflare позначив цей домен як небезпечний і видалив записи DNS, що унеможливило подальший доступ користувачів до шахрайського вебсайту. Під час цього процесу розробники тимчасово призупинили роботу фронтенду та API сервісів Across.

Спочатку Namecheap не відповідав на запити про допомогу, однак у пізнішому дописі команда Across подякувала засновнику Namecheap Річарду Кіркендаллу (Richard Kirkendall) за реакцію, допомогу у захисті облікового запису та ініціацію розслідування.

Як відбувався захоплення домену

Атака почалася приблизно о 18:45 UTC 10 листопада, коли нападник отримав несанкціонований доступ до домену Across, використавши методи соціальної інженерії щодо компанії Namecheap. Таким чином він змінив DNS-налаштування, перенаправивши користувачів на фішинговий сайт.

Офіційна заява Across підтвердила, що жодні смартконтракти мосту не були пошкоджені і що перевірка порушень API-користувачів і третіх сторін не виявила впливу на них від зламу домену.

Втрати користувачів та характер атак

За інформацією GoPlus, до $350 000 було викрадено через надання користувачами дозволів на токени на фішинговому сайті. Мова йде про підписання адресами EIP-2612, Permit2, а також прямих токен-апрувалів – спеціальних дозволів, що дозволяють затвердженому суб’єкту переводити токени з гаманця без повторних підтверджень від власника.

Такий механізм міг дозволити зловмисникам витягнути активи, а в окремих випадках жертви могли безпосередньо надіслати криптовалюту на адресу шахраїв. GoPlus ідентифікували низку підозрілих адрес отримувачів, пов’язаних із операцією, та рекомендували переглянути всі дозволи, видані під час події.

Across не оприлюднив власних підтверджених показників збитків або кількість користувачів, які постраждали від атаки. Водночас компанія наголосила, що користувачі, які заходили на сайт до інциденту, залишилися безпечно і що сторонні інтеграції та API не були уражені.

Рекомендації та компенсації

Після повернення контролю над доменом команда Across порадила користувачам перевірити свої гаманці на предмет підозрілих дозволів і скористатися сервісом Revoke.cash для відкликання всіх авторизацій, виданих 10 листопада. Відкликання дозволу зупинить подальші несанкціоновані перекази, але не поверне вже здійснені операції.

Додатково користувачам було рекомендовано обережно ставитись до зовнішніх повідомлень, які можуть імітувати представників протоколу. Команда Across зобов’язалась компенсувати збитки користувачам, які постраждали, після отримання їхніх звернень із інформацією про транзакції, адреси гаманців та хеші операцій.

У деяких випадках підозрілі дозволи можуть залишатися чинними навіть поза межами стандартних токен-апрувалів, зокрема коли йдеться про off-chain підписи, тому рекомендації щодо безпеки вимагають особливої уваги.

Передісторія та контекст

Цей інцидент не є єдиним випадком проблем безпеки, які поєднані з Across. Раніше, у липні, було зафіксовано затяжний хак у межах операцій Risk Labs на Solana, коли було сфальсифіковано понад 1600 подій депозитів на загальну суму $41,7 млн. Тоді було оброблено 581 фейковий запит, що зрештою призвело до збитків менш ніж $4 млн після повернення частини вилучених коштів.

Відповідно до даних DefiLlama, Across залишається одним із провідних міжмережевих мостів за активністю, з обсягом трансферів близько $5,9 млрд за останні 30 днів.

Подальші кроки

Investigation Across Protocol триває, і команда пообіцяла оприлюднити докладний постмортем із розбором інциденту, який пояснить, як саме зловмисники змогли отримати доступ до домену. У повідомленні наголошується, що всі сервіси наразі повністю відновлені і працюють у штатному режимі.