Пользователь Aave потерял $305 000 после взлома сайта Across Protocol

12 ноября Bitquery обновила оценку ущерба от взлома сайта кросс-чейн моста Across Protocol: злоумышленники вывели около $401 900 с девяти кошельков в пяти блокчейнах. Домен Across перехватили 10 ноября — по словам команды проекта, через социальную инженерию, направленную на регистратора Namecheap.

Крупнейшая потеря связана с токеном aWETH — процентным депозитным токеном Aave. По реконструкции Bitquery, поддельный сайт запросил у пользователя подписанное разрешение на расходование токенов (permit), которым затем воспользовался атакующий. Это открыло доступ к кредитной позиции, не связанной напрямую с мостом.

Первая транзакция 10 ноября зафиксировала неограниченное одобрение, после которого около 115,23 aWETH ушли на один кошелёк, а 28,81 aWETH — на другой. Bitquery связывает эти адреса с кошельком атакующего и кошельком комиссии дрейнера — соотношение соответствует схеме 80/20. У пострадавшего токены списывали четыре раза, последний — через три минуты после первого. Владелец отозвал одобрение спустя минуту после последнего списания, но токены к тому времени уже вывели. Общая сумма потерь через aWETH составила $304 500.

В обновлённую оценку 12 ноября добавили ещё один эпизод — вывод 26,38 ETH у другого пострадавшего на сумму около $54 000 по курсу на момент кражи.

Bitquery также уточнила ранее распространённую цифру ущерба в $294 000: по данным компании, эта сумма отражала остаток на кошельке комиссии дрейнера, включая средства, поступившие туда ещё до атаки на Across.

Связь похищений с сайтом Across компания устанавливает по времени транзакций и адресам получателей, оговариваясь, что блокчейн-записи не показывают, какой именно сайт посещала жертва.

11 ноября Across Protocol сообщило о восстановлении контроля над доменом и пообещало компенсировать пострадавшим пользователям потери, а также опубликовать отчёт о случившемся.