11 月 10 号晚上，跨链桥 Across 的官网被人换了。不是网站被挂了个弹窗，是整个域名被人拿走，打开官网，看到的是一个长得一模一样的钓鱼页。Across 自己说，攻击者是对域名注册商 Namecheap 搞的社会工程，北京时间 11 月 11 号凌晨 2 点 45 分左右得手。Across 说自己 15 分钟内就收到了警报，随后发了公告，安全组织 SEAL911 帮着把域名标成钓鱼站，Cloudflare 随后撤了它的解析记录，钓鱼页打不开。今天早上 Across 说域名拿回来了，系统全部恢复正常，承诺受影响的用户会得到全额补偿，详细的事后报告过几天出。

钓鱼页要的不是助记词，是签名。点进去连钱包，页面让你签一个授权，EIP-2612 许可或者 Permit2 授权，签完对方就能在你不知情的情况下把代币转走，不用再找你确认第二次。安全公司 GoPlus 估算，这一晚上大约 35 万美元被签走，分布在以太坊、Arbitrum、Base、BNB 链、Ink 和 Plasma 六条链上。这个数是 GoPlus 的估算，Across 自己还没确认损失数字和受影响的人数。API 用户和第三方接入没受影响，攻击发生前就用过网站的人也没事，中招的是那几个小时里连上钓鱼页又点了授权的人。

这不是第一次。十天前，10 月 31 号，安全公司 Blockaid 发现至少 12 个 DeFi 网站被同一类手法劫持，用的是一套叫 Step Drainer 的钓鱼工具包，其中 Flap 已经确认是域名解析被改了。两次的手法一模一样，变的只是被盯上的注册商和项目。域名这个环节一旦被拿下，官网本身就是钓鱼页，平时教的看网址对不对、认准官网，在那一刻全失效。

能立刻照做的有三件事。第一，如果你 11 月 10 号连过 Across 的官网，现在就打开 Revoke.cash，查那天给过的授权，有就撤销。撤销能拦住还没转走的钱，已经转走的追不回来。还有一点要留心，签过的许可签名有时候在普通授权列表里看不到，Across 自己的提醒里也写了这句，所以查完授权还不放心，就把剩下的币挪到新钱包。第二，常用网站突然让你重新授权，或者页面长得跟平时有点不一样，先停手，去官方账号看一眼有没有发警报，Across 这次很快就发了警报，看一眼能省很多事。第三，事后一定会有人冒充客服私信你，说能帮你追回、能赔你，先加好友再让你点链接，这种全是第二波骗局，Across 只认官方账号收交易记录，别理任何主动找上门的人。

我的看法就一句，防钓鱼这件事，网址对不对已经不够用了，授权签之前那一眼，比什么都重要。

你上一次连钱包签授权的时候，看清楚自己签的是什么了吗？

#防骗 #钱包安全 #Across #跨链桥 #Web3安全

—— web3韭菜小凯

本文仅为个人观点分享，不构成任何投资建议，数据来源 crypto.news、The Block、GoPlus 与 Across 官方账号，金额为发稿时口径，请自行判断风险。