今天凌晨 2 点 45 分，跨链桥 Across 的官网域名 across.to 被抢走。攻击者没碰智能合约，骗的是注册商 Namecheap 的客服，拿到控制权后把官网换成了一样的钓鱼页。白天 Across 宣布夺回域名，系统恢复正常，承诺受影响的用户全额赔付。
钓鱼页不要密码，只要一个接一个的签名。GoPlus 统计，约 35 万美元从六条链上的钱包被转走，以太坊、Arbitrum、Base、BNB 链、Ink、Plasma 都有。手法是诱使人签 EIP-2612 许可、Permit2 授权或代币授权，也就是一点就允许对方转钱的签名，签一次，往后转钱就不用再经过你。Across 还没公布确认的损失和受害人数，35 万美元只是 GoPlus 的估算。团队 15 分钟内收到警报，SEAL911 把域名标成钓鱼站，Cloudflare 随后删了 DNS 记录，钓鱼页打不开了，前端和接口也停到夺回为止。
十天前，安全公司 Blockaid 点名 12 个 DeFi 网站被同样的办法变成盗币页，这次轮到 Across。合约没被攻破，钱还是丢了，桥本身没出问题，出问题的是每天点开的那个官网。域名这层不归项目方的代码管，归注册商客服的判断管，一通电话骗过去，官网就换主人。更麻烦的是许可签名，很多人以为授权随时能撤销，可有些链下签名的许可在授权列表里看不到，撤销也未必清得掉。那几个小时里连过官网钱包的人，去 Revoke.cash 查一遍授权。没连过的不用慌，之前访问过的用户不受影响。
我的看法就一句，官网地址自己记，别只靠搜索点进去，签许可的弹窗弹出来，先停三秒，看清要转走什么再点同意。
你现在就打开钱包看一眼，里面还挂着哪些你已经忘了的授权？
—— web3韭菜小凯
本文仅为个人观点分享，不构成任何投资建议，数据来源 The Block、crypto.news 与 GoPlus，金额为发稿时口径，请自行判断风险。