BitcoinWorldAave-Nutzer verliert 305.000 $ durch Übernahme der Website von Across Protocol

Ein Nutzer, der Vermögenswerte bei Aave bereitgestellt hatte, verlor etwa 148,60 aWETH im Wert von rund 305.000 $, nachdem er am 10. November auf der betrügerischen Seite, die die Domain across.to von Across Protocol ersetzt hatte, eine Ausgabegenehmigung unterzeichnet hatte. Dies geht aus einer Untersuchung des On-Chain-Analyseunternehmens Bitquery hervor, die am 12. November aktualisiert und von Cryptoslate veröffentlicht wurde. Across selbst machte die Übernahme zunächst in Beiträgen auf X öffentlich. Das Unternehmen führte sie auf Social Engineering gegen seinen Domain-Registrar Namecheap zurück und erklärte, die Domain am 11. November wieder unter seiner Kontrolle zu haben.

Bitquerys Trace vom 12. Nov. schätzt, dass während des Hijacks 401.900 $ aus neun Wallets auf fünf Blockchains abgezogen wurden. Auf den einzelnen Aave-Einleger entfielen dabei etwa 76 % der Gesamtsumme. Bei dem Vermögenswert handelte es sich um einen verzinslichen Aave-Einzahlungstoken, sodass der Diebstahl eine Lending-Position außerhalb der Bridge betraf. Wichtigste Fakten

• Bitquerys Update vom 12. Nov. schätzt, dass während des Hijacks von across.to am 10. Nov. 401.900 $ aus neun Wallets auf Ethereum, Arbitrum, Base, BNB Chain und Optimism abgezogen wurden.

• Um 20:09:23 UTC am 10. Nov. wurde in einer Ethereum-Transaktion eine unbegrenzte Genehmigung von der Wallet 0x42e7…483c erfasst. Anschließend wurden etwa 115,23 aWETH an 0x2846…1fde und 28,81 aWETH an 0x0c7c…d37b gesendet – eine Aufteilung im Verhältnis 80/20, die Bitquery dem Angreifer und einer Gebühren-Wallet des Drainers zuordnet.

• Der Transaktionsverlauf des Einlegers zeigt vier Abhebungen, die bis 20:12:23 UTC abgeschlossen waren. Bitquery zufolge widerrief der Inhaber die Genehmigung eine Minute nach der letzten Abhebung.

• Across teilte den Nutzern mit, dass seine Domain am 11. Nov. mit Unterstützung von Namecheap-Gründer Richard Kirkendall wiederhergestellt wurde. Cointelegraph berichtete, das Team habe zugesagt, allen betroffenen Nutzern den Schaden vollständig zu ersetzen. Ein Bericht über den Vorfall soll folgen.

• Das Sicherheitsunternehmen GoPlus schätzte die Verluste auf fast 350.000 $ über sechs Blockchain-Netzwerke hinweg. crypto.news zufolge listete es Ethereum, Arbitrum, Base, BNB Chain, Ink und Plasma auf.

Wie eine signierte Permit-Autorisierung zu einer Aave-Einlage führte

Bei dem gestohlenen Vermögenswert handelte es sich um aWETH, einen verzinslichen Token, der eine Aave-Einlage repräsentiert. Die von Bitquery zitierte Aave-Dokumentation weist darauf hin, dass diese Token übertragen werden können und eine Permit-Nachricht ein anderes Konto zu ihrer Verwendung berechtigen kann. Bitquerys Rekonstruktion zufolge forderte die gefälschte Across-Seite eine solche Permit-Autorisierung an, die der Angreifer dann nutzte, um die Token abzuziehen.

Die erste Transaktion bündelte die Genehmigung und zwei Token-Übertragungen. In den folgenden drei Minuten gab es drei weitere Abhebungen. Dadurch belief sich der Aave-bezogene Verlust zu den Preisen zum Zeitpunkt des Diebstahls auf etwa 304.500 $ – 76 % der nachverfolgten Gesamtsumme –, bevor die Genehmigung widerrufen wurde. Der Widerruf einer Berechtigung verhindert spätere Übertragungen, macht aber bereits auf der Blockchain erfasste Übertragungen nicht rückgängig. Deshalb waren die Gelder des Einlegers bereits abgeflossen.

Bitquery ergänzte außerdem einen zuvor übersehenen Abzug von 26,38 ETH – damals etwa 54.000 $ – von einem separaten Opfer. Zudem erklärte das Unternehmen, dass die weithin verbreitete Zahl von 294.000 $ den Beständen in der Gebühren-Wallet entsprach, darunter auch Gelder, die bereits vor dem Angriff dort lagen.

Die Berichte stimmen bei der Gesamtsumme nicht überein

Die verfügbaren Angaben unterscheiden sich sowohl hinsichtlich des Umfangs als auch der Summe. Bitquery beziffert die Gesamtsumme in seinem Update vom 12. Nov. auf 401.900 $ aus neun Wallets und über fünf Blockchains hinweg. GoPlus schätzte laut crypto.news die Verluste auf fast 350.000 $ über sechs Netzwerke und führte zusätzlich Ink und Plasma auf. Cointelegraph berichtete am 11. Nov., dass Across noch keine bestätigte eigene Verlustsumme oder Zahl der betroffenen Nutzer veröffentlicht hatte.

Across erklärte, der Vorfall sei auf eine Kompromittierung des Domain-Registrars und nicht auf seine Smart Contracts zurückzuführen: Der Angreifer leitete Besucher auf eine Phishing-Seite um. Integrationen von Drittanbietern und API-Nutzer waren nicht betroffen. GoPlus zufolge wurden die Opfer laut crypto.news wahrscheinlich dazu gebracht, EIP-2612-Permits, Permit2-Autorisierungen oder direkte Token-Genehmigungen zu signieren.

Warum das wichtig ist

Der Verlust zeigt, dass eine Kompromittierung auf Domainebene teurer sein kann als ein Angriff auf die Bridge selbst: Das größte nachverfolgte Opfer hatte nie Vermögenswerte über Across bewegt, war aber durch einen übertragbaren Lending-Token gefährdet. Dadurch vergrößert sich der potenzielle Schaden bei Website-Hijacks im gesamten DeFi-Bereich, wo tokenisierte und renditetragende Vermögenswerte zunehmend in Wallets liegen, die mit Frontends von Drittanbietern interagieren.

Der Vorfall reiht sich zudem in andere Angriffe auf Websites im DeFi-Bereich ein, darunter die im Oktober mithilfe des Step-Drainer-Toolkits verübten Hijacks. Das unterstreicht, wie sehr das Risiko für Nutzer inzwischen an der Schnittstelle statt im Smart Contract liegt.

Worauf man achten sollte

Across erklärte, es werde einen vollständigen Bericht veröffentlichen, der erläutert, wie der Angreifer die Kontrolle erlangte. Die Zusage, die Betroffenen zu entschädigen, ist der nächste konkrete Schritt für die geschädigten Nutzer. Die endgültige Summe könnte sich noch ändern, falls Bitquery oder GoPlus ihre Analysen überarbeiten. Bis dahin wurden die Opfer angewiesen, ihre Genehmigungen auf Revoke.cash zu überprüfen.

Marktüberblick

Am 13. Nov. um 03:16 UTC wurde Aave (AAVE) laut Daten von CoinPaprika bei 112 $ (₹10,568) gehandelt, 5,5 % weniger als in den vorangegangenen 24 Stunden und 14,2 % weniger als in den vorangegangenen sieben Tagen. Die Marktkapitalisierung betrug 1,73 Milliarden $ und das 24-Stunden-Handelsvolumen 153,9 Millionen $. Ethereum (ETH) wurde zu 1.981 $ (₹186,288) gehandelt, ein Minus von 3,5 % am Tag und 11,2 % in der Woche.

Dieser Beitrag „Aave-Nutzer verliert 305.000 $ bei Hijack der Across-Protocol-Website“ erschien zuerst auf BitcoinWorld.