La noche del 10 de noviembre, alguien cambió el sitio web oficial del puente entre cadenas Across. No se trató de una ventana emergente añadida al sitio: se apropiaron de todo el dominio. Al abrir la página oficial, los usuarios veían una página de phishing idéntica a la original. Across afirmó que el atacante recurrió a la ingeniería social contra el registrador del dominio, Namecheap, y que lo consiguió alrededor de las 2:45 de la madrugada del 11 de noviembre, hora de Pekín. Across dijo que recibió una alerta en menos de 15 minutos y luego publicó un comunicado. La organización de seguridad SEAL911 ayudó a marcar el dominio como sitio de phishing, y Cloudflare retiró después sus registros DNS, por lo que la página fraudulenta dejó de estar accesible. Esta mañana, Across informó que había recuperado el dominio y que todos los sistemas funcionaban con normalidad. También prometió compensar íntegramente a los usuarios afectados y dijo que publicaría un informe detallado del incidente en unos días.
Las páginas de phishing no buscan la frase semilla, sino tu firma. Entras, conectas tu cartera y la página te pide que firmes una autorización, ya sea un permiso EIP-2612 o una autorización Permit2. Una vez que firmas, la otra parte puede transferir tus tokens sin que te enteres y sin volver a pedirte confirmación. La empresa de seguridad GoPlus estima que esa noche se sustrajeron unos 350.000 dólares mediante firmas, repartidos entre seis redes: Ethereum, Arbitrum, Base, BNB Chain, Ink y Plasma. Esta cifra es una estimación de GoPlus; Across aún no ha confirmado el importe de las pérdidas ni el número de personas afectadas. Los usuarios de la API y las integraciones de terceros no se vieron afectados. Tampoco les pasó nada a quienes habían usado el sitio antes del ataque. Las víctimas fueron quienes, durante esas horas, se conectaron a la página de phishing y aprobaron la autorización.
No es la primera vez. Hace diez días, el 31 de octubre, la empresa de seguridad Blockaid descubrió que al menos 12 sitios web DeFi habían sido secuestrados mediante el mismo tipo de táctica, usando un kit de phishing llamado Step Drainer. Flap confirmó que se había modificado la resolución de su dominio. En ambos casos se usó exactamente el mismo método; lo único que cambió fueron los registradores y los proyectos atacados. Una vez que consiguen hacerse con el dominio, el propio sitio oficial se convierte en una página de phishing. En ese momento, todas las recomendaciones habituales —comprobar que la URL sea correcta y asegurarse de estar en el sitio oficial— dejan de servir.
Hay tres cosas que puedes hacer de inmediato. Primero, si te conectaste al sitio oficial de Across el 10 de noviembre, abre Revoke.cash ahora mismo y revisa los permisos que concediste ese día. Si encuentras alguno, revócalo. Revocarlo puede impedir que se lleven el dinero que aún no han transferido, pero no permite recuperar lo que ya se llevaron. Ten en cuenta algo más: a veces, las firmas de permisos no aparecen en la lista habitual de autorizaciones. Across también lo advirtió en su comunicado, así que, si después de revisar los permisos sigues teniendo dudas, traslada los fondos restantes a una nueva cartera. Segundo, si un sitio que usas habitualmente te pide de repente que vuelvas a autorizar algo, o la página se ve un poco distinta de lo normal, detente. Ve a las cuentas oficiales y comprueba si han publicado una alerta. Across avisó rápidamente esta vez; echar un vistazo puede ahorrarte muchos problemas. Tercero, después del incidente, seguro que habrá quien se haga pasar por el servicio de atención al cliente y te escriba en privado diciendo que puede ayudarte a recuperar los fondos o compensarte. Primero te pedirá que lo agregues como contacto y luego que pulses un enlace. Todo eso forma parte de una segunda oleada de estafas. Across solo acepta registros de transacciones a través de sus cuentas oficiales. No hagas caso a nadie que se ponga en contacto contigo por iniciativa propia.
Mi opinión se resume en una frase: para protegerse del phishing, ya no basta con comprobar que la URL sea correcta. Mirar bien qué estás firmando antes de autorizar algo es más importante que cualquier otra cosa.
La última vez que conectaste tu cartera y firmaste una autorización, ¿te fijaste bien en qué estabas firmando?
#防骗 #钱包安全 #Across #跨链桥 #SeguridadWeb3
—— Xiaokai, un minorista de criptomonedas de Web3
Este artículo refleja únicamente opiniones personales y no constituye asesoramiento de inversión. Las fuentes de los datos son crypto.news, The Block, GoPlus y las cuentas oficiales de Across. Las cifras corresponden al momento de publicación. Evalúa los riesgos por tu cuenta.