A las 2:45 de la madrugada de hoy, el dominio del sitio web oficial de Across, el puente entre cadenas, across.to fue secuestrado. El atacante no tocó los contratos inteligentes: engañó al servicio de atención al cliente del registrador Namecheap y, tras hacerse con el control, sustituyó el sitio oficial por una página de phishing idéntica. Durante el día, Across anunció que había recuperado el dominio, que el sistema volvía a funcionar con normalidad y que indemnizaría íntegramente a los usuarios afectados.
La página de phishing no pedía contraseñas, solo una firma tras otra. Según los datos de GoPlus, se transfirieron alrededor de 350.000 dólares desde monederos de seis cadenas: Ethereum, Arbitrum, Base, BNB Chain, Ink y Plasma. El método consistía en inducir a las personas a firmar permisos EIP-2612, autorizaciones Permit2 o autorizaciones de tokens; es decir, firmas que permiten a la otra parte transferir tus fondos con solo un clic. Una vez que firmas, pueden transferir dinero sin volver a pedirte autorización. Across aún no ha publicado cifras confirmadas de las pérdidas ni del número de víctimas; los 350.000 dólares son solo una estimación de GoPlus. El equipo recibió una alerta en menos de 15 minutos, SEAL911 marcó el dominio como sitio de phishing y, poco después, Cloudflare eliminó los registros DNS, lo que dejó inaccesible la página de phishing. El frontend y la API también permanecieron suspendidos hasta que se recuperó el dominio.
Hace diez días, la empresa de seguridad Blockaid señaló que 12 sitios de DeFi habían sido convertidos de la misma manera en páginas para robar criptomonedas. Esta vez le tocó a Across. No vulneraron el contrato y, aun así, se perdió dinero. El puente no tuvo ningún problema: el problema fue la página oficial que la gente visita a diario. El código del proyecto no controla los dominios; eso depende del criterio del servicio de atención al cliente del registrador. Basta con engañarlos por teléfono para que la página oficial cambie de dueño. Lo más preocupante son las autorizaciones mediante firmas. Mucha gente cree que puede revocarlas en cualquier momento, pero algunas autorizaciones firmadas fuera de la cadena no aparecen en la lista de permisos y quizá tampoco se eliminen al revocarlas. Si conectaste tu billetera a la página oficial durante esas horas, revisa tus autorizaciones en Revoke.cash. Si no te conectaste, no te preocupes: los usuarios que la visitaron antes no se ven afectados.
Mi opinión se resume en una frase: guarda la dirección de la página oficial y no llegues a ella solo desde los resultados de búsqueda. Si aparece una ventana emergente para firmar una autorización, detente tres segundos, comprueba qué se va a transferir y luego acepta.
Abre ahora mismo tu billetera y echa un vistazo: ¿qué autorizaciones que ya habías olvidado siguen activas?
—— el pequeño Kai, novato de Web3
Este artículo solo comparte una opinión personal y no constituye asesoramiento de inversión. Los datos proceden de The Block, crypto.news y GoPlus; los importes corresponden al momento de publicación. Evalúa los riesgos por tu cuenta.