BitcoinWorld
Un usuario de Aave pierde 305.000 dólares en el secuestro del sitio web de Across Protocol
Un usuario que había depositado activos en Aave perdió alrededor de 148,60 aWETH, valorados en aproximadamente 305.000 dólares, tras firmar una autorización de gasto en la página fraudulenta que sustituyó el dominio across.to de Across Protocol el 10 de noviembre, según una investigación de la firma de análisis on-chain Bitquery, actualizada el 12 de noviembre y difundida por Cryptoslate. Across fue quien reveló inicialmente la toma de control en publicaciones en X, atribuyéndola a una maniobra de ingeniería social dirigida contra su registrador de dominios, Namecheap, y afirmó que el 11 de noviembre había recuperado el control de su dominio.
El rastreo de Bitquery del 12 de noviembre estima que se sustrajeron $401,900 de nueve billeteras en cinco cadenas de bloques durante el secuestro, y que el único depositante de Aave representó alrededor del 76% del total. El activo era un token de depósito de Aave que genera intereses, por lo que el robo afectó una posición de préstamo mantenida fuera del puente. Datos clave
La actualización de Bitquery del 12 de noviembre estima que se sustrajeron $401,900 de nueve billeteras en Ethereum, Arbitrum, Base, BNB Chain y Optimism durante el secuestro de across.to del 10 de noviembre.
A las 20:09:23 UTC del 10 de noviembre, una transacción de Ethereum registró una autorización ilimitada desde la billetera 0x42e7…483c; luego envió unos 115.23 aWETH a 0x2846…1fde y 28.81 aWETH a 0x0c7c…d37b, en una división 80/20 que Bitquery atribuye al atacante y a la billetera que recibió la comisión del drenador.
El historial de transferencias del depositante muestra cuatro retiros que finalizaron a las 20:12:23 UTC, y Bitquery afirma que el propietario revocó la autorización un minuto después del último.
Across informó a los usuarios que su dominio se restableció el 11 de noviembre con ayuda de Richard Kirkendall, fundador de Namecheap, y Cointelegraph informó que el equipo se comprometió a compensar íntegramente a todos los usuarios afectados y a publicar un análisis posterior.
La empresa de seguridad GoPlus estimó pérdidas de casi $350,000 en seis redes de cadenas de bloques, informó crypto.news, y enumeró Ethereum, Arbitrum, Base, BNB Chain, Ink y Plasma.
Cómo llegó una autorización firmada a un depósito de Aave
El activo robado fue aWETH, un token que genera intereses y representa un depósito de Aave. La documentación de Aave, citada por Bitquery, señala que estos tokens se pueden transferir y que un mensaje de autorización puede permitir que otra cuenta los use. Según la reconstrucción de Bitquery, la página falsa de Across solicitó una autorización de ese tipo y el atacante la utilizó para retirar los tokens.
La primera transacción agrupó la autorización y dos transferencias de tokens. Le siguieron otros tres retiros durante los tres minutos siguientes, lo que elevó la pérdida relacionada con Aave a unos $304,500 según los precios en el momento del robo —el 76% del total rastreado— antes de que se revocara la autorización. Revocar un permiso impide transferencias posteriores, pero no revierte las que ya quedaron registradas en la cadena, por lo que los fondos del depositante ya se habían transferido.
Bitquery también añadió un retiro de 26.38 ETH que no se había detectado anteriormente, valorado en unos $54,000 en ese momento, de otra víctima, y señaló que la cifra de $294,000, muy difundida, correspondía a los fondos de la billetera de comisiones, incluidos fondos que ya estaban allí antes del ataque.
Los informes no coinciden en el total
Los informes disponibles difieren tanto en el alcance como en las cifras. La actualización de Bitquery del 12 de noviembre sitúa el total en $401,900 en nueve billeteras y cinco cadenas; GoPlus, según informó crypto.news, estimó casi $350,000 en seis redes, incluidas Ink y Plasma. El informe de Cointelegraph del 11 de noviembre señaló que Across aún no había revelado una cifra confirmada de sus propias pérdidas ni el número de usuarios afectados.
Across afirmó que el incidente se debió a la vulneración de un registrador y no de sus contratos inteligentes: el atacante redirigió a los visitantes a una página de phishing, mientras que las integraciones de terceros y los usuarios de API no se vieron afectados. GoPlus, según informó crypto.news, dijo que probablemente se persuadió a las víctimas para que firmaran autorizaciones EIP-2612, autorizaciones Permit2 o aprobaciones directas de tokens.
Por qué importa
La pérdida demuestra que la vulneración de un dominio puede costar más que el propio puente: la mayor víctima rastreada nunca transfirió activos a través de Across, pero quedó expuesta mediante un token de préstamo transferible. Esto amplía el alcance de los daños que pueden causar los secuestros de sitios web en DeFi, donde cada vez hay más activos tokenizados y que generan rendimiento en billeteras que interactúan con interfaces de terceros.
El incidente se suma también a otros ataques a sitios web en DeFi, incluidos los secuestros de octubre rastreados mediante la herramienta Step Drainer, y pone de relieve cuánto riesgo para los usuarios reside ahora en la interfaz y no en el contrato.
Qué observar
Across afirmó que publicará un análisis posterior completo que explicará cómo obtuvo el atacante el control, y su compromiso de compensación es el próximo paso concreto para los usuarios afectados. La cifra final también podría cambiar si Bitquery o GoPlus revisan sus rastreos; mientras tanto, se ha indicado a las víctimas que comprueben sus autorizaciones en Revoke.cash.
Panorama del mercado
A las 03:16 UTC del 13 de noviembre, Aave (AAVE) cotizaba a $112 (₹10,568), con una caída del 5.5% en 24 horas y del 14.2% en siete días, una capitalización de mercado de $1.73 billion y un volumen en 24 horas de $153.9 million, según datos de CoinPaprika. Ethereum (ETH) cotizaba a $1,981 (₹186,288), con una caída del 3.5% en el día y del 11.2% en la semana.
Esta publicación, «Un usuario de Aave pierde $305,000 en el secuestro del sitio web de Across Protocol», apareció primero en BitcoinWorld.