BitcoinWorldПользователь Aave потерял $305 000 из-за взлома сайта Across Protocol

Пользователь, предоставивший активы в Aave, потерял около 148,60 aWETH стоимостью примерно $305 000 после того, как подписал разрешение на расходование средств на мошеннической странице, которая 10 ноября подменила домен across.to Across Protocol. Об этом говорится в расследовании компании Bitquery, занимающейся анализом блокчейна: его обновили 12 ноября, а материал опубликовал Cryptoslate. Команда Across впервые сообщила о захвате домена в публикациях в X, объяснив произошедшее социальной инженерией, направленной на регистратора домена Namecheap. По словам команды, 11 ноября она восстановила контроль над доменом.

По оценке Bitquery, опубликованной 12 ноября, во время захвата с девяти кошельков в пяти блокчейнах было выведено $401 900. На одного вкладчика Aave пришлось около 76% этой суммы. Активом был токен депозитной позиции Aave, приносящей проценты, поэтому кража затронула позицию в кредитном протоколе, хранившуюся за пределами моста. Основные факты

  • В обновлении от 12 ноября Bitquery оценила сумму, выведенную 10 ноября во время захвата across.to, в $401 900 с девяти кошельков в сетях Ethereum, Arbitrum, Base, BNB Chain и Optimism.

  • 10 ноября в 20:09:23 UTC транзакция в Ethereum зафиксировала неограниченное разрешение, выданное с кошелька 0x42e7…483c. Затем около 115.23 aWETH были отправлены на 0x2846…1fde, а 28.81 aWETH — на 0x0c7c…d37b. По данным Bitquery, это распределение 80/20 между злоумышленником и кошельком для комиссии дренера.

  • История переводов вкладчика показывает четыре вывода, последний из которых завершился к 20:12:23 UTC. По словам Bitquery, владелец отозвал разрешение через минуту после последнего вывода.

  • Across сообщила пользователям, что 11 ноября домен удалось восстановить при содействии основателя Namecheap Ричарда Киркендалла. Cointelegraph сообщил, что команда пообещала полностью возместить потери всем пострадавшим, а позднее опубликовать отчёт о происшествии.

  • По оценке компании по кибербезопасности GoPlus, опубликованной crypto.news, потери составили почти $350 000 в шести сетях блокчейнов: Ethereum, Arbitrum, Base, BNB Chain, Ink и Plasma.

Как подписанное разрешение добралось до депозита Aave

Украденным активом был aWETH — токен, представляющий депозит в Aave и приносящий проценты. В документации Aave, на которую ссылается Bitquery, отмечается, что эти токены можно переводить, а сообщение с разрешением может уполномочить другой аккаунт расходовать их. Согласно реконструкции Bitquery, поддельная страница Across запросила такое разрешение, после чего злоумышленник использовал его для вывода токенов.

В первой транзакции были объединены выдача разрешения и два перевода токенов. В течение следующих трёх минут последовали ещё три вывода, в результате чего потери, связанные с Aave, достигли примерно $304 500 по ценам на момент кражи — 76% от отслеженной общей суммы. После этого разрешение отозвали. Отзыв разрешения блокирует последующие переводы, но не отменяет уже записанные в блокчейне операции. Поэтому средства вкладчика к тому моменту уже были переведены.

Bitquery также добавила ранее пропущенный вывод 26.38 ETH — около $54 000 на тот момент — от отдельной жертвы и заявила, что широко распространявшаяся цифра в $294 000 соответствовала средствам в кошельке для комиссий, включая средства, находившиеся там ещё до атаки.

В отчётах приводятся разные итоговые суммы

Доступные данные расходятся как по охвату, так и по суммам. В обновлении от 12 ноября Bitquery оценила общий ущерб в $401 900 с девяти кошельков в пяти сетях. По данным crypto.news, GoPlus оценила потери почти в $350 000 в шести сетях, включая Ink и Plasma. В публикации Cointelegraph от 11 ноября отмечалось, что Across ещё не сообщила подтверждённую сумму собственных потерь и число пострадавших пользователей.

Across заявила, что инцидент произошёл из-за взлома регистратора домена, а не смарт-контрактов: злоумышленник перенаправлял посетителей на фишинговую страницу, тогда как сторонние интеграции и пользователи API не пострадали. По данным crypto.news, GoPlus сообщила, что жертв, вероятно, убедили подписать разрешения EIP-2612, разрешения Permit2 или прямые подтверждения на расходование токенов.

Почему это важно

Этот случай показывает, что взлом домена может обойтись дороже, чем взлом самого моста: крупнейшая из отслеженных жертв никогда не переводила активы через Across, но подверглась риску из-за переводимого токена кредитного протокола. Это расширяет зону поражения при захвате сайтов в DeFi, где токенизированные активы и активы, приносящие доход, всё чаще хранятся в кошельках, взаимодействующих со сторонними интерфейсами.

Этот инцидент также стал одним из ряда атак на сайты в DeFi, включая октябрьские захваты, отслеженные с помощью набора инструментов Step Drainer. Это подчёркивает, что значительная часть рисков для пользователей теперь связана с интерфейсом, а не с контрактом.

За чем следить

Across заявила, что опубликует полный отчёт о происшествии с объяснением того, как злоумышленник получил контроль над доменом. Следующим конкретным шагом для пострадавших станет выполнение обещания о компенсации. Итоговая сумма также может измениться, если Bitquery или GoPlus пересмотрят результаты анализа. Тем временем пострадавшим рекомендовали проверить разрешения на Revoke.cash.

Обзор рынка

По данным CoinPaprika, 13 ноября в 03:16 UTC Aave (AAVE) торговался по $112 (₹10,568), снизившись на 5.5% за 24 часа и на 14.2% за семь дней. Рыночная капитализация составляла $1.73 млрд, а объём торгов за 24 часа — $153.9 млн. Ethereum (ETH) торговался по $1,981 (₹186,288), снизившись на 3.5% за день и на 11.2% за неделю.

Публикация «Пользователь Aave потерял $305 000 при захвате сайта Across Protocol» впервые появилась на BitcoinWorld.

#ETH