Across Protocol đã khôi phục website sau vụ chiếm quyền DNS ngày 10 tháng 11, khiến khách truy cập trong thời gian ngắn bị chuyển hướng đến trang lừa đảo và — theo các nhà nghiên cứu bảo mật — gây thiệt hại khoảng 350.000 USD trên nhiều blockchain. Chuyện gì đã xảy ra - Khoảng 18:45 UTC ngày 10 tháng 11, kẻ tấn công chiếm quyền kiểm soát tên miền của Across thông qua một cuộc tấn công kỹ nghệ xã hội nhắm vào nhà đăng ký tên miền Namecheap và thay thế trang web chính thức bằng một giao diện giả mạo. Giao thức cho biết sự cố là vụ chiếm quyền tên miền, không phải khai thác hợp đồng thông minh. - Across nhận được cảnh báo trong khoảng 15 phút và lập tức bắt đầu khắc phục, tạm ngưng giao diện người dùng và API trong lúc giành lại quyền kiểm soát tài khoản nhà đăng ký tên miền. - Nhóm bảo mật SEAL911 đã gắn cờ tên miền lừa đảo với các ví lớn, còn Cloudflare xếp tên miền này vào diện nguy hiểm và xóa các bản ghi DNS, chặn người dùng tiếp tục truy cập trang độc hại. Kể từ đó, Across đã khôi phục tên miền và xác nhận mọi hệ thống đều hoạt động. Phạm vi và thiệt hại - Công ty bảo mật GoPlus ước tính khoảng 350.000 USD đã bị đánh cắp. Công ty cho biết ví của các nạn nhân trên Ethereum, Arbitrum, Base, BNB Chain, Ink và Plasma bị ảnh hưởng, dù Across chưa công bố tổng thiệt hại đã xác nhận hoặc số người dùng bị ảnh hưởng. - GoPlus cho biết trang lừa đảo có thể đã lừa người dùng ký các giấy phép EIP-2612, ủy quyền Permit2 hoặc phê duyệt token trực tiếp. Những ủy quyền này có thể cho phép bên chi tiêu được phê duyệt chuyển token mà không cần chủ ví phê duyệt từng giao dịch. Trong những trường hợp khác, nạn nhân có thể đã bị thuyết phục gửi tiền trực tiếp đến các địa chỉ do kẻ tấn công kiểm soát. - GoPlus đã xác định các địa chỉ bên chi tiêu đáng ngờ và khuyến nghị người dùng kiểm tra những quyền đã cấp vào khoảng ngày 10 tháng 11. Phản ứng và hướng dẫn cho người dùng - Across cảm ơn nhà sáng lập Namecheap Richard Kirkendall vì đã phản hồi và hỗ trợ bảo mật tài khoản; giao thức cũng cho biết cuộc điều tra đã được mở và cam kết công bố báo cáo hậu kiểm đầy đủ, đồng thời bồi hoàn cho những người dùng bị ảnh hưởng. - Giao thức làm rõ rằng những người chỉ truy cập trang web trước khi bị chiếm quyền không bị ảnh hưởng, và các dịch vụ tích hợp của bên thứ ba cùng người dùng API không bị xâm phạm. - Across khuyến cáo bất kỳ ai đã kết nối ví trong thời gian xảy ra vụ tấn công hãy kiểm tra và thu hồi các quyền ủy quyền qua Revoke.cash (hoặc công cụ tương đương). Thu hồi phê duyệt sẽ chặn các giao dịch chuyển tiền trong tương lai sử dụng những quyền đó, nhưng không thể đảo ngược các giao dịch đã thực hiện. Người dùng cho rằng mình là nạn nhân nên liên hệ các kênh chính thức của Across, cung cấp địa chỉ ví và mã băm giao dịch, đồng thời cảnh giác với các vụ giả mạo lừa đảo. Bối cảnh và các sự cố liên quan - Vụ chiếm quyền tên miền xảy ra sau làn sóng chiếm quyền website DeFi ngày 31 tháng 10, có liên quan đến bộ công cụ lừa đảo Step Drainer và ảnh hưởng đến ít nhất một tá trang web (bao gồm Flap). Vụ việc này độc lập với sự cố hồi tháng 7 của Across liên quan đến một bên chuyển tiếp của Risk Labs trên Solana, trong đó các sự kiện nạp tiền giả mạo dẫn đến việc xử lý hàng trăm yêu cầu gian lận và khoản lỗ ròng dưới 4 triệu USD sau khi một phần tiền của kẻ tấn công bị giữ lại. - Xét theo mức độ hoạt động, Across vẫn là một cầu nối xuyên chuỗi lớn (DefiLlama ghi nhận khoảng 5,9 tỷ USD giá trị chuyển khoản trong 30 ngày trước đó). Tiếp theo là gì Across cho biết cuộc điều tra vẫn đang tiếp diễn; một báo cáo hậu kiểm chi tiết sẽ được công bố sau, giải thích cách kẻ tấn công giành quyền kiểm soát dù giao thức đã có sẵn các biện pháp bảo mật. Các đội ngũ bảo mật tiếp tục theo dõi và khuyến nghị người dùng kiểm tra quyền của ví, đồng thời cảnh giác với những cảnh báo lừa đảo còn lưu lại trong trình duyệt hoặc ví sau khi trang web được khôi phục. Đọc thêm tin tức do AI tạo tại: https://app.chaingpt.org/news