Across Protocol ha ripreso il controllo del proprio dominio across.to a seguito di un attacco di social engineering contro il proprio registrar, Namecheap, che ha brevemente reindirizzato i visitatori verso un sito di phishing. Il team ha annunciato il recupero mercoledì, un giorno dopo che gli attaccanti avevano preso il controllo del dominio, e ha dichiarato che tutti i sistemi ora funzionano normalmente.

L'incidente, iniziato martedì, ha suscitato avvertimenti urgenti da parte del protocollo mentre alcuni utenti segnalavano wallet svuotati. Across ha dichiarato che tutti gli utenti coinvolti saranno risarciti e si è impegnata a pubblicare un post-mortem completo nei prossimi giorni.

Dominio recuperato dopo l'attacco al registrar

Il recupero è stato reso pubblico in un post su X dall'account Crypto Patel:

Across Protocol Recovers Domain After Hijack Attack @AcrossProtocol has regained control of " " following a social engineering attack targeting its domain registrar, Namecheap. The attacker briefly took control of the official domain, exposing users to a… pic.twitter.com/PpKqN8acmx — Crypto Patel (@CryptoPatel) November 11, 2026

Come si è svolto l'attacco

L'attacco è iniziato martedì alle 18:45 UTC circa. Secondo Across, un attacco di social engineering contro il proprio registrar, Namecheap, ha dato a un attaccante il controllo del dominio across.to. Gli attacchi di social engineering si basano sull'ingannare le persone anziché sfruttare vulnerabilità tecniche per ottenere accessi non autorizzati.

Una volta ottenuto il controllo del dominio, l'attaccante ha sostituito il sito con una pagina di phishing. Le pagine di phishing sono siti fraudolenti progettati per ingannare i visitatori inducendoli a collegare i wallet o ad approvare transazioni dannose.

L'episodio sottolinea inoltre che la sicurezza di un protocollo dipende da più del proprio codice: poiché gli utenti raggiungono le front-end dei bridge attraverso nomi di dominio, anche l'infrastruttura off-chain come registrar e record DNS fa parte della superficie di attacco.

Risposta e ripristino

Across ha dichiarato di essere stata avvisata entro 15 minuti. Il team ha quindi lavorato per chiudere subito il sito, e altri gruppi hanno unito gli sforzi per limitare i danni.

Il gruppo di risposta alla sicurezza SEAL911 ha aiutato a segnalare il dominio come phishing presso i principali wallet. Cloudflare ha contrassegnato il dominio come a rischio e in seguito ha rimosso i record DNS del dominio.

Across ha dichiarato di aver recuperato il dominio con l'aiuto del fondatore di Namecheap Richard Kirkendall. Il team ha condiviso la notizia su X e ha detto che pubblicherà un post-mortem completo nei prossimi giorni.

«Tutti gli utenti coinvolti saranno risarciti», ha dichiarato il team. Across non ha detto quanti denaro sia andato perduto e non ha detto quanti utenti siano stati coinvolti — cifre che il promesso post-mortem potrebbe chiarire.

Avvertimenti e segnalazioni di wallet svuotati

Martedì, Across ha avvisato gli utenti di non usare la sua app né collegare i propri wallet, e di non firmare transazioni o approvazioni. Il team ha dichiarato di stare indagando su un possibile incidente di sicurezza. In quel momento, Across non ha detto cosa fosse successo né se il sito fosse stato compromesso.

Gli utenti hanno presto iniziato a pubblicare segnalazioni di perdite su X. Un utente ha dichiarato di aver perso 9.000 $ in USDC. Un altro ha detto di aver perso 7.053 USDT0 in sette transazioni sulla blockchain Plasma. Un terzo ha riferito che il proprio wallet è stato svuotato dopo aver usato il bridge più volte.

Cointelegraph ha riferito di non aver verificato in modo indipendente queste affermazioni. Across ha chiesto agli utenti di inviare i dettagli delle transazioni per poter esaminare ogni segnalazione. Il team ha poi dichiarato che alcuni utenti che avevano visitato il dominio prima che il sito di phishing fosse completamente bloccato potrebbero essere stati coinvolti.

Across ha dichiarato che le integrazioni di terze parti e gli utenti API non sono stati coinvolti. La sua app sul dominio reale ora funziona normalmente.

Sul protocollo Across

Across è un bridge cross-chain che permette agli utenti di spostare asset digitali tra Ethereum e altre reti blockchain. Secondo DefiLlama, una piattaforma di analisi della finanza decentralizzata, si è classificato terzo tra i bridge cross-chain per volume di trasferimento a 30 giorni, dietro Circle e LayerZero, elaborando circa 5,9 miliardi di $ in quel periodo. A quella scala, il dominio web del bridge funge da punto di ingresso per un flusso sostanziale di trasferimenti cross-chain — la stessa porta che l'attaccante ha brevemente trasformato in un rischio di phishing.

Incidente separato di NEAR AI

In un caso separato, NEAR AI ha segnalato lunedì un problema di sicurezza. Il suo rapporto sull'incidente, datato 9 novembre, afferma che gli attaccanti hanno sfruttato una vulnerabilità di esecuzione di codice remoto in SGLang, un motore di inferenza AI open source, per raggiungere un server interno e altre infrastrutture.

Circa 100 utenti hanno avuto i dettagli dell'account esposti, insieme a dati di 18 agenti AI. Le informazioni esposte includevano nomi, indirizzi email, cronologie di chat, impostazioni e log. Sono state esposte anche chiavi API appartenenti a due clienti.

NEAR AI ha dichiarato che gli attaccanti potrebbero aver visto le richieste gestite sul server, inclusa alcune in modalità confidenziale. L'azienda ha dichiarato di aver corretto la vulnerabilità, revocato le credenziali esposte e ripristinato l'accesso ai propri servizi cloud. NEAR AI ha precisato che questa violazione è separata dall'incidente di Across.

Ad oggi mercoledì, Across ha recuperato il proprio dominio e dichiara che condividerà presto un post-mortem completo. Il rapporto, insieme a qualsiasi divulgazione delle perdite totali e dei dettagli dei risarcimenti, è lo sviluppo principale da seguire mentre emerge l'intera portata dell'incidente.