Il bridge cross-chain Across Protocol ha dichiarato di aver ripristinato il proprio sito web dopo che gli attaccanti martedì hanno ottenuto il controllo del suo dominio tramite un attacco di social engineering, sostituendo il sito con una pagina di phishing.

I compromessi a livello di dominio sono rilevanti perché trasformano il punto di contatto più affidabile di un progetto contro i suoi utenti: chiunque controlli l'indirizzo web può servire pagine danniglie direttamente ai visitatori, senza violare i sistemi sottostanti del protocollo.

In un aggiornamento pubblicato su X mercoledì, il team ha dichiarato che il dominio across.to è tornato sotto il suo controllo con l'assistenza del fondatore di Namecheap Richard Kirkendall, aggiungendo che tutti i sistemi ora funzionano regolarmente.

"Tutti gli utenti coinvolti saranno risarciti integralmente. Condivideremo una post-mortem completa nei prossimi giorni", ha dichiarato il team.

L'annuncio fa seguito all'avviso diffuso da Across martedì, quando ha chiesto agli utenti di evitare la sua applicazione in seguito a segnalazioni di wallet svuotati. Il protocollo non ha ancora comunicato le perdite totali né il numero di utenti coinvolti, lasciando come elementi chiave da monitorare la post-mortem promessa e il processo di risarcimento degli utenti interessati.

Attacco di social engineering al registrar

In un precedente aggiornamento, Across ha dichiarato che l'attacco era diretto contro il suo registrar di domini, Namecheap, tramite social engineering — attacchi che si basano sull'inganno delle persone piuttosto che sulla violazione del codice — dando all'attaccante il controllo del dominio intorno alle 18:45 UTC. Il team ha dichiarato di essere stato allertato entro 15 minuti e di essere immediatamente intervenuto per chiudere il sito web, un tempo di risposta che limita quanto a lungo un dominio dirottato può servire contenuti dannosi ai visitatori.

Il gruppo di risposta alla sicurezza SEAL911 ha contribuito a segnalare il dominio come phishing nei principali wallet, mentre Cloudflare ha contrassegnato il dominio come a rischio e successivamente rimosso i suoi record DNS, le impostazioni che determinano dove viene instradato il traffico di un dominio.

Across ha avvisato che alcuni utenti che hanno visitato il dominio prima che il sito dannoso fosse completamente bloccato potrebbero essere stati coinvolti. Le integrazioni di terze parti e gli utenti delle API non sono stati interessati, ha dichiarato il team.

L'incidente ha colpito uno dei più grandi bridge cross-chain per attività di trading. Across si è classificato terzo per volume di trasferimenti a 30 giorni, dietro Circle e LayerZero, secondo DefiLlama, avendo elaborato circa 5,9 miliardi di dollari nel periodo. I bridge spostano grandi volumi di fondi degli utenti tra blockchain, e i compromessi dell'infrastruttura rivolta agli utenti, come domini e front end, rappresentano un rischio ricorrente nel settore, perché prendono di mira gli utenti tramite interfacce affidabili anziché i contratti dei protocolli stessi.

Approfondimento: Across Protocol mette in guardia gli utenti dall'usare l'app dopo segnalazioni di wallet svuotati