Across Protocol odzyskał kontrolę nad swoją domeną across.to po ataku socjotechnicznym na rejestratora domeny, firmę Namecheap, który na krótko przekierował odwiedzających na witrynę phishingową. Zespół ogłosił odzyskanie domeny w środę, dzień po przejęciu jej przez atakujących, i poinformował, że wszystkie systemy działają już normalnie.

Incydent, który rozpoczął się we wtorek, skłonił protokół do wydania pilnych ostrzeżeń, gdy część użytkowników zgłosiła opróżnione portfele. Across oświadczył, że wszyscy poszkodowani użytkownicy zostaną zrekompensowani, i zobowiązał się opublikować w nadchodzących dniach pełny raport z analizy incydentu.

Domena odzyskana po ataku na rejestratora

Odzyskanie domeny zostało upublicznione w poście na X z konta Crypto Patel:

Across Protocol Recovers Domain After Hijack Attack @AcrossProtocol has regained control of " " following a social engineering attack targeting its domain registrar, Namecheap. The attacker briefly took control of the official domain, exposing users to a… pic.twitter.com/PpKqN8acmx — Crypto Patel (@CryptoPatel) November 11, 2026

Jak przebiegł atak

Atak rozpoczął się we wtorek około 18:45 UTC. Według Across atak socjotechniczny na rejestratora domeny, firmę Namecheap, umożliwił atakującemu przejęcie kontroli nad domeną across.to. Ataki socjotechniczne polegają na oszukiwaniu ludzi, a nie na wykorzystywaniu luk technicznych, aby uzyskać nieuprawniony dostęp.

Po przejęciu kontroli nad domeną atakujący zastąpił stronę witryną phishingową. Strony phishingowe to fałszywe witryny zaprojektowane w celu nakłonienia odwiedzających do podłączenia portfeli lub zatwierdzania złośliwych transakcji.

Wydarzenie podkreśla również, że bezpieczeństwo protokołu zależy od czegoś więcej niż tylko jego własnego kodu: ponieważ użytkownicy docierają do front-endów mostów poprzez nazwy domen, infrastruktura poza łańcuchem, taka jak rejestratorzy i rekordy DNS, sama stanowi część powierzchni ataku.

Reakcja i odzyskanie domeny

Across oświadczył, że został zaalarmowany w ciągu 15 minut. Zespół następnie niezwłocznie przystąpił do wyłączenia witryny, a do ograniczania szkód przyłączyły się inne podmioty.

Grupa reagowania bezpieczeństwa SEAL911 pomogła oznaczyć domenę jako phishingową w największych portfelach. Cloudflare oznaczył domenę jako zagrożoną, a później usunął jej rekordy DNS.

Across oświadczył, że odzyskał domenę z pomocą założyciela Namecheap, Richarda Kirkendalla. Zespół przekazał tę informację na X i zapowiedział publikację pełnego raportu z analizy incydentu w nadchodzących dniach.

„Wszyscy poszkodowani użytkownicy zostaną zrekompensowani” — oświadczył zespół. Across nie podał, ile pieniędzy utracono ani ilu użytkowników zostało dotkniętych — zapowiedziany raport może wyjaśnić te liczby.

Ostrzeżenia i zgłoszenia opróżnionych portfeli

We wtorek Across ostrzegł użytkowników, aby nie korzystali z aplikacji i nie podłączali portfeli, a także aby nie podpisywali żadnych transakcji ani zatwierdzeń. Zespół poinformował, że bada możliwy incydent bezpieczeństwa. W tym czasie Across nie powiedział, co się stało, ani czy witryna została naruszona.

Użytkownicy wkrótce zaczęli publikować na X relacje o stratach. Jeden z użytkowników oświadczył, że stracił 9 000 USD w USDC. Inny powiedział, że stracił 7 053 USDT0 w ramach siedmiu transakcji w sieci Plasma. Trzeci oświadczył, że jego portfel został opróżniony po kilkukrotnym skorzystaniu z mostu.

Cointelegraph poinformował, że nie zweryfikował niezależnie tych twierdzeń. Across poprosił użytkowników o przesyłanie szczegółów transakcji, aby móc zbadać każde zgłoszenie. Zespół później oświadczył, że na skutki mogły być narażone osoby, które odwiedziły domenę, zanim witryna phishingowa została w pełni zablokowana.

Across oświadczył, że integracje zewnętrzne i użytkownicy API nie zostali dotknięci. Jego aplikacja na prawdziwej domenie działa teraz normalnie.

O protokole Across

Across to most międzyłańcuchowy, który pozwala użytkownikom przenosić aktywa cyfrowe między Ethereum a innymi sieciami blockchain. Według DefiLlama, platformy analitycznej zajmującej się zdecentralizowanymi finansami, zajął trzecie miejsce pod względem wolumenu transferów w 30 dni wśród mostów międzyłańcuchowych, za Circle i LayerZero, przetwarzając w tym okresie około 5,9 miliarda USD. Przy takiej skali domena internetowa mostu stanowi punkt wejścia dla znacznych przepływów transferów międzyłańcuchowych — tę samą furtkę, którą atakujący na krótko przekształcił w ryzyko phishingowe.

Oddzielny incydent NEAR AI

W osobnej sprawie NEAR AI zgłosił w poniedziałek problem bezpieczeństwa. Zgodnie z raportem z incydentu z 9 listopada atakujący wykorzystali lukę zdalnego wykonania kodu w SGLang, open-source'owym silniku inferencji AI, aby dostać się do wewnętrznego serwera i innej infrastruktury.

Około 100 użytkowników miało ujawnione dane kont, a także dane z 18 agentów AI. Ujawnione informacje obejmowały imiona i nazwiska, adresy e-mail, historie czatów, ustawienia i logi. Ujawnione zostały również klucze API należące do dwóch klientów.

NEAR AI oświadczył, że atakujący mogli zobaczyć żądania obsługiwane na serwerze, w tym niektóre w trybie poufnym. Firma stwierdziła, że załatała lukę, unieważniła ujawnione poświadczenia i przywróciła dostęp do swoich usług w chmurze. NEAR AI zaznaczył, że to naruszenie było oddzielne od incydentu Across.

Na stan na środę Across odzyskał domenę i zapowiedział wkrótce publikację pełnego raportu z analizy incydentu. Raport ten, wraz z ewentualnym ujawnieniem całkowitych strat i szczegółów odszkodowań, będzie głównym wydarzeniem wartym obserwacji, gdy pełny zakres incydentu stanie się jasny.