Across Protocol odzyskuje kontrolę nad przejętą domeną po ataku socjotechnicznym
Najważniejsze informacje
- •Atakujący przejęli kontrolę nad domeną across.to protokołu Across we wtorek w wyniku ataku socjotechnicznego na rejestratora Namecheap i serwowali odwiedzającym stronę phishingową.
- •Across odzyskał domenę w środę przy pomocy założyciela Namecheap Richarda Kirkendalla i poinformował, że wszystkie systemy działają normalnie.
- •Zespół został powiadomiony około 15 minut po przejęciu domeny o 18:45 UTC i natychmiast wyłączył stronę internetową, podczas gdy SEAL911 oznaczył domenę jako phishingową, a Cloudflare usunął jej rekordy DNS.
- •Across nie ujawnił łącznych strat ani liczby poszkodowanych użytkowników, ale zobowiązał się zrekompensować szkody wszystkim poszkodowanym i opublikować w najbliższych dniach pełny raport powydarzeniowy.
- •Według DefiLlama protokół zajął trzecie miejsce wśród mostów międzyłańcuchowych pod względem wolumenu transferów w ciągu 30 dni, za Circle i LayerZero, obsłużywszy około 5,9 miliarda dolarów.
Most międzyłańcuchowy Across Protocol poinformował, że przywrócił swoją stronę internetową po tym, jak atakujący przejęli kontrolę nad jego domeną we wtorek w wyniku ataku socjotechnicznego i zastąpili stronę witryny podmienioną na phishingową.
Przejęcia na poziomie domeny mają duże znaczenie, ponieważ obracają najbardziej zaufany punkt styku projektu przeciwko jego użytkownikom: kto kontroluje adres internetowy, ten może bezpośrednio serwować złośliwe strony odwiedzającym, bez naruszenia systemów leżących u podstaw protokołu.
W aktualizacji opublikowanej na X w środę zespół poinformował, że domena across.to jest ponownie pod jego kontrolą dzięki pomocy założyciela Namecheap Richarda Kirkendalla, dodając, że wszystkie systemy działają teraz normalnie.
„Wszyscy poszkodowani użytkownicy zostaną zrekompensowani. W najbliższych dniach opublikujemy pełny raport powydarzeniowy” — oświadczył zespół.
Ogłoszenie nastąpiło po ostrzeżeniu Across z wtorku, gdy zespół zalecił użytkownikom unikanie aplikacji w związku z doniesieniami o opróżnianych portfelach. Protokół nie ujawnił jeszcze łącznych strat ani liczby poszkodowanych użytkowników, co czyni zapowiedziany raport powydarzeniowy oraz proces rekompensat kluczowymi kwestiami do obserwowania.
Atak socjotechniczny na rejestratora
We wcześniejszej aktualizacji Across poinformował, że atak wymierzony był w rejestratora domeny, Namecheap, i wykorzystał socjotechnikę — ataki opierające się na oszukiwaniu ludzi, a nie łamaniu kodu — przekazując atakującemu kontrolę nad domeną około 18:45 UTC. Zespół zaznaczył, że został powiadomiony w ciągu 15 minut i natychmiast przystąpił do wyłączenia strony internetowej — okno reakcji, które ogranicza czas, przez jaki przejęta domena może serwować złośliwe treści odwiedzającym.
Grupa reagowania na incydenty bezpieczeństwa SEAL911 pomogła oznaczyć domenę jako phishingową w głównych portfelach, natomiast Cloudflare oznaczył domenę jako zagrożoną, a następnie usunął jej rekordy DNS, czyli ustawienia określające, gdzie kierowany jest ruch domeny.
Across ostrzegł, że niektórzy użytkownicy, którzy odwiedzili domenę, zanim złośliwa strona została całkowicie zablokowana, mogli ucierpieć. Integracje zewnętrzne i użytkownicy API nie zostali dotknięci incydentem — poinformował zespół.
Incydent uderzył w jeden z największych mostów międzyłańcuchowych pod względem aktywności handlowej. Według DefiLlama Across zajął trzecie miejsce pod względem wolumenu transferów w ciągu 30 dni, za Circle i LayerZero, obsłużywszy w tym okresie około 5,9 miliarda dolarów. Mosty przenoszą duże wolumeny środków użytkowników między blockchainami, a kompromitacja infrastruktury zorientowanej na użytkownika, takiej jak domeny i front endy, to powtarzające się ryzyko w tej branży, ponieważ atakują użytkowników poprzez zaufane interfejsy, a nie same kontrakty protokołów.
