Across Protocol، یکی از پل‌های کراس‌چین پرکاربرد برای جابه‌جایی رمزارز بین اتریوم و شبکه‌های دیگر، سه‌شنبه شب از کاربرانش خواست تا اطلاع ثانوی وارد اپلیکیشن نشوند، کیف پول خود را متصل نکنند و هیچ تراکنش یا مجوزی (Approval) را امضا نکنند. هم‌زمان چند کاربر در شبکه‌های اجتماعی از خالی شدن کیف پولشان و از دست رفتن USDC و USDT خبر دادند.
چند ساعت بعد علت مشخص شد: به گفته Across، دامنه رسمی across.to هک شده بود. Across روز چهارشنبه اعلام کرد کنترل دامنه را پس گرفته، همه سیستم‌ها به حالت عادی برگشته‌اند و خسارت همه کاربران آسیب‌دیده جبران می‌شود.
چه اتفاقی افتاد؟
- روش حمله: به گفته Across، مهاجم با یک حمله مهندسی اجتماعی به Namecheap، شرکت ثبت‌کننده دامنه Across، کنترل دامنه را به دست گرفت.
- صفحه فیشینگ: بازدیدکنندگان across.to به یک صفحه جعلی هدایت می‌شدند که از آن‌ها می‌خواست مجوز (Approval) یا Permit توکن امضا کنند. با همین امضاها کیف پولشان خالی می‌شد.
- زمان: حدود ساعت ۱۸:۴۵ به وقت جهانی سه‌شنبه (حدود ۲۲:۱۵ به وقت تهران). تیم Across در کمتر از ۱۵ دقیقه باخبر شد و پایین آوردن سایت را شروع کرد.
- واکنش‌ها: تیم امنیتی SEAL911 دامنه را برای کیف پول‌های بزرگ به‌عنوان فیشینگ علامت زد و Cloudflare هم دامنه را پرخطر اعلام و رکوردهای DNS آن را حذف کرد تا صفحه جعلی از دسترس خارج شود.
- بازگشت: روز چهارشنبه با کمک Namecheap، دامنه به Across برگشت. Across گفته گزارش کامل حادثه را در روزهای آینده منتشر می‌کند.
میزان خسارت
Across هنوز رقم رسمی خسارت و تعداد کاربران آسیب‌دیده را اعلام نکرده است. شرکت امنیتی GoPlus مجموع خسارت را حدود ۳۵۰ هزار دلار تخمین زده که در شبکه‌های اتریوم، آربیتروم، بیس، BNB Chain، Ink و Plasma رخ داده است. یکی از کاربران از دست دادن ۹ هزار USDC و کاربر دیگری از دست دادن ۷٬۰۵۳ USDT0 در شبکه Plasma را گزارش کرده‌اند؛ این گزارش‌ها هنوز به‌طور مستقل تأیید نشده‌اند.
به گفته Across، سرویس‌هایی که از طریق API و یکپارچه‌سازی‌های دیگر (نه خود سایت) از این پل استفاده می‌کنند آسیبی ندیده‌اند. آسیب متوجه کسانی بوده که در مدت هک وارد سایت شده‌اند و در صفحه جعلی تراکنش امضا کرده‌اند.
اگر از Across استفاده کرده‌اید چه کنید؟
- مجوزها را بررسی کنید: اگر سه‌شنبه شب وارد across.to شده‌اید و چیزی امضا کرده‌اید، فوراً مجوزهای توکن کیف پولتان را بررسی و موارد ناشناس را لغو (Revoke) کنید. این کار با ابزارهایی مثل Revoke.cash یا بخش Token Approvals در اکسپلورر هر شبکه انجام می‌شود.
- دارایی را جابه‌جا کنید: اگر Permit امضا کرده‌اید، باقی‌مانده دارایی را به یک کیف پول تازه منتقل کنید.
- مراقب «سایت جبران خسارت» جعلی باشید: بعد از هر هک، کلاهبرداران با وعده بازپرداخت، صفحه‌های فیشینگ تازه می‌سازند. اطلاعیه‌های جبران خسارت را فقط از حساب رسمی Across در X دنبال کنید و هیچ لینکی را از پیام خصوصی باز نکنید.
- اطلاعات تراکنش را نگه دارید: Across از کاربران آسیب‌دیده خواسته جزئیات تراکنش‌هایشان را برای بررسی ارسال کنند.
درس این حادثه
این حمله نشان می‌دهد حتی آدرس درست و آشنای یک سایت هم ممکن است در لحظه‌ای به دست مهاجم بیفتد؛ در این حادثه راه ورود کاربران یعنی دامنه هک شد. پیش از امضای هر تراکنش، متن درخواست کیف پول را با دقت بخوانید؛ مجوز نامحدود (Unlimited Approval) و Permit برای سایتی که فقط قرار است انتقال ساده انجام دهد، نشانه خطر است. استفاده از کیف پول سخت‌افزاری و فعال نگه داشتن هشدارهای فیشینگ کیف پول هم ریسک را کمتر می‌کند. (راهنمای کامل: فیشینگ چیست و چطور از آن پیشگیری کنیم؟)
منابع: Cointelegraph، The Block
اخبار و آموزش‌های تازه را از دست ندهید. به کانال اول فارکس بپیوندید.