Across Protocol找回被劫持域名,18:45遭社交工程攻击

域名于周三恢复控制

去中心化金融中规模第三大的跨链桥之一Across Protocol遭遇域名劫持。其官网across.to于周二被攻击者接管,一度向访客展示钓鱼页面。周三,Across发布公告确认,across.to域名已重新回到团队控制之下,所有系统运行正常,恢复工作获得了域名注册商Namecheap创始人Richard Kirkendall的协助。团队将此次事件归因于针对域名注册商的社交工程攻击,而非协议自身的链上基础设施受到入侵,这一区分决定了整个事件的性质。

问题最早在周二浮出水面。当时有用户报告称,访问假冒网站后钱包资金被转走,Across随即发出警告,提醒用户暂时不要使用其应用。截至目前,被盗总金额和受影响钱包数量均未公布。团队仅表示,在该站点被完全封锁之前访问过恶意页面的用户可能受到影响,而第三方集成和API用户未受波及。在周三的更新中,Across承诺将补偿所有受影响用户,并保证未来几天内发布完整的事后复盘报告。

这类事件中,域名本身就是关键资产:across.to承载着用户签署转账操作的前端界面,任何在劫持窗口内进入仿冒站点的访问者,都暴露在攻击者放置的内容面前。此次劫持不涉及协议的智能合约,团队也声称未发现链上漏洞。恢复工作最终要在注册商层面完成,这也说明了一个现实:一条跨链桥的安全性,很大程度上取决于它无法直接控制的域名基础设施。当攻击通过一通电话或一张工单到来时,再多的合约审计也派不上用场。

18:45 UTC经Namecheap被接管

根据团队此前在X上发布的更新,域名被接管的时刻约为周二18:45(UTC)。针对Namecheap的社交工程攻击让攻击者获得了域名的控制权。Across表示,团队在15分钟内收到警报,随即着手关闭网站。安全响应组织SEAL911与主流钱包服务商合作,将该域名标记为钓鱼站点,Cloudflare也在移除其DNS记录之前先将该地址标记为存在风险。这些措施压缩了暴露窗口:只有在域名被劫持到被彻底封锁之间访问过该域名的用户,才面临实际风险。

体量数字让这次事件的分量更清晰。跨链桥聚合数据显示,按30天转账量计算,Across在各类跨链桥协议中排名第三,仅次于Circle和LayerZero,期间处理资金约59亿美元。承载如此规模资金流的前端本身就是关键基础设施,这也是团队在域名恢复之前始终坚持警告用户避开应用的原因。此次响应还揭示出域名级事件中的分工现实:协议无法自行将自己的域名标记为钓鱼站点,因此钱包服务商和基础设施公司负责封堵,团队则直接与注册商交涉。

这起事件也把加密基础设施中的两类名字区分开来。像across.to这样由注册商签发的域名,可能在社会工程压力下被注册商移交;而链上域名,例如.ETH域名,直接在链上解析,不存在一个可以被电话说服的注册商。对周二报告钱包被清空的用户而言,这一区别没有多少实际意义,但它决定了一个项目在遭遇此类接管后有哪些恢复路径。周三的公告标志着运营阶段的结束;带有具体数字的核算阶段仍未到来。

根源在链下,损失尚未统计

可以核实的事故根源在链下:攻击没有触及任何结算逻辑、流动性池或合约机制,无论是原子交换设计还是零知识证明,这些正是跨链桥审计所检查的对象。目前无法核实的恰恰是损失本身:团队尚未公布攻击者地址、交易哈希或美元损失总额,链上损失至今没有统计口径。可以确认的补救措施包括:借助注册商协助收回的域名,以及钱包服务商和Cloudflare在数分钟内完成的钓鱼标记,后者削弱了攻击效果。剩下的只有团队的承诺:每一位受影响用户都会获得补偿。在承诺的事后复盘报告附带具体数字之前,这份承诺是受损失用户唯一的追偿路径,而这条路径完全系于Across一家。