Bitquery führt Verlust eines Aave-Nutzers von 305.000 Dollar auf Übernahme der Across-Protocol-Website zurück

Die Untersuchung von Bitquery ergab, dass ein Aave-Einleger während der Übernahme der Website von Across Protocol am 10. November Einlage-Token im Wert von rund 305.000 Dollar verlor. Bitquery führte den Verlust auf Ausgabeberechtigungen zurück, die über die kompromittierte Benutzeroberfläche erlangt wurden und eine Kreditposition außerhalb der Cross-Chain-Bridge offenlegten. In einer Überarbeitung vom 12. November schätzte Bitquery die Diebstähle auf insgesamt 401.900 Dollar aus neun Wallets auf fünf Blockchains; dabei wurden die Vermögenswerte zum Zeitpunkt der Diebstähle bewertet. Auf den Aave-Einleger entfielen rund 76 % der erfassten Verluste. Die überarbeitete Schätzung berücksichtigte eine Ether-Überweisung, die in der früheren Untersuchung übersehen worden war.

Across Protocol erklärte, Social Engineering im Zusammenhang mit Namecheap, dem Domain-Registrar des Protokolls, habe die Übernahme am 10. November ermöglicht. Die größte betroffene Wallet verlor aWETH, einen verzinslichen Token, der eine Einlage bei Aave repräsentiert. Laut der Dokumentation von Aave sind Einlage-Token übertragbar, und ein anderes Konto kann über eine signierte Genehmigung Ausgabeberechtigung erhalten. Bitquery rekonstruierte einen Ablauf, bei dem die betrügerische Website eine solche Genehmigung erlangte und der Angreifer sie nutzte, um die Token des Einlegers zu übertragen.

Die erste Überweisungstransaktion vom 10. November verzeichnete eine unbegrenzte Genehmigung, bevor rund 115,23 aWETH an eine Wallet und 28,81 aWETH an eine andere übertragen wurden. Bitquery identifizierte den ersten Empfänger als Wallet des Angreifers und den zweiten als Fee-Wallet des Drainers; dies entsprach einer Aufteilung von 80/20. Im Transaktionsverlauf des Einlegers waren vier Abhebungen verzeichnet; die letzte erfolgte drei Minuten nach der ersten. Bitquery zufolge widerrief der Eigentümer die Genehmigung eine Minute nach der letzten Abhebung – zu spät, um die Überweisungen zu verhindern.

Bitquerys Update vom 12. November ergänzte einen separaten Diebstahl von 26,38 ETH bei einem anderen Opfer, bewertet mit rund 54.000 Dollar zum Zeitpunkt des Diebstahls. Den Ethereum-Transaktionsdaten zufolge wurde diese ETH am 10. November überwiesen. Bitquery erklärte, die weithin verbreitete Schätzung von 294.000 Dollar habe sich auf die Bestände der Fee-Wallet bezogen, darunter Gelder, die bereits vor dem Angriff auf Across eingegangen waren. Bitquery stellte anhand des Zeitpunkts der Transaktionen und der Empfängeradressen einen Zusammenhang zwischen den Abflüssen und Across her. Bitquery räumte jedoch ein, dass sich anhand von Blockchain-Daten nicht feststellen lasse, welche Website ein Opfer aufgerufen hatte.

Across Protocol gab am 11. November bekannt, die Kontrolle über die Domain zurückerlangt zu haben. Das Unternehmen sagte betroffenen Nutzern eine vollständige Entschädigung zu und kündigte die Veröffentlichung eines Untersuchungsberichts an.