Bitquery attribue à un détournement du site d'Across Protocol la perte de 305 000 dollars d'un utilisateur d'Aave

L'enquête de Bitquery a établi qu'un déposant d'Aave avait perdu environ 305 000 dollars en jetons de dépôt lors du détournement du site d'Across Protocol le 10 novembre. Bitquery a attribué cette perte à des autorisations de dépense obtenues via l'interface compromise, qui a exposé une position de prêt distincte du pont inter-chaînes. Dans sa révision du 12 novembre, Bitquery a estimé à 401 900 dollars le total des sommes dérobées sur neuf portefeuilles répartis sur cinq blockchains, en évaluant les actifs au moment des vols. Le déposant d'Aave représente environ 76 % des pertes ainsi retracées. La révision a inclus un transfert d'ether que l'enquête précédente avait omis.

Across Protocol a déclaré que l'usurpation d'identité visant Namecheap, le registraire du nom de domaine du protocole, avait permis la prise de contrôle le 10 novembre. Le portefeuille le plus touché a perdu des aWETH, un jeton rémunéré représentant un dépôt sur Aave. La documentation d'Aave indique que les jetons de dépôt sont transférables et qu'un autre compte peut recevoir une autorisation de dépense par le biais d'un permis signé. Bitquery a reconstitué une séquence dans laquelle le faux site a obtenu un permis et l'attaquant l'a utilisé pour transférer les jetons du déposant.

La transaction de transfert initiale du 10 novembre a enregistré une autorisation illimitée, avant des transferts d'environ 115,23 aWETH vers un portefeuille et de 28,81 aWETH vers un autre. Bitquery a identifié le premier destinataire comme le portefeuille de l'attaquant et le second comme le portefeuille recevant les frais du dispositif de drainage, conformément à une répartition de 80/20. L'historique des transactions du déposant fait état de quatre retraits, le dernier ayant eu lieu trois minutes après le premier. Bitquery a déclaré que le propriétaire avait annulé l'autorisation une minute après le dernier retrait, trop tard pour empêcher les transferts.

Dans sa mise à jour du 12 novembre, Bitquery a ajouté le vol distinct de 26,38 ETH appartenant à une autre victime, évalués à environ 54 000 dollars au moment du vol. Les registres des transactions sur Ethereum situent ce transfert d'ETH au 10 novembre. Bitquery a déclaré que l'estimation de 294 000 dollars largement diffusée correspondait aux avoirs du portefeuille recevant les frais, qui comprenaient des sommes reçues avant l'attaque visant Across. Bitquery a établi un lien entre les ponctions et Across en s'appuyant sur le calendrier des transactions et les adresses des destinataires. Bitquery a toutefois reconnu que les données de la blockchain ne permettent pas d'établir quel site web une victime a consulté.

Across Protocol a annoncé le 11 novembre avoir repris le contrôle du nom de domaine. Le protocole a promis le remboursement intégral des utilisateurs concernés et la publication d'un rapport d'incident.