ビットクエリ、アクロス・プロトコルのサイト乗っ取りでアーベ利用者が30万5000ドル失った経緯を追跡

ビットクエリの調査によると、アーベへの預入者は11月10日のアクロス・プロトコルのウェブサイト乗っ取りで、預入トークン約30万5000ドル相当を失った。ビットクエリは、侵害されたインターフェースを通じて取得された使用許可が損失につながり、クロスチェーンブリッジとは別の貸付ポジションがさらされたと説明した。ビットクエリは11月12日の修正で、盗難発生時の資産価値に基づき、5つのブロックチェーンにまたがる9つのウォレットからの盗難総額を40万1900ドルと推計した。追跡された損失の約76%をアーベの預入者が占めた。修正では、以前の調査で見落としていたイーサの送金が加えられた。

アクロス・プロトコルは、ドメイン登録事業者Namecheapを巻き込んだソーシャルエンジニアリングによって、11月10日の乗っ取りが可能になったと述べた。最も大きな被害を受けたウォレットは、アーベへの預入を表す利息付きトークンであるaWETHを失った。アーベの文書によると、預入トークンは譲渡可能で、署名済みの許可証を通じて別のアカウントに使用許可を与えられる。ビットクエリは、不正サイトが許可証を取得し、攻撃者がそれを使って預入者のトークンを移転したという一連の経緯を再構成した。

11月10日の最初の送金取引には、約115.23 aWETHが1つのウォレットに、28.81 aWETHが別のウォレットに送金される前に、無制限の承認が記録されていた。ビットクエリは、最初の受取先を攻撃者のウォレット、2つ目を資金流出用ウォレットの手数料受取先と特定し、80対20の配分と一致するとした。預入者の取引履歴には4回の出金が記録され、最後の出金は最初の出金から3分後に行われた。ビットクエリによると、所有者は最後の出金から1分後に承認を取り消したが、送金を防ぐには遅すぎた。

ビットクエリは11月12日の更新で、別の被害者からの26.38 ETHの盗難を追加した。盗難発生時の価値は約5万4000ドルだった。イーサリアムの取引記録によると、このETH送金は11月10日に行われた。ビットクエリは、広く流布した29万4000ドルという推計は、アクロスへの攻撃前に受け取った資金を含む、手数料受取先ウォレットの保有額に相当すると述べた。ビットクエリは、取引のタイミングと受取先アドレスを基に資金流出をアクロスに結び付けた。ただし、被害者がどのウェブサイトにアクセスしたかはブロックチェーンのデータから特定できないと認めた。

アクロス・プロトコルは11月11日、ドメインの管理権を取り戻したと発表した。同プロトコルは影響を受けた利用者への全額補償と、事後検証報告書の公表を約束した。