Bitquery rastreia perda de US$ 305.000 de usuário da Aave a invasão do site da Across Protocol

A investigação da Bitquery concluiu que um depositante da Aave perdeu cerca de US$ 305.000 em tokens de depósito durante a invasão do site da Across Protocol em 10 de novembro. A Bitquery atribuiu a perda a permissões de gasto obtidas por meio da interface comprometida, que expôs uma posição de empréstimo fora da ponte entre blockchains. Em revisão de 12 de novembro, a Bitquery estimou roubos totais de US$ 401.900 de nove carteiras em cinco blockchains, avaliando os ativos no momento dos roubos. O depositante da Aave respondeu por cerca de 76% das perdas rastreadas. A revisão incluiu uma transferência de ether que a investigação anterior não havia identificado.

A Across Protocol afirmou que engenharia social envolvendo a Namecheap, registradora do domínio do protocolo, possibilitou a tomada de controle em 10 de novembro. A carteira mais afetada perdeu aWETH, um token que rende juros e representa um depósito na Aave. A documentação da Aave diz que os tokens de depósito são transferíveis e que outra conta pode receber autorização de gasto por meio de uma permissão assinada. A Bitquery reconstituiu uma sequência em que o site fraudulento obteve uma permissão e o invasor a usou para transferir os tokens do depositante.

A transação de transferência inicial em 10 de novembro registrou uma autorização ilimitada antes de transferências de cerca de 115,23 aWETH para uma carteira e 28,81 aWETH para outra. A Bitquery identificou a primeira carteira destinatária como a do invasor e a segunda como a carteira de taxas do mecanismo de drenagem, em uma divisão compatível com a proporção de 80/20. O histórico de transações do depositante registrou quatro retiradas, com a última ocorrendo três minutos depois da primeira. A Bitquery afirmou que o titular cancelou a autorização um minuto após a última retirada, tarde demais para impedir as transferências.

A atualização da Bitquery de 12 de novembro acrescentou um roubo separado de 26,38 ETH de outra vítima, avaliados em cerca de US$ 54.000 no momento do roubo. Os registros de transações da Ethereum situam essa transferência de ETH em 10 de novembro. A Bitquery afirmou que a estimativa de US$ 294.000 amplamente divulgada correspondia aos ativos da carteira de taxas, incluindo dinheiro recebido antes do ataque à Across. A Bitquery relacionou as retiradas à Across com base no momento das transações e nos endereços destinatários. No entanto, a Bitquery reconheceu que os dados da blockchain não permitem determinar qual site uma vítima acessou.

A Across Protocol anunciou em 11 de novembro que o protocolo havia recuperado o controle do domínio. A Across Protocol prometeu reembolsar integralmente os usuários afetados e publicar uma análise posterior do incidente.