Bitquery追踪发现，Aave用户因Across Protocol网站遭劫持损失30.5万美元

Bitquery调查发现，一名Aave存款用户在11月10日Across Protocol网站遭劫持期间损失了约30.5万美元的存款代币。Bitquery将损失归因于攻击者通过被入侵的界面获得了代币支出授权，该界面暴露了一笔跨链桥之外的借贷头寸。Bitquery在11月12日修订后的估算中称，来自5条区块链上9个钱包的失窃总额为40.19万美元，资产价值按失窃发生时计算。该Aave存款用户的损失约占追踪到的失窃总额的76%。修订后的估算纳入了一笔此前调查遗漏的以太币转账。

Across Protocol表示，涉及其域名注册商Namecheap的社会工程攻击导致了11月10日的域名控制权被夺。受影响最大的一个钱包损失了aWETH，这是一种代表Aave存款的生息代币。Aave的文档称，存款代币可以转让，其他账户也可以通过已签名的授权获得支出权限。Bitquery还原出一系列操作：诈骗网站获得授权后，攻击者利用该授权转走了存款用户的代币。

11月10日的初始转账交易记录显示，攻击者先获得了无限额授权，随后将约115.23枚aWETH转至一个钱包，并将28.81枚转至另一个钱包。Bitquery认定，第一个收款方是攻击者的钱包，第二个是抽币工具的手续费钱包，这与80/20分成相符。该存款用户的交易历史记录了4笔提款，最后一笔发生在第一笔之后3分钟。Bitquery称，用户在最后一笔提款后1分钟取消了授权，但为时已晚，未能阻止转账。

Bitquery在11月12日的更新中新增了另一名受害者遭窃26.38枚ETH的案例，按失窃发生时的价格计算，价值约5.4万美元。以太坊交易记录显示，这笔ETH于11月10日转出。Bitquery称，广泛传播的29.4万美元估算对应手续费钱包中的资产，其中包括Across遭攻击前收到的资金。Bitquery根据交易时间和收款地址将这些资金抽取行为与Across联系起来。不过，Bitquery承认，区块链数据无法确认受害者访问的是哪个网站。

Across Protocol于11月11日宣布，已重新取得该域名的控制权。Across Protocol承诺全额赔偿受影响用户，并公布事后分析报告。