Una investigación de Bitquery vincula el secuestro del dominio de Across Protocol con el retiro de cerca de USD $304.500 en aWETH de un depositante de Aave, tras una aprobación de gasto ilimitada. Bitquery estima que el incidente afectó a nueve billeteras y dejó pérdidas rastreadas por USD $401.900.
***

• Bitquery estima USD $401.900 en activos sustraídos de nueve billeteras distribuidas en cinco blockchains.
• La mayor pérdida rastreada fue de 148,60 aWETH, valorados en unos USD $304.500, tras una aprobación ilimitada y cuatro extracciones.
• Across dijo que recuperó el control del dominio y se comprometió a compensar a los afectados y publicar un análisis del incidente.

Bitquery vincula un permiso firmado con la pérdida de USD $304.500 en aWETH durante el secuestro de Across

Una investigación de Bitquery vincula el secuestro del sitio web de Across Protocol con la pérdida de unos USD $305.000 en aWETH de un usuario de Aave, cuyo depósito quedó expuesto tras la firma de permisos de gasto. La investigación, actualizada el 12 de noviembre, calcula que el incidente afectó a nueve billeteras y que los activos rastreados alcanzan USD $401.900.

La suma incluye fondos de distintas redes y una extracción de ETH que no figuraba en el primer cálculo. El episodio también muestra cómo un ataque contra una interfaz web puede poner en riesgo activos que el usuario mantiene en otro protocolo, aunque el puente involucrado no los custodie directamente.

El secuestro del dominio y las pérdidas rastreadas

Across Protocol informó que su dominio fue tomado el 10 de noviembre mediante ingeniería social contra Namecheap, el registrador de dominios. El equipo dijo que la intervención le dio a un atacante el control del dominio; la reconstrucción de Bitquery relaciona el sitio comprometido con permisos que facilitaron el retiro de activos desde billeteras de usuarios.

La cifra revisada por Bitquery asciende a USD $401.900 en pérdidas atribuidas a nueve billeteras de Ethereum, Arbitrum, Base, BNB Chain y Optimism. El cálculo usa el valor de los activos al momento de cada robo, por lo que representa una estimación de las pérdidas rastreadas y no necesariamente el valor actual de esos tokens.

La actualización sumó un barrido separado de 26,38 ETH de otra víctima, valorado entonces en unos USD $54.000. La transacción correspondiente registra la salida de ETH el 10 de noviembre, pero ese episodio no debe confundirse con la pérdida de aWETH del depositante de Aave, que constituye el caso de mayor monto individual identificado.

La cifra de USD $401.900 también difiere de los USD $294.000 que circularon ampliamente después del incidente. Según Bitquery, ese monto coincidía con las tenencias de la billetera que recibió comisiones e incluía fondos anteriores al ataque, por lo que no equivalía al total robado durante el secuestro.

Cómo un permiso sobre aWETH permitió retirar los fondos

La billetera más afectada tenía aWETH, un token de Aave que representa activos depositados y acumula rendimiento. La documentación del protocolo explica que estos tokens pueden transferirse y que los permisos firmados permiten autorizar a otra cuenta a gastarlos, una capacidad útil para ciertas operaciones, pero que exige revisar con cuidado qué autorización se concede.

En la primera transacción identificada, registrada a las 20:09:23 UTC del 10 de noviembre en Ethereum, la billetera 0x42e7…483c dio una aprobación ilimitada para gastar aWETH. La misma transacción envió aproximadamente 115,23 aWETH a 0x2846…1fde y 28,81 aWETH a 0x0c7c…d37b, direcciones que Bitquery identifica como la billetera del atacante y la destinada a comisiones.

Ese primer movimiento refleja un reparto aproximado de 80% para el atacante y 20% para la billetera de comisiones, pero solo describe la extracción inicial. La pérdida total rastreada de aWETH fue de 148,60 tokens, valorados en unos USD $304.500, y el depositante representó aproximadamente el 76% de todas las pérdidas calculadas en el conjunto analizado.

El historial de la víctima registra cuatro extracciones salientes de aWETH entre las 20:09:23 y las 20:12:23 UTC, de modo que el drenaje terminó apenas tres minutos después de la primera transferencia. Bitquery señala que el propietario revocó la aprobación un minuto después de la última extracción, cuando los fondos ya habían salido de la billetera.

Lo que la cadena confirma y lo que no puede demostrar

Los registros de Ethereum permiten observar la aprobación ilimitada y las transferencias posteriores, una secuencia consistente con un robo ejecutado mediante permisos de gasto. Sin embargo, una transacción en la cadena no registra por sí misma qué página visitó la víctima ni cuándo firmó la autorización fuera de línea.

Por esa razón, la conexión entre el retiro y across.to es una atribución de Bitquery basada en el momento de las operaciones y en las billeteras receptoras. La toma del dominio y la actividad en el sitio web forman parte de la reconstrucción del incidente, pero no aparecen como datos verificables directamente en el historial público de transferencias.

También es importante distinguir las dos vistas de la primera transacción: la aprobación y las transferencias de tokens son etapas de una misma operación, no pruebas independientes de lo ocurrido en el sitio. Del mismo modo, el diagrama del reparto 80/20 se refiere a esa primera extracción, mientras que el monto de USD $304.500 abarca las cuatro salidas rastreadas de aWETH.

El caso ilustra un riesgo particular de las aplicaciones descentralizadas: una autorización sobre un token transferible puede dar acceso a una posición que el usuario mantiene fuera del servicio cuya interfaz está comprometida. El puente no necesitaba custodiar el depósito de Aave para que una interacción engañosa con su sitio pudiera terminar exponiendo esos fondos.

La respuesta de Across y el compromiso de compensación

El 11 de noviembre, Across Protocol comunicó que su dominio había vuelto a estar bajo control del equipo. También se comprometió a compensar a los usuarios afectados y a publicar un análisis posterior del incidente, aunque la información disponible no especifica en detalle el calendario ni el mecanismo de esos reembolsos.

La promesa de compensación se produjo después de que la empresa atribuyera la toma del dominio a ingeniería social contra Namecheap. La recuperación del sitio reduce el riesgo de que la misma página siga bajo control del atacante, pero no revierte las transferencias ya ejecutadas ni restaura automáticamente las aprobaciones que cada usuario haya concedido.

La actualización de Bitquery ofrece una estimación más completa que los primeros cálculos al sumar el barrido de ETH y separar las tenencias previas de la billetera de comisiones. Aun así, su alcance depende del rastreo de nueve billeteras en cinco redes y de la atribución de las operaciones al sitio comprometido, por lo que no equivale a una auditoría exhaustiva de todas las posibles víctimas.

El desenlace para los usuarios dependerá de la compensación anunciada y de la información que Across incluya en su análisis posterior. Mientras tanto, la secuencia del depositante de Aave deja una advertencia concreta: una firma que parece referirse a una aplicación puede autorizar movimientos sobre tokens de depósito, incluso cuando esos activos no están en el puente.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.

ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín