El dominio oficial de Across Protocol, un puente entre cadenas, fue tomado por atacantes que lo utilizaron para mostrar una copia fraudulenta de la aplicación y engañar a los usuarios para que autorizaran movimientos de fondos. La firma de seguridad GoPlus estima que el phishing provocó pérdidas de unos 350.000 dólares en seis redes, aunque Across todavía no ha confirmado esa cifra.
El dominio legítimo redirigía a una web falsa
El incidente comenzó hacia las 18:45 UTC del 10 de noviembre. Según explicó Across en X, los atacantes recurrieron a ingeniería social contra su registrador, Namecheap, y obtuvieron el control de across.to. De ese modo, quienes escribían la dirección correcta o accedían desde un marcador terminaban en una página prácticamente idéntica a la original, pero gestionada por los responsables del ataque.
Across aseguró que recibió la alerta en unos 15 minutos. El grupo de respuesta SEAL911 marcó entonces el dominio como phishing ante varias billeteras, mientras que Cloudflare lo identificó como peligroso y eliminó sus registros DNS. Estas medidas dejaron fuera de línea la página fraudulenta. Durante el proceso de recuperación, Across suspendió temporalmente su web y su API.
El protocolo comunicó el 11 de noviembre que había recuperado el dominio con la ayuda de Namecheap y de su fundador, Richard Kirkendall. «Across está totalmente restablecido y todos los sistemas funcionan», afirmó el equipo, según crypto.news.
El ataque explotó permisos de tokens, no los contratos
El incidente no afectó, según Across, a los contratos inteligentes del puente. El problema estuvo en la capa de acceso: el dominio legítimo conducía a una interfaz controlada por los atacantes. La página solicitaba a los visitantes que firmaran aprobaciones de tokens, firmas permit basadas en el estándar EIP-2612 y autorizaciones Permit2.
Presentadas como pasos normales para utilizar el puente, esas operaciones podían conceder al atacante permiso para mover los activos. En otros casos, las víctimas enviaron directamente criptomonedas a direcciones controladas por los responsables del fraude.
GoPlus sitúa las pérdidas en Ethereum, Arbitrum, Base, BNB Chain, Ink y Plasma, con una estimación cercana a los 350.000 dólares. Bitquery, citado por Coin Insider, calculó una cantidad similar, de unos 348.000 dólares. Hasta el momento, Across no ha confirmado ninguna de las dos cifras ni ha detallado cuántos usuarios resultaron afectados.
El protocolo sí aseguró que compensará a todos los usuarios perjudicados y anunció un análisis completo del incidente. Sin embargo, hasta las 13:00 UTC del 11 de noviembre no había publicado ese informe ni había precisado un procedimiento o un calendario para las devoluciones. Across también indicó que los usuarios de su API y de integraciones de terceros no se vieron afectados, al igual que quienes utilizaron la web antes de que comenzara el ataque.
Un riesgo que los marcadores no eliminan
El caso muestra una limitación relevante de las medidas habituales contra el phishing: utilizar la dirección correcta no basta cuando el propio dominio ha sido comprometido. Los marcadores pueden evitar páginas parecidas o enlaces maliciosos, pero no protegen frente a un secuestro del dominio legítimo.
La recomendación para quienes interactuaron con la web durante el incidente es revisar las aprobaciones concedidas en cada red utilizada y revocar las que resulten sospechosas. Desconectar la billetera de la aplicación no elimina esos permisos, que permanecen activos en la cadena hasta que son revocados. Las firmas permit aún no utilizadas pueden requerir una revisión específica, ya que no siempre aparecen como aprobaciones convencionales.
Across todavía debe aclarar cómo el atacante logró que el registrador transfiriera el control del dominio. Namecheap tampoco había ofrecido comentarios públicos, según la información disponible. Quedan pendientes, además, la cifra oficial de pérdidas, el número de afectados y los detalles del mecanismo de compensación anunciado por el protocolo.
