Across holt gekaperte Domain zurück und will Opfer entschädigen

Angreifer haben am Dienstagabend die Webadresse der Krypto-Bridge Across übernommen und Besucher auf eine Phishing-Seite gelenkt. Seit der Nacht ist across.to wieder unter Kontrolle des Teams. Wie viel Geld abgeflossen ist und wie viele Nutzer betroffen sind, hat Across bisher nicht gesagt.

Across verschiebt Kryptowährungen zwischen Blockchains wie Ethereum, Arbitrum oder Base. Angegriffen wurde die Domain der Website, über die viele Nutzer ihre Transfers starten.

Social Engineering beim Registrar öffnet den Angreifern die Tür

Gegen 19:45 Uhr MEZ übernahm ein Angreifer die Domain, wie Across in einem ausführlichen Beitrag auf X schreibt. Möglich wurde das durch Social Engineering bei Namecheap, dem Registrar der Domain: Jemand brachte den Dienstleister offenbar dazu, ihm Zugriff auf das Konto zu geben. Wie genau, will Across in einem Untersuchungsbericht klären.

Nach eigener Darstellung bemerkte das Team den Angriff binnen 15 Minuten. Die Sicherheitsgruppe SEAL 911 ließ die Adresse bei großen Wallets als Phishing-Seite markieren, Cloudflare stufte sie als gefährlich ein und zog später die DNS-Einträge zurück.

Um 20:06 Uhr folgte die öffentliche Warnung: Nutzer sollten die App nicht aufrufen, keine Wallet verbinden und nichts signieren.

Namecheap reagiert erst nach Stunden

Gegen 23:14 Uhr meldete Across, die Phishing-Seite sei nicht mehr erreichbar, Website und Schnittstelle blieben aber abgeschaltet. Namecheap habe nicht reagiert, deshalb lasse sich die Domain nicht sichern. Partner, die Across über die Programmierschnittstelle einbinden, waren laut Team nicht betroffen.

Um 2:17 Uhr kam die Entwarnung. Der Gründer von Namecheap habe auf X geantwortet, beim Sichern des Kontos geholfen und eine Untersuchung eingeleitet. Dazu schreibt Across: “All affected users will be made whole. We’ll share a full post-mortem in the coming days.” Übersetzt: Alle Betroffenen werden entschädigt, ein vollständiger Untersuchungsbericht folgt in den nächsten Tagen.

Eine Schadenssumme fehlt bis Mittwochmorgen. Cointelegraph berichtet von Nutzern, deren Wallets geleert wurden; eine Zahl nennt aber auch Cointelegraph nicht.

Wer across.to am Dienstagabend besucht hat, sollte seine Freigaben prüfen

Gefährdet ist, wer zwischen etwa 19:45 Uhr und dem Abschalten der Seite dort eine Wallet verbunden und etwas unterschrieben hat. Across rät Betroffenen, über das Werkzeug revoke.cash mit derselben Wallet alle Freigaben für die Angreifer zu widerrufen und sich mit den Transaktionsdaten per Direktnachricht auf X beim Team zu melden.

Hardware-Wallets schützen in diesem Fall nur begrenzt, denn die Freigabe bestätigt der Nutzer selbst. Ähnlich lief es im Oktober, als eine gefälschte Ngrave-Warnung Nutzer mindestens 2,56 Millionen Dollar kostete, und beim Phishing-Post auf dem X-Konto von Coldcard. In allen drei Fällen setzten die Angreifer an dem Weg an, auf dem Nutzer zum Anbieter finden.

Across selbst kündigt an, künftig nur noch über die offiziellen Kanäle zu kommunizieren, und warnt vor Nachrichten, die angeblich vom Team stammen.