Aave-gebruiker verliest $305.000 na kaping van Across Protocol-website

Wat er gebeurde

Bitquery publiceerde een update op 12 november met een reconstructie van de diefstal. Volgens dit onderzoek kwam ongeveer $305.000 uit één Aave deposit token, een interest-bearing token aangeduid als aWETH.

Across Protocol stelde dat de domeinnaam op 10 november werd overgenomen via social engineering bij de registrar Namecheap. De aanvaller zette een vervalste site op die om een ondertekende permit vroeg.

Die permit gaf de aanvaller toestemming om de overdraagbare deposit token te verplaatsen. In de eerste verdachte transactie op 10 november werd een onbeperkte goedkeuring geregistreerd, waarna ongeveer 115,23 aWETH naar één wallet en 28,81 aWETH naar een tweede wallet gingen. Bitquery identificeert die wallets als de aanvaller en een fee-wallet, met een 80/20-verdeling.

De totalen van Bitquery komen neer op $401.900 uit negen wallets over vijf blockchains. Het grootste deel, ongeveer 76%, is afkomstig van de Aave-depositor. Bitquery voegde op 12 november ook een eerdere sweep van 26,38 ETH toe, goed voor ongeveer $54.000 op het moment van diefstal.

Bitquery waarschuwt dat de verbinding met de valse site is afgeleid uit timing en ontvangers op de blockchain. De blockchain zelf toont niet welke site een slachtoffer bezocht of wanneer een handtekening buiten de keten is gezet.

Across Protocol zei op 11 november dat het beheer van het domein was teruggekregen en dat het getroffen gebruikers compenseert en een postmortem zal publiceren.

Waarom dit telt

Voor beleggers in AAVE en gebruikers van cross-chain diensten toont dit incident het risico van off-chain phishing en het gevaar van ondertekende permits op overdraagbare deposit tokens.