Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
Usuário Aave perde US$ 305.000 após sequestro de site do Across Protocol
Um depositante em Aave perdeu cerca de US$ 305.000 em um token de depósito durante o sequestro em 10 de novembro do site da ponte de cadeia cruzada Across Protocol, de acordo com uma investigação da Bitquery atualizada em 12 de novembro.
A Bitquery vincula a perda às permissões de gasto solicitadas por meio da interface comprometida, expondo uma posição de empréstimo mantida fora da ponte.
Rastreamento revisado do Bitquery estima US$ 401.900 retirados de nove carteiras em cinco blockchains, usando preços no momento em que os ativos foram roubados, e o depositante Aave é responsável por cerca de 76% das perdas rastreadas. A atualização adiciona uma varredura de éter perdida anteriormente.
Através do Protocolo disse seu domínio foi assumido em 10 de novembro por meio de engenharia social envolvendo seu registrador, Namecheap.
Como o token de depósito Aave mudou após o hack do Across Protocol
O ativo retirado da maior carteira foi o aWETH, um token que rende juros e representa um depósito Aave. Documentação da Aave explica que seus tokens de depósito podem ser transferidos e que uma licença assinada pode autorizar outra conta a gastá-los.
Na reconstrução do Bitquery, o site falso solicitou uma licença, que o invasor usou para mover os tokens do depositante, e essa permissão de gasto colocou a posição de empréstimo separada ao seu alcance.
O primeira transação de transferência em 10 de novembro registrou uma aprovação ilimitada seguida por cerca de 115,23 aWETH enviados para uma carteira e 28,81 aWETH para outra. A Bitquery identifica esses destinatários como a carteira do invasor e a carteira de taxas do drenador, respectivamente, correspondendo a uma divisão 80/20.
O histórico de transferência do depositante mostra quatro puxadas terminando três minutos após a primeira. Bitquery diz que o proprietário revogou a aprovação um minuto após a última puxada, mas as transferências já haviam acontecido naquele momento.
Por dentro da primeira transação do token Aave
Bitquery descreve uma licença assinada. A transação registra aprovação ilimitada antes da transferência do token.
A mesma transação enviou cerca de 115,23 aWETH e 28,81 aWETH para as carteiras que a Bitquery identifica como invasoras e recebedoras de taxas.
Gastar permissão sobre um token de depósito transferível pode expor uma posição de empréstimo mantida fora da ponte.
Bitquery infere a conexão do site a partir do tempo e das carteiras dos destinatários. Os registros do Blockchain não mostram o site visitado ou o horário de assinatura fora da cadeia. O diagrama dividido cobre apenas a primeira puxada; US$ 304.500 é toda a perda rastreada do token Aave.
A adição de 12 de novembro foi uma varredura separada de 26,38 ETH de outra vítima, avaliada pela Bitquery em cerca de US$ 54.000 na época. Isso é Transação Ethereum registros mostram a saída da ETH em 10 de novembro.
A contagem revisada também difere do valor amplamente divulgado de US$ 294.000, já que a Bitquery diz que esse número correspondia aos acervos da carteira de taxas, incluindo fundos anteriores ao ataque Across.
O Bitquery vincula os drenos ao Across por meio do tempo e das carteiras dos destinatários, ao mesmo tempo em que reconhece que os registros do blockchain não podem mostrar qual site a vítima visitou.
Em 11 de novembro, Através do Protocolo disse o domínio voltou a estar sob seu controle e se comprometeu a curar os usuários afetados e publicar uma autópsia.
