Across Protocol: secuestran su dominio y una página de phishing roba unos US$350.000 a usuarios

Atacantes tomaron el control del dominio oficial de Across Protocol, un puente entre cadenas, y el 10 de noviembre mostraron a sus visitantes una página de phishing idéntica a la original. Según la firma de seguridad GoPlus, las víctimas perdieron unos US$350.000 en seis redes. Across recuperó el dominio el 11 de noviembre y promete devolver todo lo perdido. El caso deja una lección incómoda: escribir bien la dirección de la web no bastó.

Qué pasó con Across

El ataque empezó hacia las 18:45 UTC del martes 10 de noviembre (13:45 en Bogotá, 12:45 en Ciudad de México y 19:45 en Madrid). Según la propia Across en X, citada por The Block y Cointelegraph, los atacantes usaron ingeniería social contra su registrador de dominios, Namecheap, y se quedaron con el control de across.to. Con eso enviaron a los visitantes a una copia falsa de la aplicación.

Across dice que recibió la alerta en 15 minutos. El grupo de respuesta SEAL911 marcó el dominio como phishing ante las principales billeteras, y Cloudflare lo señaló como peligroso y borró sus registros DNS, lo que dejó la página falsa fuera de línea, según The Block. Durante la recuperación, Across suspendió de forma temporal su web y su API, según crypto.news.

El miércoles 11, Across informó que recuperó el dominio con ayuda de Namecheap y de su fundador, Richard Kirkendall. «Across está totalmente restablecido y todos los sistemas funcionan», escribió el equipo, según crypto.news. Según Cointelegraph, con datos de DefiLlama, Across era el tercer puente por volumen de transferencias en 30 días, con unos US$5.900 millones.

Cómo funcionó el ataque: el dominio, no los contratos

Los contratos inteligentes de Across no fueron atacados, según el protocolo. Lo que cambió fue a dónde llevaba la dirección web. Quien escribía la URL correcta o usaba un marcador llegaba a una página igual a la de siempre, pero controlada por el atacante. Es un patrón que ya vimos en el hackeo de Polymarket a través del script de un proveedor externo: el golpe llega por una pieza de afuera, no por el código del protocolo.

Según GoPlus, la página falsa pedía firmar aprobaciones de tokens, firmas «permit» (el estándar EIP-2612) o autorizaciones Permit2. Parecían un paso normal, pero le daban al atacante permiso para mover los tokens. En algunos casos, las víctimas enviaron cripto directo a direcciones del atacante.

Across dice que los usuarios de su API y las integraciones de terceros no fueron afectados, como tampoco quienes usaron la web antes del ataque (crypto.news).

Cuánto se perdió y qué promete Across

No hay cifra oficial. La estimación de unos US$350.000 es de GoPlus, que ubica las pérdidas en Ethereum, Arbitrum, Base, BNB Chain, Ink y Plasma. Bitquery, citado por Coin Insider, llega a un número parecido: unos US$348.000. Across no confirmó ninguna de las dos cifras ni dijo cuántos usuarios fueron afectados.

«Todos los usuarios afectados serán compensados. Compartiremos un análisis completo en los próximos días», escribió Across en X (Cointelegraph; crypto.news). Hasta las 13:00 UTC del 11 de noviembre, según las notas más recientes que revisamos, no había publicado ese análisis ni un plazo o un procedimiento para las devoluciones.

Qué hacer si usaste Across el 10 de noviembre

1. Revisa tus aprobaciones. Conecta tu dirección en Revoke.cash (o en el verificador de aprobaciones de Etherscan) y busca permisos dados el 10 u 11 de noviembre, gastadores que no reconoces y montos ilimitados. Revisa cada red que usaste.
2. Revoca lo sospechoso. Revocar cuesta una pequeña comisión de red y bloquea movimientos futuros. No devuelve lo que ya salió. Si quieres entender por qué las aprobaciones viejas son un riesgo, lo explicamos en nuestra nota sobre el exploit de Ekubo.
3. Ojo con los permisos fuera de la cadena. Una firma «permit» que el atacante todavía no usó no aparece como una aprobación normal y puede seguir activa. Si firmaste algo en la página falsa y aún tienes fondos, CryptoTicker recomienda moverlos a una dirección nueva.
4. Desconectar la billetera no basta. Quitar el sitio de la lista de conexiones no borra las aprobaciones: siguen vigentes en la cadena hasta que las revoques.
5. Escribe solo a la cuenta oficial de Across. Si perdiste fondos, envía tu dirección y los hashes de las transacciones. Guarda capturas del explorador de bloques.
6. Desconfía de los «recuperadores». Ignora mensajes no solicitados que digan ser de Across o que ofrezcan recuperar tus fondos a cambio de un pago. Nadie legítimo te va a pedir tu frase semilla.

Cómo protegerte de un dominio secuestrado

• Usa marcadores, pero no confíes a ciegas. Te protege de dominios parecidos y de anuncios falsos en buscadores, pero no de un dominio real secuestrado, como este.
• Usa una billetera que avise. Muchas billeteras bloquean sitios marcados como phishing y muestran una simulación de lo que vas a firmar. En este caso, SEAL911 reportó el dominio a las principales billeteras.
• Lee lo que firmas. Un puente necesita que apruebes el token que vas a enviar, por el monto que vas a enviar. Desconfía de aprobaciones ilimitadas, de firmas sobre tokens que no ibas a mover y de pedidos de enviar fondos a una dirección.
• Separa tus billeteras. Usa una con poco saldo para conectarte a aplicaciones y guarda el resto en otra. Los enlaces falsos también llegan por redes sociales, como en el caso de Coldcard y el enlace de phishing en X.

Qué falta saber

Falta el análisis completo de Across, que debe explicar cómo el atacante logró que el registrador le diera el control del dominio. Tampoco hay cifra oficial de pérdidas, número de afectados, ni fecha o método para las devoluciones. Namecheap no había comentado en público, según CryptoTicker.