Aave用户因Across协议网站劫持损失30.5万美元
一名向Aave提供资产的用户在11月10日签署了欺诈页面上的支出许可后，损失了约148.60 aWETH（价值约30.5万美元）。该欺诈页面替换了Across协议的官方域名 across.to。
Across本身首先在X平台上披露了此次接管事件，将其归咎于针对其域名注册商Namecheap的社会工程学攻击，并表示其域名已于11月11日恢复控制。
关键事实
- 损失规模： Bitquery的11月12日追踪数据显示，在11月10日对 across.to 的劫持中，共有9个钱包中的资金被转移，涉及以太坊、Arbitrum、Base、BNB Chain和Optimism五条区块链，总损失估计为40.19万美元。其中，单一Aave存款人占据了总损失的约76%。
- 资产性质： 被盗资产为计息Aave存款代币，因此盗窃行为触及了桥接操作之外的借贷头寸。
- 时间线： 11月10日UTC时间20:09:23，以太坊记录了一笔来自钱包 0x42e7…483c 的无限授权交易。随后，约115.23 aWETH被发送至 0x2846…1fde，28.81 aWETH被发送至 0x0c7c…d37b，呈现出攻击者与“抽资费”钱包之间80/20的比例分配。
- 撤销操作： 存款人的转账历史显示，在UTC时间20:12:23之前发生了四次提取。Bitquery指出，所有者在最后一次提取后一分钟撤销了授权。
已签署的许可如何导致Aave存款被盗
被盗资产为aWETH，这是一种代表Aave存款的计息代币。Bitquery引用的Aave文档指出，这些代币可以转移，且许可消息可以授权另一个账户花费它们。在Bitquery的重建过程中，假冒的Across页面请求了此类许可，攻击者利用它提取了代币。
第一笔交易捆绑了授权和两笔代币转账。在接下来的三分钟里又发生了三次提取，使与Aave相关的损失在盗窃时的价格下达到约30.45万美元——占追踪总额的近76%，随后授权被撤销。撤销权限会阻止后续转账，但不会撤销已在链上记录的转账，这就是为什么存款人的资金已经转移的原因。
Bitquery还补充称，此前遗漏了一次从另一受害者处提取的26.38 ETH（当时价值约5.4万美元），并指出广泛流传的29.4万美元数字与费币钱包中的持仓相符，包括早于攻击发生的资金。
报告数据存在分歧
现有账户在范围和数量上均有所不同。Bitquery的11月12日更新将总损失定为9个钱包和5条链上的40.19万美元；而crypto.news报道GoPlus估计在六个网络上的损失接近35万美元，增加了Ink和Plasma。Cointelegraph在11月11日的报道中指出，Across尚未公布其确认的损失金额或受影响用户的数量。
事故原因与影响
Across表示，该事件源于注册商被入侵，而非其智能合约问题：攻击者将访问者重定向到钓鱼页面，第三方集成和API用户未受影响。GoPlus表示受害者可能被说服签署了EIP-2612许可、Permit2授权或直接代币批准。
为何值得关注： 此次损失表明，域名级别的入侵造成的损失可能超过桥接协议本身：最大的追踪受害者从未通过Across移动资产，而是通过可转让的贷款代币暴露风险。这扩大了DeFi中网站劫持的影响范围，因为代币化和产生收益的资产越来越多地存放在与第三方前端交互的钱包中。
此事件也紧随DeFi中的其他网站级别攻击之后，包括通过Step Drainer工具包追踪到的10月劫持事件，突显了用户风险现在很大程度上位于界面层面，而非合约层面。
后续关注点
Across表示将发布一份完整的事后分析报告，解释攻击者如何获得控制权，其赔偿承诺是受影响用户的下一个具体步骤。如果Bitquery或GoPlus修订其追踪数据，最终总数也可能发生变化。在此期间，受害者已被指导检查Revoke.cash上的授权情况。
市场快照
根据CoinPaprika的数据，11月13日UTC时间03:16，Aave (AAVE) 交易价格为112美元（约合10,568卢比），24小时内下跌5.5%，七天内下跌14.2%，市值为17.3亿美元，24小时交易量约为1.539亿美元。以太坊 (ETH) 交易价格为1,981美元（约合186,288卢比），当日下跌3.5%，当周下跌11.2%。
