11月10日，知名跨链桥平台Across Protocol遭遇网络劫持事件，导致一名Aave存款人损失约30.5万美元。根据Bitquery的调查，损失与通过被攻陷界面请求的支出权限有关，暴露了一个在桥外持有的借贷位置。
对被盗资产进行修正追踪后，Bitquery发现在五条区块链上的九个钱包中，共有约40.19万美元被盗，其中Aave存款人占据了76%的损失。当前的估算还包含了之前未统计的以太币转出。
Across Protocol表示，该平台域名于11月10日因社交工程攻击被劫持，通过其注册公司Namecheap实施。
盗取事件后Aave存款代币的转移情况
被盗的主要资产为aWETH，这是一种代表Aave存款的利息生成代币。Aave的文档说明，该存款代币可转让，并且签名授权可使其他账户支出。
根据Bitquery的重构，假网站请求了一个授权，攻击者利用该授权转移了存款人的代币。这一支出权限使得存款链外的借贷位置也暴露出来。
当日的首次转移交易记录显示，攻击者获得了无限制的批准，紧接着将约115.23 aWETH转给一个钱包，同时将28.81 aWETH转给另一个钱包，Bitquery确认这两个钱包分别为攻击者钱包和手续费钱包。
存款人的转移历史显示，首次转移后三分钟内发生了四笔提取。尽管该持有人在最后一次提取后的一分钟内撤销了批准，但转移已在其撤销之前完成。
Aave存款人的损失详细数据
随着事件的曝光，Aave存款人目前损失的金额已被估算为30.45万美元，这在Bitquery追踪的损失中占76%。更新后的数据显示，Aave代币的价值为148.60 aWETH，跨越九个钱包的总追踪损失达到401,900美元。
同样值得注意的是，11月12日，Bitquery报道了一名受害者未注意到的26.38 ETH转移，约合54,000美元，表明受害者在11月10日不幸被盗。
Bitquery的调查结果也与流传已久的29.4万美元数字不同，后者实际上只反映了手续费钱包中的余额，包括在Across攻击前就已存在的资金。Bitquery通过时间和收款钱包，将这一盗取事件与Across相联系，同时承认区块链记录无法显示受害者访问过的网站。
11月11日，Across Protocol宣布重新获得域名控制权，并承诺补偿受影响用户并发布事件后报告。
常见问题
Across Protocol的劫持事件是如何发生的？
Across Protocol的域名于11月10日被劫持，攻击者通过社交工程手段控制了其注册商Namecheap。
此次事件中损失了多少资金？
总损失金额约为40.19万美元，其中Aave存款人占 76%，约为30.5万美元。
受害者的代币如何被盗取的？
受害者的代币通过一个伪造的网站请求的支出权限被转移，利用了无效的授权。
Across Protocol有何后续计划？
11月11日，Across Protocol承诺补偿受影响用户并将发布事件的详细报告。
