Пользователь Aave теряет 305 000 долларов после захвата сайта Across Protocol

Депозитчик в Aave потерял около 305 000 долларов в токенах депозита во время захвата сайта кросс-цепочного моста Across Protocol 10 ноября, согласно расследованию Bitquery, обновленному 12 ноября.

Bitquery связывает потерю с разрешениями на расходование, запрашиваемыми через скомпрометированный интерфейс, что привело к раскрытию позиции займа, находящейся вне моста.

Пересмотренный след Bitquery оценивает, что 401 900 долларов были украдены из девяти кошельков на пяти блокчейнах, используя цены на момент кражи активов, и депозитчик Aave составляет около 76% от отслеживаемых потерь. Обновление добавляет ранее упущенный вывод эфира.

Across Protocol сообщил, что его домен был захвачен 10 ноября с помощью социальной инженерии, связанной с его регистратором, Namecheap.

Как токен депозита Aave перемещался после взлома Across Protocol

Актив, взятый из крупнейшего кошелька, был aWETH, токеном с процентной ставкой, представляющим депозит Aave. Документация Aave объясняет, что токены депозита могут быть переданы, и что подписанный разрешение может авторизовать другой аккаунт на их расходование.

В реконструкции Bitquery фальшивый сайт запросил разрешение, которое злоумышленник затем использовал для перемещения токенов депозитчика, и это разрешение на расходование поставило отдельную позицию займа в пределах досягаемости.

Первая транзакция перевода 10 ноября зафиксировала неограниченное одобрение, за которым последовало около 115,23 aWETH, отправленных на один кошелек, и 28,81 aWETH на другой. Bitquery идентифицирует этих получателей как кошелек злоумышленника и кошелек для сборов соответственно, соответствуя разделению 80/20.

История переводов депозитчика показывает четыре вывода, заканчивающихся через три минуты после первого. Bitquery сообщает, что владелец отозвал одобрение через минуту после последнего вывода, но переводы уже произошли к тому времени.

Как атака на сайт привела к депозиту Aave

Bitquery связывает подписанное разрешение с потерей токена депозита Aave. Первая транзакция фиксирует одобрение на расходование, за которым следуют два перевода.

ОДИН ДЕПОЗИТЧИК AAVE 304 500 долларов 76% от отслеживаемых потерь Bitquery Оценено на момент кражи активов Токен депозита Aave: 148,60 aWETH 401 900 долларов отслеживались по девяти кошелькам · Обновление 12 ноября

ОДИН ДЕПОЗИТЧИК AAVE 304 500 долларов 76% от отслеживаемых потерь Bitquery 148,60 aWETH · стоимость на момент кражи 401 900 долларов по девяти отслеживаемым кошелькам

Внутри первой транзакции токена Aave

Внутри первой транзакции токена Aave Разрешение на расходование Токеновые переводы

Bitquery описывает подписанное разрешение. Транзакция фиксирует неограниченное одобрение перед переводами токенов.

МАРШРУТ САЙТА: РЕКОНСТРУКЦИЯ BITQUERY Захваченный интерфейс сайта Подписанное разрешение Разрешение на расходование токена депозита aWETH в кошельке пользователя Неограниченное одобрение токена зафиксировано 20:09:23 UTC · 10 ноября 2026 года

МАРШРУТ САЙТА: УЧЕТНАЯ ЗАПИСЬ BITQUERY Захваченный интерфейс сайта Подписанное разрешение Разрешение на расходование токена депозита aWETH в кошельке пользователя Неограниченное одобрение зафиксировано 20:09:23 UTC · 10 ноября 2026 года

Та же транзакция отправила около 115,23 aWETH и 28,81 aWETH на кошельки, которые Bitquery идентифицирует как злоумышленника и получателей сборов.

ПЕРВЫЙ ИЗ ЧЕТЫРЕХ ВЫВОДОВ · 20:09:23 UTC · 10 НОЯБРЯ 2026 года Токен депозита Aave Из кошелька депозитчика 80% 20% 115,23 aWETH Кошелек злоумышленника* 28,81 aWETH Кошелек для сборов* *Роли получателей определены Bitquery

ПЕРВЫЙ ИЗ ЧЕТЫРЕХ ВЫВОДОВ · 10 НОЯБРЯ 2026 года 20:09:23 UTC Токен депозита Aave Из кошелька депозитчика 80% 20% 115,23 aWETH Кошелек злоумышленника* 28,81 aWETH Кошелек для сборов* *Роли получателей определены Bitquery

Разрешение на расходование переносимого токена депозита может раскрыть позицию займа, находящуюся вне моста.

Bitquery выводит связь с сайтом по времени и получателям кошельков. Записи блокчейна не показывают посещенный сайт или время подписания вне цепи. Диаграмма разделения охватывает только первый вывод; 304 500 долларов — это вся отслеживаемая потеря токена Aave.

Источники и доказательства

Источники

1. Расследование Bitquery от 12 ноября
2. Документация по токенизации Aave
3. Первая транзакция токена Aave
4. История переводов токенов депозитчика

Поддерживающие факты

• Обновление расследования Bitquery от 12 ноября оценивает, что 401 900 долларов были украдены из девяти кошельков на Ethereum, Arbitrum, Base, BNB Chain и Optimism во время захвата сайта Across 10 ноября. [1]
• Bitquery идентифицирует крупнейший затронутый кошелек как депозитчика Aave, который потерял 148,60 aWETH, что оценивается примерно в 304 500 долларов, или 76% от его отслеживаемых потерь. [1] [4]
• aTokens Aave представляют поставленные активы и накопленный доход, могут быть переданы или обменены и поддерживают сообщения разрешений, которые авторизуют другой аккаунт на их расходование. [2]
• В 20:09:23 UTC 10 ноября транзакция Ethereum зафиксировала неограниченное одобрение aToken от кошелька 0x42e7...483c и переводы около 115,23 aWETH на 0x2846...1fde и 28,81 aWETH на 0x0c7c...d37b. [3] [1]
• История переводов депозитчика показывает четыре исходящих вывода aToken между 20:09:23 и 20:12:23 UTC 10 ноября; Bitquery сообщает, что владелец отозвал одобрение через минуту после последнего вывода. [4] [1]
• Записи транзакций Aave показывают переводы на основе одобрения токенов депозитчика, что соответствует отчету Bitquery о краже с подписанным разрешением. [1] [2] [3]
• Bitquery связывает утечки с across.to через их время и получателей кошельков, признавая, что записи в цепочке не идентифицируют, какой сайт посетил жертва. [1]

Метод

Использует сообщенные округленные цифры и сообщенную долю 76%; бар заполнен на 76%. Просмотры одобрения и перевода показывают две части одной и той же первой транзакции, а не отдельные наблюдения сайта. Общая потеря Aave охватывает четыре вывода.

Объем

Bitquery выводит связь с сайтом по времени и получателям кошельков. Записи блокчейна не показывают посещенный сайт или время подписания вне цепи. Диаграмма разделения охватывает только первый вывод; 304 500 долларов — это вся отслеживаемая потеря токена Aave.