Across Protocol, 18:45 UTC'de Ele Geçirilen across.to Alan Adını Geri Aldı

Alan adı çarşamba günü geri geldi

Merkeziyetsiz finansın (DeFi) en yoğun üç zincirler arası köprüsünden birinin arkasındaki ekip Across Protocol'ün web sitesi, salı günü ele geçirildi ve ziyaretçilere kısa bir süre için dolandırıcılık (phishing) sayfası gösterildi. Across, çarşamba günü yayımladığı açıklamada across.to alan adının yeniden kontrolüne geçtiğini, tüm sistemlerin normal çalıştığını ve kurtarma sürecinde Namecheap kurucusu Richard Kirkendall'dan destek alındığını duyurdu. Protokol, ele geçirmeyi kendi zincir üstü altyapısının hiçbir parçasına değil, alan adı kayıt firmasına yöneltilmiş bir sosyal mühendislik saldırısına bağlıyor; bu ayrım, olayın tamamını nasıl okuyacağımızı belirliyor.

Sorun ilk kez salı günü göründü. Across, sahte siteye giren kullanıcılardan cüzdanlarının boşaltıldığına dair ihbarlar yayılırken, kullanıcıları uygulamasından uzak durmaya çağırdı. Ele geçirilen toplam tutar da etkilenen cüzdan sayısı da henüz açıklanmadı. Ekip yalnızca, kötü amaçlı site tam olarak engellenmeden önce oraya ulaşan kullanıcıların zarar görmüş olabileceğini ve üçüncü taraf entegrasyonlarla API kullanıcılarının etkilenmediğini söyledi. Çarşamba günkü güncellemede Across, zarar gören tüm kullanıcıların zararının karşılanacağını ve önümüzdeki günlerde eksiksiz bir olay sonrası rapor sunulacağını taahhüt etti.

Bu tür bir olayda kritik varlık alan adının kendisi: across.to, kullanıcıların transferleri onayladığı ön yüzü taşıyor ve ele geçirme penceresi sırasında sahte kopyaya düşen herkes, saldırganların gösterdiği her şeye maruz kaldı. Ele geçirme protokolün akıllı kontratlarına (smart contract) dokunmadı ve ekip zincir üstü bir açık iddia etmedi. Kurtarma bunun yerine kayıt firması düzeyinde yardım gerektirdi; bu da bir köprünün, kendi kontrol etmediği altyapıya ne kadar bağlı olduğunu ve saldırı telefonla ya da destek talebiyle geldiğinde kontrat denetimlerinin ne kadar az tartıldığını gösteriyor.

Namecheap üzerinden 18:45 UTC'de ele geçirme

Ekip kendi çizdiği zaman çizelgesine göre, X üzerinde daha önce yayımladığı güncellemede ele geçirme anı yaklaşık olarak salı günü 18:45 UTC; Namecheap'e yöneltilen sosyal mühendislik saldırısı o anda alan adının kontrolünü saldırgana verdi. Across, 15 dakika içinde uyarıldığını ve web sitesini kapatmak için hemen çalışmaya başladığını söyledi. Güvenlik müdahale grubu SEAL911, alan adının dolandırıcılık olarak işaretlenmesi için büyük cüzdan sağlayıcılarıyla birlikte çalıştı ve Cloudflare, adresi riskli olarak işaretledikten sonra DNS kayıtlarını kaldırdı. Bu adımlar maruziyeti daralttı: ziyaretçinin risk altına girmesi için ele geçirme ile tam engelleme arasındaki arada siteye ulaşması gerekiyordu.

İsmin arkasındaki ölçek olaya ağırlık veriyor. Toplanmış köprü verileri, Across'un 30 günlük transfer hacmiyle köprü protokolleri arasında üçüncü sırada olduğunu, bu süreçte kabaca 5,9 milyar dolar işlediğini ve Circle ile LayerZero'nun ardından geldiğini gösteriyor. Bu akışı taşıyan bir ön yüzün kendisi kritik altyapı; ekibin uygulama uzak durun uyarısını alan adı geri gelene kadar yerinde tutması da bundan. Yanıt, alan adı düzeyindeki bir olaydaki iş bölümünü de gözler önüne seriyor: bir protokol kendi adını dolandırıcılık olarak işaretleyemez, bu yüzden cüzdan sağlayıcıları ve altyapı firmaları engellemeyi yaparken ekip doğrudan kayıt firmasıyla ilgilendi.

Olay, kripto altyapısındaki iki tür ismi de birbirinden ayırıyor. Bir kayıt firmasının verdiği across.to gibi bir alan adı, sosyal baskıyla kayıt firma tarafından devredilebilir; buna karşılık zincir üstü bir isim, yani .ETH alan adı, zincirin kendisinde çözülür ve aranacak bir kayıt firması yoktur. Bu fark, salı günü cüzdanları boşaldığını bildiren kullanıcılar için pek bir şey değiştirmiyordu; ama bu tür bir ele geçirmeden sonra bir projenin hangi kurtarma yollarının olduğunu belirliyor. Çarşamba günkü açıklama operasyonel aşamayı kapattı; somut rakamların geleceği muhasebe aşaması hâlâ beklemede.

Kök neden zincir dışında, zarar henüz sayılmadı

Doğrulanabilir kök neden zincir dışında: saldırının hiçbir parçası, mutabakat mantığına, likidite havuzlarına ya da atomic swap tasarımlarından sıfır bilgi kanıtlarına uzanan ve köprü denetimlerinin kontrol etmek üzere kurulduğu kontrat mekanizmasına dokunmadı. Henüz doğrulanamayan şey zararın kendisi: ekip bugüne kadar saldırgan adresi, işlem karması (hash) ya da dolar tutarı yayımlamadı; zincir üstü hasar bugün itibarıyla sayılmamış durumda. Doğrulanabilen iyileştirme, kayıt firması yardımıyla geri gelen alan adı ile saldırıyı dakikalar içinde küçülten cüzdan ve Cloudflare işaretleri. Geriye, etkilenen her kullanıcının zararının karşılanacağı yönündeki ekip sözü kalıyor. Söz verilen olay sonrası rapor rakamlarıyla gelene kadar, bu söz fon kaybeden kullanıcıların geri dönüşünün tek yolu ve bu yol bütünüyle Across'tan geçiyor.