Across hizo un anuncio de emergencia el 10 de noviembre, exigiendo a los usuarios que dejaran de abrir la aplicación, no conectarse a billeteras ni firmar autorizaciones. El equipo está investigando un incidente de seguridad de la información que puede estar relacionado con el dominio de la red; Muchos usuarios de la comunidad han informado que les han robado sus billeteras y los funcionarios solicitan los detalles de la transacción uno por uno. (Resumen anterior: ¡$ACX se disparó en un 80%! Across Protocol planea reorganizar DAO en una empresa de entidad, y los tokens pueden intercambiarse por acciones en una proporción de 1:1 o canjearse con una prima) (Suplemento de antecedentes: ¡El puente de cadena cruzada Verus Ethereum fue atacado! Monitoreo de Blockaid: pérdida de más de 11,58 millones de dólares estadounidenses) El protocolo de puente de cadena cruzada Across Protocol aprobó X el 10 de noviembre Emitir un anuncio solicitando a los usuarios que no abran sus propias aplicaciones, no conectarse a sus billeteras ni firmar ninguna transacción o autorización durante la investigación hasta nuevo aviso. Esta es la primera declaración oficial emitida después de que se revelara el incidente. La publicación no explica la naturaleza del incidente ni confirma si el sitio web había sido pirateado. Across es un puente entre cadenas que permite a los usuarios mover activos entre Ethereum y otras cadenas de bloques. En el anuncio oficial, el equipo solo afirmó que está investigando "posibles incidentes de seguridad" y prometió continuar actualizando el progreso. Para los usuarios que todavía tienen autorización Across, actualmente solo existe una pauta oficial: no moverse todavía. ALERTA Actualmente estamos investigando un problema con el dominio Across. NO visite la aplicación, no conecte su billetera ni firme ninguna transacción o aprobación allí hasta nuevo aviso. Publicaremos actualizaciones a medida que las tengamos. – Across (@AcrossProtocol) 10 de noviembre de 2026 El informe de desastre por parte de la comunidad llegó más rápido que la declaración oficial. Un usuario afirmó que perdió aproximadamente 9.000 dólares estadounidenses en USDC después de la operación; Otro usuario informó que se transfirieron un total de 7,053 USDT0 en siete transacciones en la cadena Plasma, lo que equivale a borrar el saldo de la moneda estable en la billetera de una vez. Un tercer usuario señaló que su billetera se vació después de usar el puente varias veces y afirmó que el sitio web había sido pirateado. Across respondió a estos retornos solicitando un hash de transacciones una por una para rastrear el flujo de fondos. Actualmente, las pérdidas antes mencionadas sólo son comunicadas unilateralmente por los usuarios y no han sido verificadas de forma independiente. Across no respondió a consultas detalladas antes de la fecha límite. Sin embargo, esta publicación en realidad analizó los dos dominios across.to y status.across.to antes de la fecha límite, y ambos informaron que no se pudieron analizar (No hay dirección asociada con el nombre de host), lo cual es consistente con lo que el equipo llamó "un problema con el dominio". Esto significa que el problema puede radicar en el DNS o en el nivel de registro de dominio, en lugar de que se incumpla directamente el contrato en cadena; La causa exacta aún debe explicarse mediante los resultados forenses oficiales. ¿Por qué se puede vaciar toda la billetera con una sola autorización? Para los usuarios de puentes entre cadenas, la acción más peligrosa a menudo no es la transferencia, sino la "autorización". En el momento en que el usuario presiona la confirmación en la interfaz, lo que realmente sucede es que el permiso para usar un determinado token se otorga a un conjunto de direcciones de contrato. Si el sitio web se reemplaza con una versión controlada por el atacante en este momento, la ventana de firma que aparece en la billetera será la misma de siempre. Será difícil para el usuario saber desde la interfaz que lo que está firmando es entregar todo el permiso de transferencia. Este tipo de técnica, llamada drenaje de billetera, no requiere una clave privada ni descifrar la billetera en sí. Siempre que la autorización se obtenga una vez, los bienes pueden ser enajenados en cualquier momento. El robo en serie de carteras autogestionadas de iOS, que no salió a la luz hasta el 5 de noviembre y fue advertido por GoPlus, provocó una pérdida de aproximadamente 561.000 dólares estadounidenses, según la alianza de seguridad SEAL. Siguió el mismo camino. Para los usuarios, el orden de remediación es claro: primero verificar las autorizaciones firmadas recientemente, revocar los contratos no reconocidos y luego ingresar únicamente por entradas verificadas oficialmente. El viejo problema del puente de las cadenas cruzadas, esta vez se ha cambiado la entrada. Las principales pérdidas del puente entre cadenas en los últimos años ocurrieron casi todas en la capa de contrato. El puente entre cadenas de Ronin fue violado en 2022, lo que provocó uno de los robos más grandes en la historia de DeFi, y posteriormente el protocolo se lanzó nuevamente; En mayo de este año, el puente entre cadenas Verus Ethereum fue atacado y Blockaid monitoreó pérdidas de más de 11,58 millones de dólares. Si se incumple el contrato, al menos dejará huellas en la cadena y también proporcionará una dirección clara para fortalecer los mecanismos de auditoría y multifirma. Si algo le sucede al front-end o al dominio esta vez, la superficie de ataque pasará del contrato inteligente a "la página web abierta por el usuario". Para el puente, el registrador de dominios, el proveedor de DNS, la CDN y la cadena de implementación de front-end se han convertido en riesgos que deben gestionarse, y estos enlaces rara vez se han incluido en el alcance de las auditorías de contratos inteligentes en el pasado. El incidente del hackeo de Vercel este año, que también provocó que los desarrolladores de cifrado cambiaran urgentemente las claves API, es una señal de advertencia en la misma cadena de suministro. El momento no era bueno para Across. El acuerdo había propuesto previamente la idea de reestructurar la DAO en una entidad empresarial, permitiendo que los tokens se intercambien por acciones o canjeados con una prima en una proporción de 1:1, y se estaba preparando para acercar la estructura de gobernanza al mercado institucional. Si se confirma que el dominio de la red o el front-end se ha perdido en este momento, las preguntas de los inversores sobre su disciplina operativa serán más difíciles de responder que las preguntas técnicas. El valor de un puente entre cadenas se basa en la confianza de "entregarle el activo durante unos minutos". Una vez que es necesario reparar la confianza mediante informes forenses, el período de recuperación suele medirse en trimestres. Observaciones de seguimiento Hay cuatro cosas a tener en cuenta: si el informe forense oficial confirma el secuestro de DNS o los cambios en el nivel del proveedor de dominio, si la pérdida total real en la cadena excede el número actualmente hablado por los usuarios, si otras interfaces DeFi se vieron afectadas durante el mismo período y si Across suspenderá el contrato puente para detener la hemorragia. Antes de que se dé la conclusión oficial, "no abrir, no conectar, no firmar" sigue siendo la única operación segura. Informes relacionados: Vercel fue pirateado, los desarrolladores de cifrado cambiaron urgentemente las claves API: la herramienta de inteligencia artificial Context.ai se convirtió en una vulnerabilidad, la cadena de suministro de front-end Web3 dio la alarma, GoPlus advirtió: ¡las billeteras autoadministradas de iOS fueron robadas repetidamente! SEAL informó una pérdida de aproximadamente 561.000 dólares estadounidenses, y Trust Wallet fue la principal víctima. El mayor robo en la historia de DeFi. El puente entre cadenas de Ronin "se contrajo nuevamente" para saquear activos sin múltiples firmas, pero ahora hay un punto de inflexión. ¡Se sospecha que el puente entre cadenas ha sido pirateado! Los funcionarios pidieron urgentemente la desactivación y se robaron carteras. Este artículo se publicó por primera vez en BlockTempo, el medio de noticias blockchain más influyente.