Un usuario de Aave pierde 305,000 dólares tras el secuestro del sitio web de Across Protocol

Un depositante en Aave perdió alrededor de 305,000 dólares en un token de depósito durante el secuestro del puente de cadena cruzada Across Protocol el 10 de noviembre, según una investigación de Bitquery actualizada el 12 de noviembre.

Bitquery vincula la pérdida a los permisos de gasto solicitados a través de la interfaz comprometida, exponiendo una posición de préstamo mantenida fuera del puente.

La traza revisada de Bitquery estima que se tomaron 401,900 dólares de nueve billeteras en cinco blockchains, utilizando los precios en el momento en que se robaron los activos, y el depositante de Aave representa aproximadamente el 76% de las pérdidas trazadas. La actualización añade un barrido de ether que se había pasado por alto anteriormente.

Across Protocol dijo que su dominio fue tomado el 10 de noviembre a través de ingeniería social que involucraba a su registrador, Namecheap.

Cómo se movió el token de depósito de Aave después del hackeo de Across Protocol

El activo tomado de la billetera más grande fue aWETH, un token que genera intereses que representa un depósito de Aave. La documentación de Aave explica que sus tokens de depósito pueden ser transferidos y que un permiso firmado puede autorizar a otra cuenta a gastarlos.

En la reconstrucción de Bitquery, el sitio falso solicitó un permiso, que el atacante luego utilizó para mover los tokens del depositante, y ese permiso de gasto puso la posición de préstamo separada al alcance.

La primera transacción de transferencia el 10 de noviembre registró una aprobación ilimitada seguida de aproximadamente 115.23 aWETH enviados a una billetera y 28.81 aWETH a otra. Bitquery identifica a esos destinatarios como la billetera del atacante y la billetera de tarifas del drenador, respectivamente, coincidiendo con una división de 80/20.

El historial de transferencias del depositante muestra cuatro retiros que terminaron tres minutos después del primero. Bitquery dice que el propietario revocó la aprobación un minuto después del último retiro, pero las transferencias ya habían ocurrido en ese momento.

Cómo el ataque al sitio web llegó a un depósito de Aave

Bitquery vincula un permiso firmado a la pérdida de un token de depósito de Aave. La primera transacción registra la aprobación de gasto seguida de dos transferencias.
UN DEPOSITANTE DE AAVE 304,500 DÓLARES 76% de las pérdidas trazadas por Bitquery Valorado cuando se tomaron los activos Token de depósito de Aave: 148.60 aWETH 401,900 dólares trazados a través de nueve billeteras · actualización del 12 de noviembre
UN DEPOSITANTE DE AAVE 304,500 DÓLARES 76% de las pérdidas trazadas por Bitquery 148.60 aWETH · valor en el momento del robo 401,900 dólares a través de nueve billeteras trazadas

Dentro de la primera transacción de token de Aave

Dentro de la primera transacción de token de Aave Permiso de gasto Transferencias de tokens
Bitquery describe un permiso firmado. La transacción registra una aprobación ilimitada antes de las transferencias de tokens.
RUTA DEL SITIO WEB: RECONSTRUCCIÓN DE BITQUERY Sitio web de Across Interfaz comprometida Permiso firmado Permiso de gasto Token de depósito de Aave aWETH en la billetera del usuario Aprobación ilimitada de aToken registrada 20:09:23 UTC · 10 de noviembre de 2026
RUTA DEL SITIO WEB: CUENTA DE BITQUERY Sitio web de Across Interfaz comprometida Permiso firmado Permiso para gastar el token de depósito aWETH en la billetera del usuario Aprobación ilimitada registrada 20:09:23 UTC · 10 de noviembre de 2026
La misma transacción envió aproximadamente 115.23 aWETH y 28.81 aWETH a las billeteras que Bitquery identifica como destinatarios del atacante y de tarifas, respectivamente.
PRIMER RETIRO DE CUATRO · 20:09:23 UTC · 10 DE NOVIEMBRE DE 2026 Token de depósito de Aave Desde la billetera del depositante 80% 20% 115.23 aWETH Billetera del atacante* 28.81 aWETH Billetera de tarifas* Roles de destinatario atribuidos por Bitquery
PRIMER RETIRO DE CUATRO · 10 DE NOVIEMBRE DE 2026 20:09:23 UTC Token de depósito de Aave Desde la billetera del depositante 80% 20% 115.23 aWETH Billetera del atacante 28.81 aWETH Billetera de tarifas* *Roles de destinatario atribuidos por Bitquery

El permiso de gasto sobre un token de depósito transferible puede exponer una posición de préstamo mantenida fuera del puente.

Bitquery infiere la conexión del sitio web a partir del tiempo y las billeteras destinatarias. Los registros de blockchain no muestran el sitio visitado ni el tiempo de firma fuera de la cadena. El diagrama de división cubre solo el primer retiro; 304,500 dólares es la pérdida total de tokens de Aave trazada.
Fuentes y evidencia

Fuentes

1. Investigación de Bitquery del 12 de noviembre
2. Documentación de tokenización de Aave
3. Primera transacción de token de Aave
4. Historial de transferencias de tokens del depositante

Hechos de apoyo

• La actualización de la investigación de Bitquery del 12 de noviembre estima que se tomaron 401,900 dólares de nueve billeteras en Ethereum, Arbitrum, Base, BNB Chain y Optimism durante el secuestro del sitio web de Across el 10 de noviembre. [1]
• Bitquery identifica la billetera más afectada como un depositante de Aave que perdió 148.60 aWETH, que valora en aproximadamente 304,500 dólares, o el 76% de sus pérdidas trazadas. [1] [4]
• Los aTokens de Aave representan activos suministrados y rendimiento acumulado, pueden ser transferidos o negociados, y admiten mensajes de permiso que autorizan a otra cuenta a gastarlos. [2]
• A las 20:09:23 UTC del 10 de noviembre, una transacción de Ethereum registró una aprobación ilimitada de aToken de la billetera 0x42e7...483c y transferencias de aproximadamente 115.23 aWETH a 0x2846...1fde y 28.81 aWETH a 0x0c7c...d37b. [3] [1]
• El historial de transferencias del depositante de Aave muestra cuatro retiros salientes entre las 20:09:23 y las 20:12:23 UTC del 10 de noviembre; Bitquery dice que el propietario revocó la aprobación un minuto después del último retiro. [4] [1]
• Los registros de transacciones de Aave muestran transferencias basadas en aprobación del aToken del depositante, consistente con el relato de Bitquery sobre un robo de permiso firmado. [1] [2] [3]
• Bitquery vincula los drenajes a across.to a través de su tiempo y billeteras destinatarias, mientras reconoce que los registros en cadena no identifican qué sitio web visitó una víctima. [1]

Método

Utiliza cifras redondeadas reportadas y la participación reportada del 76%; la barra está llena al 76%. Las vistas de aprobación y transferencia muestran dos partes de la misma primera transacción, no observaciones de sitios web separadas. La pérdida total de Aave abarca cuatro retiros.

Alcance

Bitquery infiere la conexión del sitio web a partir del tiempo y las billeteras destinatarias. Los registros de blockchain no muestran el sitio visitado ni el tiempo de firma fuera de la cadena. El diagrama de división cubre solo el primer retiro; 304,500 dólares es la pérdida total de tokens de Aave trazada.

Este contenido se ofrece únicamente con fines informativos generales y no constituye un asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, operar o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.