Across riprende across.to dopo il dirottamento su Namecheap e promette il rimborso, mentre Bitquery stima perdite per circa 402.000 dollari

Aggiornamento del 13 novembre 2026, 17:51 UTC: La società di analisi Bitquery stima, in un’indagine aggiornata il 12 novembre, che blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il finto sito across.to abbia svuotato circa 402.000 dollari da nove wallet su cinque blockchain tra le 19:02 e le 21:53 UTC del 10 novembre, e definisce la cifra un minimo. Circa 304.500 dollari vengono da un solo wallet Ethereum con aWETH di Aave; quei trasferimenti si vedono su Etherscan e finiscono a due indirizzi che la guida al recupero di Across elenca tra i destinatari dei fondi rubati. Across non dà ancora alcun totale, e il post-mortem promesso l’11 novembre non è stato pubblicato.

Across Protocol, uno dei bridge crypto più usati, martedì 10 novembre ha perso per diverse ore il controllo del dominio across.to, e i visitatori si sono trovati davanti una finta app che chiedeva di firmare approvazioni di token. Il bridge cross-chain sostiene che un aggressore abbia preso il dominio verso le 18:45 UTC con un attacco di ingegneria sociale contro il suo registrar, Namecheap. Alle 01:16 UTC di mercoledì 11 novembre Across ha dichiarato che il dominio era tornato sotto il suo controllo e che tutti i sistemi funzionavano normalmente. Ha promesso che gli utenti colpiti saranno rimborsati per intero, ma non ha pubblicato né un totale delle perdite né il numero delle vittime. La società di analisi Bitquery stima le perdite in circa 402.000 dollari da nove wallet, una cifra che Across non ha confermato.

Nulla di quanto detto da Across indica un difetto negli smart contract. Il furto, nella ricostruzione del team, è avvenuto dalla porta d’ingresso: chi controlla un dominio decide quale sito carica un browser, e per qualche ora across.to ha caricato un wallet drainer al posto del bridge.

Questo hack di Across Protocol è quindi un caso diverso da un exploit sui contratti, e le conseguenze pratiche ricadono sugli utenti. Chi ha collegato un wallet e firmato qualcosa su across.to il 10 novembre potrebbe avere ancora approvazioni aperte verso contratti dell’aggressore. Across ha pubblicato una guida al recupero che elenca quei contratti rete per rete; gli indirizzi sono riportati più sotto.

Cos’è successo ad across.to il 10 novembre, ora per ora

La cronologia si basa sui post di Across su X e sulle cronache di Cointelegraph. Tutti gli orari sono UTC.

Il primo avviso è stato netto. «Do NOT visit the app, connect your wallet, or sign any transaction or approval there until further notice», cioè di non visitare l’app, non collegare il wallet e non firmare transazioni o approvazioni fino a nuovo avviso, ha scritto Across, nel testo riportato da DeFi Prime. In quel momento parlava di un «potential security incident» e non diceva che il sito era stato preso, ha riferito Cointelegraph.

Il resoconto più lungo è arrivato alle 22:13 UTC. Across vi spiega che, entro 15 minuti dalla presa del dominio, era stata avvisata e si era mossa per chiudere il sito, che il gruppo di sicurezza SEAL911 aveva segnalato across.to come sito di phishing ai principali wallet e che Cloudflare aveva collaborato con il team per segnalare il dominio e in seguito ne aveva rimosso i record DNS. «In the brief period before Cloudflare fully blocked the malware site, some users who visited across.(to) may have been affected», cioè nel breve periodo prima del blocco completo da parte di Cloudflare alcuni utenti che hanno visitato il sito potrebbero essere stati colpiti, dice il post. Aggiunge che nessuna integrazione di terze parti né utente delle API è stato toccato.

Come è stato preso il dominio: un registrar, non un contratto

La spiegazione fornita finora è breve: un attacco di ingegneria sociale contro Namecheap, il suo registrar, ha dato a un malintenzionato il controllo del dominio. Non è stato detto chi in Namecheap sia stato contattato, con quale canale, né che cosa abbia modificato per prima cosa l’aggressore: l’account, i nameserver o i record DNS. Sono i dettagli a cui dovrà rispondere il post-mortem promesso.

Il team è stato netto sulla propria configurazione. «Across’s domain was fully locked down with best-in-class security practices; this unauthorized takeover should not have been possible», ossia il dominio era blindato con le migliori pratiche e la presa non autorizzata non avrebbe dovuto essere possibile, ha scritto alle 22:13 UTC. Lo stesso post diceva che Namecheap non rispondeva e che front end e API sarebbero rimasti offline finché il dominio non fosse stato messo in sicurezza.

Alcune ore dopo il tono è cambiato. Nel post delle 01:16 UTC Across ha detto di essere tornata operativa e ha ringraziato il fondatore di Namecheap, con il suo nome su X @synth, per aver risposto, aver aiutato a mettere in sicurezza l’account e aver aperto un’indagine. Cointelegraph lo ha identificato come Richard Kirkendall. Al 13 novembre Namecheap come azienda non aveva ancora pubblicato alcuna dichiarazione, quindi l’unico racconto pubblico di come sia avvenuta la presa del dominio resta quello di Across.

Due servizi esterni hanno fatto gran parte del lavoro di contenimento. SEAL911, un gruppo di risposta alle emergenze di sicurezza, ha ottenuto che i wallet avvisassero gli utenti che across.to era un sito di phishing. Cloudflare ha prima contrassegnato il dominio come a rischio e poi ha rimosso i suoi record DNS, mettendo offline la finta app mentre, secondo Across, Namecheap non aveva ancora risposto.

Le perdite: circa 402.000 dollari secondo Bitquery, nessun totale da Across

L’unico conteggio dettagliato finora viene da Bitquery, una società di analisi blockchain. In un’indagine aggiornata il 12 novembre stima che il finto sito abbia preso circa 402.000 dollari (401.900) a nove wallet su cinque reti, Ethereum, Arbitrum, Base, Optimism e BNB Chain, tra le 19:02 e le 21:53 UTC del 10 novembre, con ogni furto valutato al momento in cui è avvenuto. La prima versione, dell’11 novembre, parlava di circa 348.000 dollari; l’aumento dipende da un prelievo di ether scoperto dopo.

Un solo wallet vale circa tre quarti del totale. Il proprietario aveva 148,60 aWETH, il token che Aave dà a chi deposita ether, pari a 304.514 dollari secondo Bitquery, e aveva firmato un permit sul finto sito. Il ladro ha prelevato i token in quattro transazioni in circa tre minuti, ognuna divisa 80/20 tra lui e il wallet delle commissioni del drainer. Il proprietario ha annullato l’approvazione un minuto dopo l’ultimo prelievo, troppo tardi: il ladro aveva già scambiato quasi tutto in ether tramite UniswapX, dice Bitquery. Un secondo wallet Ethereum ha perso circa 55.200 dollari, soprattutto 26,38 ETH, altri sei tra circa 4.700 e 9.000 dollari ciascuno, e l’ultimo solo un token senza prezzo di mercato.

Il furto più grande si può verificare sulla blockchain. Su Etherscan il primo prelievo, alle 20:09:23 UTC del 10 novembre, sposta fuori dal wallet 115,23 aEthWETH e 28,81 aEthWETH, una divisione 80/20, verso 0x2846…1fde e 0x0c7c…d37b, due dei quattro indirizzi che la guida al recupero di Across elenca tra i destinatari dei fondi rubati. Altri tre prelievi sono seguiti alle 20:12 UTC, per circa 148,6 aEthWETH in tutto. I valori in dollari, gli altri otto wallet e il legame tra ogni furto e across.to si basano sull’analisi di Bitquery.

Bitquery ammette che il legame è indiziario. Sulla blockchain nulla registra quale sito usasse una vittima, quindi la società collega i furti ad across.to per gli orari, la divisione 80/20 e un wallet del ladro attivo solo durante il dirottamento. Definisce anche il totale un minimo: i pagamenti al ladro per altre vie sfuggirebbero, le reti senza dati sui trasferimenti come HyperEVM e Avalanche non sono contate, e i token senza prezzo di mercato sono esclusi. Plasma e Ink, dove Across segnala contratti dell’aggressore, non sono tra le sue cinque reti: i 7.053 USDT0 che un utente dice di aver perso su Plasma non sono quindi nel totale.

Bitquery corregge anche una cifra circolata l’11 novembre. I 294.000 dollari citati per l’attacco corrispondevano al saldo del wallet delle commissioni del drainer, non alla somma rubata. Secondo Bitquery almeno il 57% di quel saldo c’era già prima del dirottamento, circa 167.000 dollari da furti precedenti, e la cifra ignorava i circa 278.000 dollari andati direttamente al ladro.

Da Across non è arrivata alcuna cifra sulle perdite, né il numero delle vittime o delle reti in cui sono stati sottratti fondi. Prima del conteggio di Bitquery esistevano solo segnalazioni individuali. Martedì sera Cointelegraph ha riportato tre post su X: un utente ha detto di aver perso 9.000 dollari in USDC, un altro di aver perso 7.053 USDT0 in sette transazioni sulla rete Plasma, un terzo che un wallet era stato svuotato dopo aver usato il bridge più volte. Cointelegraph ha precisato di non aver verificato in modo indipendente nessuna delle tre. Ognuna è la dichiarazione di un singolo utente e non si possono sommare in un totale.

Nemmeno la guida al recupero indica importi. Mappa invece l’impianto dell’aggressore: otto contratti spender su sei reti (Ethereum, Base, Arbitrum, Ink, Plasma e BNB Chain) e quattro indirizzi che hanno ricevuto fondi rubati. Un indirizzo compare in entrambi gli elenchi, il contratto su Plasma, e Plasma è la rete citata nella segnalazione sugli USDT0. Secondo la guida, gli otto contratti eseguono lo stesso codice malevolo e l’aggressore potrebbe riutilizzare gli indirizzi su altre reti.

Per dare un’idea di quante persone usino il bridge: Across era terza tra i bridge per volume di trasferimenti a 30 giorni, con circa 5,9 miliardi di dollari movimentati, dietro Circle e LayerZero, secondo dati DefiLlama citati da Cointelegraph l’11 novembre. È una misura del traffico, non dell’esposizione: rischiano solo le persone che hanno usato il sito durante la finestra del dirottamento e hanno firmato quanto richiesto.

Chi è esposto dopo l’hack di Across Protocol

La guida al recupero è precisa. Va seguita se, il 10 novembre 2026, hai visitato across.to e hai fatto una di quattro cose: collegato un wallet, approvato un token, firmato un messaggio o un permit, oppure inviato una transazione. Secondo la guida, il finto sito chiedeva ai visitatori di firmare approvazioni e permit che permettevano ai contratti dell’aggressore di spostare token fuori dai loro wallet, e alcune di quelle approvazioni sono ancora aperte.

Un’approvazione aperta non scade perché il sito è stato sistemato. Finché non viene revocata, l’aggressore può prendere altri token di quel tipo che arrivino in seguito nel wallet, per esempio uno stipendio o un trasferimento da un exchange. Per questo la revoca conta anche per chi ha già perso fondi.

Chi usa Across tramite un’altra app o un’integrazione di wallet non rientra in questo elenco. Across dice che integrazioni e utenti delle API non sono stati toccati e che l’attacco ha riguardato solo il dominio del sito.

Se i bridge sono una novità per te, la nostra guida su come funziona un bridge cross-chain, dai messaggi agli intent spiega che cosa fa Across dietro la sua interfaccia.

I contratti dell’aggressore da revocare, rete per rete

Sono gli indirizzi spender elencati nella guida al recupero diffusa dopo l’incidente, che DeFi Prime indica come di Across. Se uno di questi compare come spender dei tuoi token, su qualunque rete, Across dice di revocarlo. Il team ha detto che potrebbe aggiungere altri indirizzi.

La guida elenca quattro indirizzi che hanno ricevuto fondi rubati: 0x2846e69d3298e99eddf2fd8116e952844da11fde, 0x0c7c656126aa62625fdd8051eb69dc14aee8d37b, 0x3ef438c34ce51a697a24247fe033c4562c94f0fd (il contratto su Plasma indicato sopra) e 0xa0e6c7d79b74d1a6d366dd11309b6faafda05ac5. Non inviare mai nulla a questi indirizzi e considera una truffa qualsiasi messaggio che te lo chieda.

Che cosa fare se hai firmato su across.to il 10 novembre

I passaggi della guida usano revoke.cash, uno strumento gratuito che elenca le approvazioni di token di un wallet. La nostra routine in sei passaggi per revocare le approvazioni dei token spiega gli stessi strumenti più a fondo. In breve:

1. Digita tu stesso revoke.cash nella barra degli indirizzi. Non seguire un link di revoca ricevuto in un DM, in una risposta o in una email: esistono copie del sito.
2. Incolla il tuo indirizzo nella barra di ricerca per guardare senza collegarti. Per revocare qualcosa dovrai collegare il wallet.
3. Parti dalla rete in cui hai usato Across, poi ripeti per Ethereum, Base, Arbitrum, Ink, BNB Chain e ogni altra rete in cui hai fondi.
4. Incolla ogni indirizzo malevolo della tabella nella casella Search by Spender. Una riga che compare è un’approvazione all’aggressore. Aiuta anche ordinare per Last Updated e controllare tutto ciò che risale al 10 novembre.
5. Controlla le righe Permit2. Alcune vittime hanno firmato un permit Permit2 invece di un’approvazione diretta, e revoke.cash lo mostra come riga separata con lo spender reale e una nota sulla scadenza.
6. Revoca ogni corrispondenza e conferma nel wallet. Ogni revoca è una transazione onchain, quindi tieni un po’ di ETH su Ethereum, Base, Arbitrum e Ink, o di BNB su BNB Chain.
7. Ricarica la pagina e verifica che le righe siano sparite o mostrino un’autorizzazione pari a zero, su ogni rete.

Una riga il cui spender è semplicemente Permit2 è la normale approvazione usata da app come Uniswap. Across osserva che revocarla elimina anche qualsiasi autorizzazione dell’aggressore su quel token, al prezzo di dover approvare di nuovo la prossima volta che usi una di quelle app.

Che cosa la revoca non può risolvere

La revoca ferma i furti futuri. Non restituisce i token già sottratti, e un trasferimento diretto all’aggressore, quando il finto sito chiedeva di inviare le monete anziché approvarle, non lascia nulla da revocare.

C’è un vuoto che revoke.cash non può mostrare. Un permit che hai firmato ma che l’aggressore non ha ancora inviato onchain esiste solo come firma, quindi non compare in nessun elenco. Il consiglio di Across per chiunque abbia firmato qualcosa su across.to quel giorno è di revocare ciò che è visibile e poi spostare i fondi rimasti su un nuovo wallet. Se non puoi revocare subito, spostare altrove i token interessati funziona comunque, perché un’approvazione può svuotare solo ciò che si trova nel wallet.

Richiedere il rimborso, e il finto supporto che seguirà

Gli utenti che hanno perso fondi sono invitati a inviare ad Across l’indirizzo del wallet e gli hash delle transazioni, e il contatto deve partire da loro: Across dice che non scriverà mai per prima in DM, non chiederà mai una seed phrase o una chiave privata e non chiederà mai a nessuno di «validare» o «sincronizzare» un wallet su un sito. Dopo incidenti come questo compaiono spesso falsi account di supporto, quindi un messaggio che offre un rimborso è più probabilmente il secondo attacco che il risarcimento.

Non sono stati annunciati data, modulo di richiesta o fonte dei fondi per il rimborso. La promessa di Across, riportata da Cointelegraph, è breve: «All affected users will be made whole. We’ll share a full post-mortem in the coming days», cioè tutti gli utenti colpiti saranno rimborsati per intero e un post-mortem completo arriverà nei prossimi giorni.

Come riconoscere un front end dirottato prima di firmare

Un dirottamento di dominio sconfigge il consiglio abituale di controllare l’URL, perché l’URL è quello vero. Cambia ciò che il sito ti chiede di firmare. Alcune abitudini aiutano a smascherare un front end falso:

• Leggi ogni richiesta di firma. Un trasferimento sul bridge richiede un’approvazione per il token che stai spostando, non un’approvazione illimitata per altri token né un permit su asset che non hai scelto.
• Confronta l’indirizzo spender nella richiesta del wallet con gli indirizzi dei contratti che il progetto pubblica nella documentazione. Uno spender sconosciuto è un motivo per fermarsi.
• Prendi sul serio gli avvisi dei wallet. In questo caso SEAL911 ha ottenuto che i principali wallet segnalassero across.to come phishing, e quell’avviso è stata la prima linea di difesa.
• Dopo uno spavento, controlla l’account ufficiale del progetto prima di tornare sul suo sito, e rifiuta qualsiasi firma che non abbia un legame evidente con l’azione che volevi compiere.
• Usa un wallet separato con solo ciò che intendi spostare quando usi bridge e app nuove, così un’approvazione può raggiungere solo un saldo ridotto.

Nulla di tutto questo aiuta contro una firma che sembra normale, ed è per questo che revocare le approvazioni inutilizzate ogni poche settimane fa parte di una routine di sicurezza DeFi di base.

Secondo dirottamento di registrar contro siti DeFi in 12 giorni

Il caso Across arriva a meno di due settimane da un’ondata di dirottamenti DNS contro siti DeFi registrati con Name.com il 30 e 31 ottobre. Il nostro articolo sul dirottamento DNS di Name.com racconta quell’episodio, la cui causa all’epoca non era ancora confermata.

Anche Namecheap ci è già passata. Intorno al 23 giugno 2022 alcuni aggressori dirottarono i record DNS di progetti DeFi che la usavano, tra cui Convex Finance, Ribbon Finance, Allbridge e DeFi Saver, e spinsero i visitatori ad approvare contratti malevoli. Kirkendall, allora amministratore delegato di Namecheap, disse che l’azienda aveva ricondotto il problema a «a specific CS agent that was either hacked or compromised somehow», cioè a un agente del supporto clienti violato o compromesso in qualche modo, e ne aveva rimosso l’accesso, ha riferito ForkLog il 24 giugno 2022.

Nel luglio 2024 Compound Finance, Celer Network, Pendle Finance e Unstoppable Domains hanno perso i loro domini dopo il passaggio dei clienti di Google Domains a Squarespace; i ricercatori attribuirono la colpa alle impostazioni di sicurezza predefinite deboli, una lettura che Squarespace contestò poi nel proprio post-mortem, ha riferito Krebs on Security il 15 luglio 2024. Galxe nell’ottobre 2023 e Aerodrome e Velodrome nel novembre 2025 hanno perso i loro front end in modi simili, come ha ricordato The Block nella copertura dell’ondata di Name.com.

Per Across è il secondo incidente in quattro mesi, ma di natura diversa. Il 17 luglio 2026 un relayer gestito da Risk Labs ha anticipato circa 4,5 milioni di dollari a fronte di 581 finte richieste di deposito su Solana, con una perdita netta inferiore a 4 milioni; Across ha attribuito la colpa a un software off-chain e ha detto che i fondi degli utenti non erano coinvolti, ha riferito crypto.news. L’attacco del 10 novembre non ha toccato i meccanismi del protocollo. È passato dal registrar.

Che cosa non si sa ancora

L’elenco delle questioni aperte è lungo, e la maggior parte troverà risposta solo nel post-mortem che Across ha promesso l’11 novembre «nei prossimi giorni», non ancora pubblicato il 13 novembre:

• Il bilancio di Across stessa, in perdite e vittime. La stima di circa 402.000 dollari di Bitquery è un minimo che lascia fuori alcune reti, e Across non l’ha né confermata né contestata.
• Come ha funzionato l’ingegneria sociale ai danni di Namecheap e che cosa emergerà dall’indagine della stessa Namecheap. Il registrar non ha pubblicato la propria versione.
• Se dei fondi rubati siano stati congelati o recuperati, per esempio stablecoin i cui emittenti possono bloccare gli indirizzi.
• Chi paga il rimborso, come verranno verificate le richieste e quando partiranno i pagamenti.

Finché non arriveranno queste risposte, il passo utile è quello chiesto da Across martedì notte: chiunque abbia toccato across.to il 10 novembre dovrebbe controllare su ogni rete gli indirizzi spender indicati sopra e revocare ciò che trova.