Across Bridge Hack: Gekaperte Domain zieht rund 350.000 Dollar aus Wallets auf sechs Blockchains

Die Across Bridge ist nicht an ihren Smart Contracts gescheitert, sondern an ihrer Internetadresse. Angreifer haben am Dienstagabend, 10. November, die Domain across.to übernommen und Besucher auf eine täuschend echte Phishing-Seite umgeleitet. Wer dort seine Wallet verbunden und eine Freigabe oder Signatur bestätigt hat, sollte seine Token-Freigaben jetzt prüfen und widerrufen. Across hat die Domain inzwischen zurück und verspricht allen Geschädigten eine volle Entschädigung.

Der Schaden liegt nach einer Schätzung der Sicherheitsfirma GoPlus bei rund 350.000 Dollar, verteilt auf sechs Blockchains. Across selbst nennt bisher weder eine eigene Summe noch die Zahl der Betroffenen. Für Krypto-Anleger in Deutschland zählt vor allem eines: Ziel des Angriffs waren die Wallets der Nutzer, das Protokoll selbst blieb unversehrt. Geld verloren hat nur, wer im Zeitfenster der Kaperung auf der gefälschten Seite unterschrieben hat. Wer seine Coins über eine regulierte Krypto-Börse zwischen den Netzen bewegt, war von diesem Angriffsweg nicht betroffen, weil die Börse den Netzwechsel intern abwickelt und keine Freigabe aus der eigenen Wallet verlangt.

Across Bridge: Was am 10. November passiert ist

Across ist eine Bridge, also ein Protokoll, das Token blockchainübergreifend verschiebt, etwa von Ethereum zu Arbitrum oder Base. Nutzer rufen dafür in der Regel die Weboberfläche unter across.to auf, verbinden ihre Wallet und bestätigen den Transfer. Genau diese Weboberfläche haben die Angreifer übernommen.

Nach der Darstellung von Across begann der Angriff am frühen Dienstagabend. Am selben Abend warnte das Team auf X, niemand solle die App aufrufen, eine Wallet verbinden oder Transaktionen und Freigaben signieren. Zu diesem Zeitpunkt meldeten bereits mehrere Nutzer leergeräumte Wallets. Laut Cointelegraph berichtete ein Nutzer von 9.000 USDC Verlust, ein anderer von 7.053 USDT0, die in sieben Transaktionen auf der Blockchain Plasma abgeflossen seien. Diese Einzelangaben stammen von den Betroffenen selbst und sind nicht unabhängig bestätigt.

Am Mittwochmorgen, 11. November, meldete Across Entwarnung: Die Domain sei wieder unter eigener Kontrolle, alle Systeme liefen normal. Das Team dankte dabei dem Gründer von Namecheap, Richard Kirkendall, der auf X reagiert, beim Sichern des Kontos geholfen und eine Untersuchung eröffnet habe.

Domain-Hijacking über den Registrar Namecheap

Ein Domain-Hijacking ist die Übernahme einer Internetadresse durch Unbefugte. Wer eine Domain kontrolliert, bestimmt über die DNS-Einträge, auf welchen Server sie zeigt. Das DNS ist das Adressbuch des Internets: Es übersetzt einen Namen wie across.to in die Adresse eines Servers. Ändert ein Angreifer diesen Eintrag, landen Besucher auf seinem Server, obwohl in der Adresszeile des Browsers die richtige Domain steht.

Across macht einen Social-Engineering-Angriff auf den Registrar Namecheap verantwortlich. Ein Registrar ist das Unternehmen, bei dem eine Domain registriert und verwaltet wird. Beim Social Engineering überlisten Angreifer Menschen statt Technik: Angreifer geben sich etwa als Kontoinhaber aus und bringen den Support dazu, Zugangsdaten zu ändern oder ein Konto zu übertragen. Wie genau das im Fall Across ablief, ist offen. Das Team erklärt, die Domain sei mit den üblichen Sicherheitsvorkehrungen geschützt gewesen, und kündigt die Einzelheiten für seinen Abschlussbericht an. Namecheap hat sich nach den vorliegenden Berichten öffentlich noch nicht zum Ablauf geäußert; die Ursache ist bisher allein die Darstellung von Across.

Auffällig ist das Tempo der Gegenwehr. Nach dem Bericht von crypto.news erhielt Across innerhalb von 15 Minuten eine Warnung. Die Sicherheitsgruppe SEAL 911 ließ across.to bei großen Wallet-Anbietern als Phishing-Seite markieren, Cloudflare stufte die Domain als gefährlich ein und entfernte die DNS-Einträge. Across schaltete die Weboberfläche und die Programmierschnittstelle vorübergehend ab, bis die Domain zurückgeholt war.

Rund 350.000 Dollar Schaden auf sechs Blockchains

GoPlus schätzt die Verluste auf knapp 350.000 Dollar. Betroffen waren nach dieser Schätzung Wallets auf Ethereum, Arbitrum, Base, BNB Chain, Ink und Plasma. Eine weitere Zahl von rund 294.000 Dollar kursiert in einzelnen Medien, ohne dass sich ihr Ursprung nachvollziehen lässt. Bis Across im Abschlussbericht eigene Werte vorlegt, ist die Größenordnung deshalb als Spanne zu lesen: einige hunderttausend Dollar, verteilt auf eine noch unbekannte Zahl von Wallets.

Gemessen an großen Bridge-Hacks wie dem Angriff auf die Ronin-Bridge 2022, bei dem über 600 Millionen Dollar aus den Verträgen selbst abflossen, ist die Summe klein. Für die einzelnen Betroffenen ändert das wenig, denn ein Drainer leert eine Wallet in der Regel vollständig, soweit die erteilten Freigaben reichen. Die gemeldeten Einzelfälle betreffen Stablecoins wie USDC und USDT0.

Approvals, Permits und Permit2: Welche Signaturen der Drainer nutzte

Ein Wallet-Drainer ist ein Programm auf einer Phishing-Seite, das Nutzer dazu bringt, ihm Zugriff auf ihre Token zu geben. Nach der Auswertung von GoPlus nutzte die gefälschte Across-Seite drei Wege, die bei solchen Angriffen typisch sind:

• Direkte Token-Freigabe (Approval): Eine Transaktion auf der Blockchain, die einer fremden Adresse erlaubt, Token eines bestimmten Typs aus der Wallet zu bewegen. Diese Freigabe kostet Gebühren und erscheint im Block-Explorer.
• EIP-2612-Permit: Eine Signatur, die außerhalb der Blockchain abgegeben wird und dieselbe Erlaubnis erteilt. Die Signatur kostet nichts und taucht zunächst nirgends auf. Erst wenn der Angreifer sie einreicht, wird aus ihr eine Freigabe.
• Permit2-Autorisierung: Permit2 ist ein weit verbreiteter Vertrag, über den viele Anwendungen Freigaben bündeln. Wer dort einmal zugestimmt hat, kann über eine weitere Signatur einzelnen Adressen Zugriff einräumen.

In einigen Fällen wurden Opfer nach Angaben von GoPlus auch dazu gebracht, Coins direkt an Adressen der Angreifer zu senden. Gemeinsam ist allen Wegen, dass die Wallet-Software nur anzeigt, was signiert wird, aber nicht, ob die Seite echt ist. Auf einer gekaperten Domain sieht alles aus wie immer. Wie solche Signaturen grundsätzlich funktionieren und woran du sie im Bestätigungsfenster erkennst, steht in unserem Ratgeber zu Wallet-Drainern und Freigaben.

Smart Contracts unberührt: Warum die Bridge selbst sicher blieb

Across betont, dass die Smart Contracts des Protokolls nicht betroffen waren. Das Geld in den Bridge-Verträgen und die Liquidität der Anbieter blieben unangetastet. Auch Nutzer der Programmierschnittstelle und Drittanwendungen, die Across im Hintergrund einbinden, waren nach Angaben des Teams nicht betroffen. Wer also über eine Wallet-App oder einen Aggregator gebrückt hat, der Across nur als Route nutzt, hat die gefälschte Seite nie gesehen.

Die Unterscheidung ist wichtig für die Frage, ob Guthaben in Bridge-Transfers gefährdet sind. Ein Transfer, der vor dem Angriff über die echte Seite gestartet wurde, lief über die unveränderten Verträge. Gefährlich war allein die Kombination aus drei Bedingungen: Aufruf von across.to im Zeitfenster, verbundene Wallet und eine bestätigte Signatur oder Transaktion.

Token-Freigaben widerrufen: So prüfst du deine Wallet

Wer am 10. oder 11. November auf across.to war, sollte die erteilten Freigaben seiner Wallet sofort kontrollieren. Der Ablauf dauert wenige Minuten:

1. Freigaben anzeigen: Gib deine Wallet-Adresse bei Revoke.cash oder im Token Approval Checker von Etherscan ein. Revoke.cash zeigt Freigaben über viele Netze hinweg, auch Permit2-Freigaben. Für Arbitrum und BNB Chain gibt es eigene Explorer mit derselben Funktion.
2. Verdächtige Einträge suchen: Achte auf Freigaben mit Datum 10. oder 11. November, auf unbekannte Empfängeradressen und auf „unbegrenzte“ Beträge. GoPlus hat mehrere Empfängeradressen des Angriffs als verdächtig markiert.
3. Widerrufen: Jeder Widerruf ist eine eigene kleine Transaktion, für die Gebühren im jeweiligen Netz anfallen. Auf Ethereum kostete ein Widerruf zuletzt nur Bruchteile eines Cents, wie unser Beitrag zum Widerrufen von Token-Freigaben vom September zeigt.
4. Bei Permit-Signaturen umziehen: Eine Permit-Signatur, die der Angreifer noch nicht eingereicht hat, erscheint in keiner Freigabeliste. Wer auf der gefälschten Seite eine Signatur abgegeben hat und noch Guthaben in der Wallet hält, ist mit einem Umzug auf eine neue Adresse auf der sicheren Seite.

Ein Widerruf schützt nur das, was noch in der Wallet liegt. Bereits abgezogene Token holt er nicht zurück. Er verhindert aber, dass der Drainer später erneut zugreift, etwa wenn neue Stablecoins auf die Adresse eingehen.

Entschädigung durch Across: Der Stand vor dem Post-Mortem

Across hat zugesagt, alle Betroffenen vollständig zu entschädigen. „All affected users will be made whole“, schrieb das Team am 11. November, verbunden mit der Ankündigung eines ausführlichen Post-Mortem in den kommenden Tagen. Ein Post-Mortem ist der Abschlussbericht nach einem Sicherheitsvorfall mit Zeitlinie, Ursache und Folgen. Bereits am Abend des Angriffs bat Across geschädigte Nutzer, Transaktionsdetails zu schicken.

Ein festes Verfahren mit Formular, Frist und Auszahlungsweg hat Across bisher nicht veröffentlicht. Sinnvoll ist deshalb, die eigenen Belege jetzt zu sichern: die Wallet-Adresse, die Transaktions-Hashes der abgeflossenen Beträge, Zeitpunkte und Screenshots aus dem Block-Explorer. Damit lässt sich eine Forderung belegen, sobald das Verfahren steht. Wer in Deutschland Geld verloren hat, kann zusätzlich Anzeige bei der Polizei erstatten, in den meisten Bundesländern auch über die Online-Wache.

Phishing-Warnungen und falsche Erstattungsseiten nach dem Angriff

Across weist darauf hin, dass einige Wallets und Browser die echte Seite noch eine Weile als Phishing-Seite markieren können. Grund sind die Sperrlisten, auf die SEAL 911 und Cloudflare die Domain während des Angriffs gesetzt haben. Diese Warnungen sollen nach Angaben des Teams bald verschwinden.

Nach Hacks mit Entschädigungszusage folgt häufig eine zweite Welle: gefälschte Erstattungsseiten, Direktnachrichten von angeblichen Support-Mitarbeitern und Formulare, die nach der Seed-Phrase fragen. Die Seed-Phrase ist die Wortliste, mit der sich eine Wallet vollständig wiederherstellen lässt. Kein seriöses Entschädigungsverfahren fragt nach ihr. Informationen zur Erstattung kommen ausschließlich über die offiziellen Kanäle von Across; Links aus Antworten unter den Beiträgen des Teams oder aus privaten Nachrichten gehören nicht dazu.

Registrar als Schwachstelle: Name.com, Namecheap und das DNS

Der Fall Across steht nicht allein. Erst Anfang November hatten Angreifer über den Registrar Name.com mehrere Domains übernommen und auf zwölf DeFi-Seiten einen Drainer platziert, wie wir in unserem Beitrag zu den gekaperten Name.com-Domains beschrieben haben. Das Muster ist dasselbe: Die Verträge auf der Blockchain sind sicher, die Weboberfläche davor nicht.

Für Nutzer heißt das, dass ein Lesezeichen allein nicht schützt, denn die Adresse stimmt ja. Schutz bieten eher Gewohnheiten: Freigaben nur in der benötigten Höhe erteilen statt unbegrenzt, größere Beträge auf einer Adresse halten, die nie mit DeFi-Seiten verbunden wird, und Freigaben regelmäßig aufräumen. Hardware-Wallets helfen insofern, als sie jede Signatur auf einem eigenen Display zeigen; eine bewusst bestätigte bösartige Freigabe verhindern sie nicht.

Across ist Anlegern in Deutschland zuletzt auch über den eigenen Token ACX begegnet: Bitvavo hatte ACX zum 27. Oktober aus dem Handel genommen, wie unser Bericht zum ACX-Delisting bei Bitvavo zeigt. Mit dem Domain-Angriff hat das nichts zu tun, der Token selbst war nicht Ziel des Drainers.

Across-Bridge-Hack: Bis zum Post-Mortem zählt die Freigabe-Kontrolle

1. Freigaben aufräumen: Kontrolliere alle Wallets, die du im Zeitfenster mit across.to verbunden hast, und widerrufe verdächtige Freigaben. Wer häufig zwischen Netzen wechselt, findet in unserem Vergleich der Software-Wallets Anbieter, die Signaturen vor dem Bestätigen verständlich anzeigen.
2. Belege sichern: Notiere Adresse, Transaktions-Hashes und Zeitpunkte, damit du deine Entschädigung bei Across belegen kannst, sobald das Verfahren veröffentlicht ist.
3. Netzwechsel ohne eigene Freigabe: Wer Coins nur gelegentlich zwischen Blockchains bewegt, kann das über eine Börse erledigen, die Ein- und Auszahlungen auf mehreren Netzen anbietet. Welche Anbieter das zu welchen Gebühren können, zeigt der Vergleich der besten Krypto-Börsen.

(Stand: 11. November 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)