Hackeo del puente Across: un dominio secuestrado vacía unos 350.000 dólares de wallets en seis blockchains

El puente Across no ha fallado por sus smart contracts, sino por su dirección de internet. El martes 10 de noviembre por la noche, unos atacantes se hicieron con el dominio across.to y redirigieron a los visitantes a una página de phishing muy convincente. Quien conectó allí su wallet y confirmó una aprobación o una firma debería revisar y revocar ahora sus aprobaciones de tokens. Across ha recuperado ya el dominio y promete una compensación total a todos los afectados.

Según una estimación de la empresa de seguridad GoPlus, el daño ronda los 350.000 dólares, repartidos en seis blockchains. Across no ha dado hasta ahora ni una cifra propia ni el número de afectados. Para los inversores en criptomonedas cuenta sobre todo una cosa: el objetivo del ataque eran las wallets de los usuarios, y el protocolo en sí quedó intacto. Solo perdió dinero quien firmó en la página falsa durante el periodo del secuestro. Quien mueve sus criptos entre redes a través de un exchange cripto regulado no estuvo expuesto a esta vía de ataque, porque el exchange gestiona el cambio de red internamente y no exige ninguna aprobación desde tu propia wallet.

Puente Across: qué pasó el 10 de noviembre

Across es un puente, es decir, un protocolo que traslada tokens entre blockchains, por ejemplo de Ethereum a Arbitrum o Base. Para ello, los usuarios suelen abrir la interfaz web en across.to, conectan su wallet y confirman la transferencia. Fue precisamente esa interfaz web la que tomaron los atacantes.

Según Across, el ataque empezó a primera hora de la noche del martes. Esa misma noche, el equipo advirtió en X de que nadie debía abrir la aplicación, conectar una wallet ni firmar transacciones o aprobaciones. Para entonces, varios usuarios ya informaban de wallets vaciadas. Según Cointelegraph, un usuario declaró una pérdida de 9.000 USDC y otro de 7.053 USDT0, que salieron en siete transacciones en la blockchain Plasma. Estos datos individuales proceden de los propios afectados y no se han confirmado de forma independiente.

El miércoles 11 de noviembre por la mañana, Across dio por superada la alerta: el dominio volvía a estar bajo su control y todos los sistemas funcionaban con normalidad. El equipo dio las gracias al fundador de Namecheap, Richard Kirkendall, que había respondido en X, ayudado a asegurar la cuenta y abierto una investigación.

Secuestro de dominio a través del registrador Namecheap

Un secuestro de dominio es la toma de una dirección de internet por parte de personas no autorizadas. Quien controla un dominio decide, mediante los registros DNS, a qué servidor apunta. El DNS es la guía de direcciones de internet: traduce un nombre como across.to en la dirección de un servidor. Si un atacante cambia ese registro, los visitantes llegan a su servidor aunque la barra de direcciones del navegador muestre el dominio correcto.

Across atribuye lo ocurrido a un ataque de ingeniería social contra el registrador Namecheap. Un registrador es la empresa en la que se registra y gestiona un dominio. En la ingeniería social, los atacantes engañan a personas en lugar de a la tecnología: se hacen pasar, por ejemplo, por el titular de la cuenta y consiguen que el servicio de soporte cambie las credenciales o transfiera una cuenta. Cómo se desarrolló exactamente en el caso de Across no está claro. El equipo afirma que el dominio estaba protegido con las medidas de seguridad habituales y anuncia los detalles para su informe final. Según la información disponible, Namecheap aún no se ha pronunciado públicamente sobre lo ocurrido; por ahora, la causa se basa solo en la versión de Across.

Llama la atención la rapidez de la respuesta. Según crypto.news, Across recibió un aviso en menos de 15 minutos. El grupo de seguridad SEAL 911 hizo que los grandes proveedores de wallets marcaran across.to como página de phishing, Cloudflare catalogó el dominio como peligroso y eliminó los registros DNS. Across desactivó temporalmente su interfaz web y su interfaz de programación hasta recuperar el dominio.

Unos 350.000 dólares de pérdidas en seis blockchains

GoPlus calcula las pérdidas en algo menos de 350.000 dólares. Según esta estimación, se vieron afectadas wallets en Ethereum, Arbitrum, Base, BNB Chain, Ink y Plasma. En algunos medios circula otra cifra de unos 294.000 dólares, sin que pueda rastrearse su origen. Hasta que Across presente sus propios datos en el informe final, la magnitud debe leerse como un rango: unos cientos de miles de dólares, repartidos en un número aún desconocido de wallets.

Comparada con grandes hackeos de puentes como el ataque al puente Ronin en 2022, en el que salieron más de 600 millones de dólares de los propios contratos, la suma es pequeña. Para cada afectado eso cambia poco, porque un drainer suele vaciar una wallet por completo hasta donde llegan las aprobaciones concedidas. Los casos individuales notificados afectan a stablecoins como USDC y USDT0.

Approvals, permits y Permit2: las firmas que utilizó el drainer

Un wallet drainer es un programa alojado en una página de phishing que lleva a los usuarios a darle acceso a sus tokens. Según el análisis de GoPlus, la página falsa de Across utilizaba tres vías típicas de este tipo de ataques:

• Aprobación directa de tokens (approval): una transacción en la blockchain que permite a una dirección ajena mover tokens de un tipo concreto desde la wallet. Esta aprobación tiene comisiones y aparece en el explorador de bloques.
• Permit EIP-2612: una firma que se da fuera de la blockchain y que concede el mismo permiso. No cuesta nada y al principio no aparece en ninguna parte. Solo cuando el atacante la presenta se convierte en una aprobación.
• Autorización Permit2: Permit2 es un contrato muy extendido con el que muchas aplicaciones agrupan aprobaciones. Quien lo ha aprobado una vez puede conceder acceso a direcciones concretas con una firma adicional.

En algunos casos, según GoPlus, se llevó a las víctimas a enviar criptos directamente a direcciones de los atacantes. Todas estas vías tienen en común que el software de la wallet solo muestra lo que se firma, no si la página es auténtica. En un dominio secuestrado todo parece normal. Cómo funcionan en principio estas firmas y cómo reconocerlas en la ventana de confirmación se explica en nuestra guía sobre wallet drainers y aprobaciones.

Smart contracts intactos: por qué el puente en sí siguió siendo seguro

Across subraya que los smart contracts del protocolo no se vieron afectados. El dinero de los contratos del puente y la liquidez de los proveedores quedaron intactos. Tampoco se vieron afectados, según el equipo, los usuarios de la interfaz de programación ni las aplicaciones de terceros que integran Across en segundo plano. Quien hizo una transferencia a través de una app de wallet o de un agregador que solo usa Across como ruta nunca vio la página falsa.

La distinción es importante para saber si hay saldos en riesgo en transferencias por el puente. Una transferencia iniciada antes del ataque a través de la web auténtica pasó por los contratos sin cambios. El peligro estaba solo en la combinación de tres condiciones: visitar across.to durante ese periodo, tener la wallet conectada y confirmar una firma o una transacción.

Revocar aprobaciones de tokens: cómo revisar tu wallet

Si estuviste en across.to el 10 o el 11 de noviembre, revisa de inmediato las aprobaciones concedidas por tu wallet. El proceso lleva unos minutos:

1. Ver las aprobaciones: introduce la dirección de tu wallet en Revoke.cash o en el Token Approval Checker de Etherscan. Revoke.cash muestra aprobaciones en muchas redes, también las de Permit2. Arbitrum y BNB Chain tienen exploradores propios con la misma función.
2. Buscar entradas sospechosas: fíjate en aprobaciones con fecha del 10 o el 11 de noviembre, en direcciones de destino desconocidas y en importes «ilimitados». GoPlus ha marcado como sospechosas varias direcciones de destino del ataque.
3. Revocar: cada revocación es una pequeña transacción propia que genera comisiones en la red correspondiente. En Ethereum, una revocación costaba últimamente solo fracciones de céntimo, como muestra nuestro artículo de septiembre sobre cómo revocar aprobaciones de tokens.
4. Cambiar de dirección tras firmas permit: una firma permit que el atacante aún no ha presentado no aparece en ninguna lista de aprobaciones. Si firmaste en la página falsa y aún tienes saldo en la wallet, trasladarte a una dirección nueva es la opción segura.

Una revocación solo protege lo que sigue en la wallet. No recupera los tokens ya retirados. Pero impide que el drainer vuelva a acceder más adelante, por ejemplo cuando lleguen nuevas stablecoins a la dirección.

Compensación de Across: la situación antes del post-mortem

Across se ha comprometido a compensar por completo a todos los afectados. «All affected users will be made whole» (todos los usuarios afectados serán compensados íntegramente), escribió el equipo el 11 de noviembre, junto con el anuncio de un post-mortem detallado en los próximos días. Un post-mortem es el informe final tras un incidente de seguridad, con cronología, causa y consecuencias. Ya la noche del ataque, Across pidió a los usuarios perjudicados que enviaran los datos de sus transacciones.

Across no ha publicado todavía un procedimiento fijo con formulario, plazo y forma de pago. Por eso conviene asegurar ahora tus propias pruebas: la dirección de la wallet, los hashes de las transacciones de los importes retirados, las horas y capturas de pantalla del explorador de bloques. Así podrás respaldar una reclamación en cuanto exista el procedimiento. Si has perdido dinero, puedes además presentar una denuncia ante la policía de tu país, en muchos casos también en línea.

Avisos de phishing y falsas páginas de reembolso tras el ataque

Across advierte de que algunas wallets y navegadores pueden seguir marcando durante un tiempo la página auténtica como phishing. El motivo son las listas de bloqueo en las que SEAL 911 y Cloudflare incluyeron el dominio durante el ataque. Según el equipo, estos avisos deberían desaparecer pronto.

A los hackeos con promesa de compensación suele seguirles una segunda oleada: falsas páginas de reembolso, mensajes directos de supuestos empleados de soporte y formularios que piden la frase semilla. La frase semilla es la lista de palabras con la que se puede restaurar por completo una wallet. Ningún procedimiento de compensación serio la pide. La información sobre reembolsos llega exclusivamente por los canales oficiales de Across; los enlaces en respuestas a las publicaciones del equipo o en mensajes privados no forman parte de ellos.

El registrador como punto débil: Name.com, Namecheap y el DNS

El caso Across no es aislado. A principios de noviembre, unos atacantes se hicieron con varios dominios a través del registrador Name.com y colocaron un drainer en doce webs DeFi, como describimos en nuestro artículo sobre los dominios de Name.com secuestrados. El patrón es el mismo: los contratos en la blockchain son seguros, la interfaz web que tienen delante no.

Para los usuarios, esto significa que un marcador por sí solo no protege, porque la dirección es la correcta. Protegen más los hábitos: conceder aprobaciones solo por el importe necesario y no ilimitadas, guardar los importes grandes en una dirección que nunca se conecte a webs DeFi y limpiar las aprobaciones con regularidad. Los monederos hardware ayudan en la medida en que muestran cada firma en su propia pantalla; no impiden una aprobación maliciosa confirmada a sabiendas.

Los inversores también se han topado últimamente con Across a través de su propio token, ACX: Bitvavo retiró ACX de la negociación el 27 de octubre, como muestra nuestra información sobre la retirada de ACX en Bitvavo. No tiene nada que ver con el ataque al dominio; el token en sí no era el objetivo del drainer.

Hackeo del puente Across: hasta el post-mortem, lo primero es revisar las aprobaciones

1. Limpia las aprobaciones: revisa todas las wallets que conectaste a across.to durante ese periodo y revoca las aprobaciones sospechosas. Si cambias a menudo de red, nuestra comparativa de wallets de software recoge proveedores que muestran las firmas de forma comprensible antes de confirmar.
2. Guarda las pruebas: anota la dirección, los hashes de las transacciones y las horas para poder acreditar tu compensación ante Across en cuanto se publique el procedimiento.
3. Cambia de red sin aprobación propia: si solo mueves criptos entre blockchains de vez en cuando, puedes hacerlo a través de un exchange que ofrezca depósitos y retiradas en varias redes. Qué proveedores lo permiten y con qué comisiones lo muestra la comparativa de los mejores exchanges de criptomonedas.

(11 de noviembre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)