Across Bridge-hack: gekaapt domein haalt zo’n 350.000 dollar uit wallets op zes blockchains

De Across Bridge is niet bezweken door haar smart contracts, maar door haar internetadres. Op dinsdagavond 10 november namen aanvallers het domein across.to over en stuurden bezoekers door naar een bedrieglijk echte phishingsite. Wie daar zijn wallet koppelde en een goedkeuring of handtekening bevestigde, doet er goed aan zijn tokengoedkeuringen nu te controleren en in te trekken. Across heeft het domein inmiddels terug en belooft alle gedupeerden volledige schadevergoeding.

De schade bedraagt volgens een schatting van beveiligingsbedrijf GoPlus zo’n 350.000 dollar, verspreid over zes blockchains. Across zelf noemt tot nu toe geen eigen bedrag en ook niet het aantal getroffenen. Voor cryptobeleggers telt vooral één ding: doelwit van de aanval waren de wallets van de gebruikers, het protocol zelf bleef ongeschonden. Geld verloor alleen wie in de periode van de kaping op de valse site ondertekende. Wie zijn coins via een gereguleerde cryptobeurs tussen netwerken verplaatst, liep via deze aanvalsroute geen risico, omdat de beurs de netwerkwissel intern afhandelt en geen goedkeuring vanuit de eigen wallet vraagt.

Across Bridge: wat er op 10 november gebeurde

Across is een bridge, een protocol dat tokens tussen blockchains verplaatst, bijvoorbeeld van Ethereum naar Arbitrum of Base. Gebruikers openen daarvoor meestal de webinterface op across.to, koppelen hun wallet en bevestigen de overdracht. Juist die webinterface hebben de aanvallers overgenomen.

Volgens Across begon de aanval vroeg op dinsdagavond. Diezelfde avond waarschuwde het team op X dat niemand de app moest openen, een wallet moest koppelen of transacties en goedkeuringen moest ondertekenen. Op dat moment meldden al meerdere gebruikers leeggehaalde wallets. Volgens Cointelegraph meldde één gebruiker een verlies van 9.000 USDC, een ander 7.053 USDT0, die in zeven transacties op de blockchain Plasma waren weggevloeid. Deze afzonderlijke bedragen komen van de getroffenen zelf en zijn niet onafhankelijk bevestigd.

Op woensdagochtend 11 november gaf Across het sein veilig: het domein was weer in eigen handen en alle systemen draaiden normaal. Het team bedankte daarbij de oprichter van Namecheap, Richard Kirkendall, die op X had gereageerd, had geholpen het account te beveiligen en een onderzoek had geopend.

Domeinkaping via registrar Namecheap

Een domeinkaping is de overname van een internetadres door onbevoegden. Wie een domein beheert, bepaalt via de DNS-records naar welke server het verwijst. Het DNS is het adresboek van het internet: het vertaalt een naam als across.to naar het adres van een server. Wijzigt een aanvaller dat record, dan komen bezoekers op zijn server terecht, hoewel de adresbalk van de browser het juiste domein toont.

Across wijst een social-engineeringaanval op registrar Namecheap aan als oorzaak. Een registrar is het bedrijf waar een domein is geregistreerd en wordt beheerd. Bij social engineering misleiden aanvallers mensen in plaats van techniek: ze doen zich bijvoorbeeld voor als accounthouder en bewegen de klantenservice ertoe inloggegevens te wijzigen of een account over te dragen. Hoe dat bij Across precies verliep, is onduidelijk. Het team verklaart dat het domein met de gebruikelijke veiligheidsmaatregelen was beschermd en kondigt de details aan voor zijn eindrapport. Namecheap heeft zich volgens de beschikbare berichten nog niet openlijk over het verloop uitgelaten; de oorzaak is tot nu toe alleen de lezing van Across.

Opvallend is het tempo van de tegenmaatregelen. Volgens crypto.news kreeg Across binnen 15 minuten een waarschuwing. De beveiligingsgroep SEAL 911 liet across.to bij grote walletaanbieders als phishingsite markeren, Cloudflare stufte het domein als gevaarlijk in en verwijderde de DNS-records. Across schakelde de webinterface en de programmeerinterface tijdelijk uit tot het domein was teruggehaald.

Zo’n 350.000 dollar schade op zes blockchains

GoPlus schat de verliezen op net geen 350.000 dollar. Volgens die schatting waren wallets op Ethereum, Arbitrum, Base, BNB Chain, Ink en Plasma getroffen. Een ander bedrag van zo’n 294.000 dollar circuleert in enkele media, zonder dat de herkomst ervan te achterhalen is. Tot Across in het eindrapport eigen cijfers presenteert, is de omvang daarom als bandbreedte te lezen: enkele honderdduizenden dollars, verspreid over een nog onbekend aantal wallets.

Vergeleken met grote bridge-hacks zoals de aanval op de Ronin-bridge in 2022, waarbij meer dan 600 miljoen dollar uit de contracten zelf wegvloeide, is het bedrag klein. Voor de afzonderlijke getroffenen verandert dat weinig, want een drainer haalt een wallet doorgaans volledig leeg, voor zover de verleende goedkeuringen reiken. De gemelde afzonderlijke gevallen betreffen stablecoins zoals USDC en USDT0.

Approvals, permits en Permit2: welke handtekeningen de drainer gebruikte

Een wallet drainer is een programma op een phishingsite dat gebruikers ertoe brengt het toegang tot hun tokens te geven. Volgens de analyse van GoPlus gebruikte de valse Across-site drie routes die bij zulke aanvallen gebruikelijk zijn:

• Directe tokengoedkeuring (approval): een transactie op de blockchain die een vreemd adres toestaat tokens van een bepaald type uit de wallet te verplaatsen. Deze goedkeuring kost transactiekosten en verschijnt in de block explorer.
• EIP-2612-permit: een handtekening die buiten de blockchain wordt gegeven en dezelfde toestemming verleent. De handtekening kost niets en duikt eerst nergens op. Pas als de aanvaller haar indient, wordt ze een goedkeuring.
• Permit2-autorisatie: Permit2 is een veelgebruikt contract waarmee veel applicaties goedkeuringen bundelen. Wie daar eenmaal heeft ingestemd, kan via een extra handtekening afzonderlijke adressen toegang geven.

In sommige gevallen werden slachtoffers volgens GoPlus ook verleid om coins rechtstreeks naar adressen van de aanvallers te sturen. Gemeen hebben alle routes dat de walletsoftware alleen laat zien wat er wordt ondertekend, maar niet of de site echt is. Op een gekaapt domein ziet alles er uit zoals altijd. Hoe zulke handtekeningen werken en hoe je ze herkent, lees je bij de grote walletaanbieders en in de documentatie van Revoke.cash.

Smart contracts onaangetast: waarom de bridge zelf veilig bleef

Across benadrukt dat de smart contracts van het protocol niet zijn getroffen. Het geld in de bridgecontracten en de liquiditeit van de aanbieders bleven onaangeroerd. Ook gebruikers van de programmeerinterface en apps van derden die Across op de achtergrond inbouwen, waren volgens het team niet getroffen. Wie dus via een wallet-app of een aggregator bridgede die Across alleen als route gebruikt, heeft de valse site nooit gezien.

Het onderscheid is belangrijk voor de vraag of tegoeden in bridge-overdrachten gevaar lopen. Een overdracht die vóór de aanval via de echte site was gestart, liep via de ongewijzigde contracten. Gevaarlijk was alleen de combinatie van drie voorwaarden: across.to bezoeken in de betreffende periode, een gekoppelde wallet en een bevestigde handtekening of transactie.

Tokengoedkeuringen intrekken: zo controleer je je wallet

Wie op 10 of 11 november op across.to was, controleert het best meteen de verleende goedkeuringen van zijn wallet. Dat kost een paar minuten:

1. Goedkeuringen tonen: voer je walletadres in bij Revoke.cash of in de Token Approval Checker van Etherscan. Revoke.cash toont goedkeuringen over veel netwerken heen, ook Permit2-goedkeuringen. Voor Arbitrum en BNB Chain zijn er eigen explorers met dezelfde functie.
2. Verdachte posten zoeken: let op goedkeuringen met datum 10 of 11 november, op onbekende ontvangstadressen en op ‘onbeperkte’ bedragen. GoPlus heeft meerdere ontvangstadressen van de aanval als verdacht gemarkeerd.
3. Intrekken: elke intrekking is een eigen kleine transactie, waarvoor kosten op het betreffende netwerk gelden. Op Ethereum kostte een intrekking onlangs slechts fracties van een cent.
4. Bij permit-handtekeningen verhuizen: een permit-handtekening die de aanvaller nog niet heeft ingediend, staat in geen enkele lijst met goedkeuringen. Wie op de valse site een handtekening gaf en nog tegoed in de wallet heeft, zit met een verhuizing naar een nieuw adres aan de veilige kant.

Een intrekking beschermt alleen wat nog in de wallet staat. Al weggehaalde tokens haalt ze niet terug. Ze voorkomt wel dat de drainer later opnieuw toeslaat, bijvoorbeeld als er nieuwe stablecoins op het adres binnenkomen.

Schadevergoeding door Across: de stand vóór de post-mortem

Across heeft toegezegd alle getroffenen volledig schadeloos te stellen. “All affected users will be made whole” (alle getroffen gebruikers worden volledig gecompenseerd), schreef het team op 11 november, samen met de aankondiging van een uitgebreide post-mortem in de komende dagen. Een post-mortem is het eindrapport na een beveiligingsincident, met tijdlijn, oorzaak en gevolgen. Al op de avond van de aanval vroeg Across gedupeerde gebruikers om transactiegegevens te sturen.

Een vaste procedure met formulier, termijn en uitbetalingsroute heeft Across nog niet gepubliceerd. Het is daarom verstandig je eigen bewijs nu veilig te stellen: het walletadres, de transactiehashes van de weggevloeide bedragen, tijdstippen en screenshots uit de block explorer. Daarmee kun je een claim onderbouwen zodra de procedure er is. Wie geld is kwijtgeraakt, kan daarnaast aangifte doen bij de politie, vaak ook online.

Phishingwaarschuwingen en valse terugbetalingssites na de aanval

Across wijst erop dat sommige wallets en browsers de echte site nog een tijd als phishingsite kunnen markeren. Oorzaak zijn de blokkeerlijsten waarop SEAL 911 en Cloudflare het domein tijdens de aanval hebben gezet. Die waarschuwingen moeten volgens het team binnenkort verdwijnen.

Na hacks met een toezegging van schadevergoeding volgt vaak een tweede golf: valse terugbetalingssites, directe berichten van zogenaamde supportmedewerkers en formulieren die om de seedphrase vragen. De seedphrase is de woordenlijst waarmee een wallet volledig kan worden hersteld. Geen enkele serieuze schadevergoedingsprocedure vraagt erom. Informatie over terugbetaling komt uitsluitend via de officiële kanalen van Across; links in reacties onder de berichten van het team of in privéberichten horen daar niet bij.

Registrar als zwakke plek: Name.com, Namecheap en het DNS

De zaak-Across staat niet op zichzelf. Begin november namen aanvallers al via registrar Name.com meerdere domeinen over en plaatsten ze op twaalf DeFi-sites een drainer, zoals we beschreven in ons artikel over de gekaapte Name.com-domeinen. Het patroon is hetzelfde: de contracten op de blockchain zijn veilig, de webinterface ervoor niet.

Voor gebruikers betekent dat dat een bladwijzer alleen niet beschermt, want het adres klopt immers. Bescherming bieden eerder gewoonten: goedkeuringen alleen voor het benodigde bedrag geven in plaats van onbeperkt, grotere bedragen op een adres houden dat nooit met DeFi-sites wordt verbonden, en goedkeuringen regelmatig opruimen. Hardware wallets helpen in zoverre dat ze elke handtekening op een eigen scherm tonen; een bewust bevestigde kwaadaardige goedkeuring voorkomen ze niet.

Beleggers kwamen Across onlangs ook tegen via de eigen token ACX: Bitvavo haalde ACX per 27 oktober uit de handel, zoals ons artikel over de ACX-delisting bij Bitvavo laat zien. Met de domeinaanval heeft dat niets te maken, de token zelf was geen doelwit van de drainer.

Across Bridge-hack: tot de post-mortem telt de controle van goedkeuringen

1. Goedkeuringen opruimen: controleer alle wallets die je in de betreffende periode met across.to hebt verbonden en trek verdachte goedkeuringen in. Wie vaak tussen netwerken wisselt, kiest bij voorkeur een softwarewallet die handtekeningen vóór het bevestigen begrijpelijk weergeeft.
2. Bewijs bewaren: noteer adres, transactiehashes en tijdstippen, zodat je je schadevergoeding bij Across kunt onderbouwen zodra de procedure is gepubliceerd.
3. Netwerk wisselen zonder eigen goedkeuring: wie coins maar af en toe tussen blockchains verplaatst, kan dat via een beurs doen die stortingen en opnames op meerdere netwerken aanbiedt. Welke aanbieders dat kunnen en tegen welke kosten, verschilt per platform; vergelijk de voorwaarden vooraf.

(Per 11 november 2026. Dit artikel is geen beleggingsadvies. Koersen en tarieven veranderen; controleer de voorwaarden bij de aanbieder voordat je koopt.)