Un sofisticado ataque de ingeniería social contra el registrador de dominios Namecheap permitió a ciberdelincuentes secuestrar el dominio oficial de Across Protocol (across.to) el pasado martes 10 de noviembre de 2026, haciendo lo que se conoce como secuestro de DNS (o redirección de DNS), en inglés DNS hijacking.
Aunque los contratos inteligentes y la liquidez del puente entre cadenas permanecieron intactos, la breve suplantación de su interfaz web provocó el drenaje de aproximadamente 350.000 dólares en múltiples redes blockchain, reabriendo el debate sobre la dependencia de infraestructura Web2 en el ecosistema cripto.
El incidente se desencadenó aproximadamente a las 18:45 UTC del 10 de noviembre, cuando actores maliciosos lograron comprometer la cuenta administrativa de Across en Namecheap mediante técnicas de ingeniería social, burlando los controles de seguridad y bloqueos de dominio que el protocolo tenía configurados.
Una vez obtenido el control de los registros del Sistema de Nombres de Dominio (DNS), los atacantes redirigieron el tráfico legítimo de across.to hacia un servidor clonado que albergaba un wallet drainer, un software malicioso diseñado para vaciar las carteras digitales de los usuarios que interactúan con la página.
🚨 ALERT 🚨 We’re currently investigating an issue with the Across domain. Do NOT visit the app, connect your wallet, or sign any transaction or approval there until further notice. We will post updates as we have them.
— Across (@AcrossProtocol) November 10, 2026
La respuesta del equipo de ingeniería y seguridad de Across Protocol fue casi inmediata. Según el reporte preliminar publicado por la organización en la red social X, la anomalía fue detectada en menos de 15 minutos tras el inicio del secuestro.
De inmediato, activaron protocolos de emergencia junto con la alianza de respuesta rápida SEAL911 y el proveedor de infraestructura Cloudflare. SEAL911 alertó a los principales proveedores de billeteras digitales —como MetaMask y Rabby— para marcar el dominio como un sitio de phishing, mientras que Cloudflare catalogó la dirección como de alto riesgo y procedió a eliminar los registros DNS maliciosos para cortar el acceso de los visitantes a la web fraudulenta.
Sin embargo, el lapso previo al bloqueo total fue suficiente para que un grupo de usuarios conectara sus carteras y autorizara operaciones maliciosas con sus wallets. De acuerdo con los análisis forenses publicados por la firma de seguridad blockchain GoPlus, las pérdidas estimadas ascienden a cerca de 350.000 dólares distribuidos en seis ecosistemas: Ethereum, Arbitrum, Base, BNB Chain, Ink y Plasma.
🚨 GoPlus Security Alert: At approximately 18:45 UTC on November 10, 2026, Across suffered a DNS hijacking attack. The attacker gained control of Across’s domain through a social engineering attack targeting Namecheap and replaced the official Across website with a phishing site. ⚠️ Total user losses are estimated at $350,000, with funds stolen from user wallets on Ethereum, Arbitrum, Base, BNB Chain, Ink, and Plasma. The malicious phishing page lured users into signing one or more of the following types of authorizations or transactions: 1. EIP-2612 permit: The attacker submits users’ off-chain signatures on their behalf, then calls transferFrom to transfer their tokens. 2. Permit2 authorization: A malicious spender transfers users’ assets through the canonical Permit2 contract. 3. Direct approve calls or other transaction-based authorizations. 4. In some cases, users may also be tricked into transferring funds directly. Malicious spender addresses used by the attacker—check and revoke any associated approvals immediately: 0x46a2a474d4c22bf1ae4f8fa55da7a58673472be2 0xdbd7fbe5b7cd56f99c059dc24052009d2626125c 0x5ff35703c22533398d5c7ce7acd32a04ac8462da 0x2ff67cddd9ff45e0b47957d9d7c19b0732f9c514 0x373c415ef034bb620e8d720afd2ace26bca13529 0xdcd65e3a8f3b73c7e2f40dbab1fb95dbef871d6c 0x3ef438c34ce51a697a24247fe033c4562c94f0fd 0x0c894c253c62eda066197011efd73b632dc96263 Addresses identified by Across as recipients of stolen funds: 0x2846e69d3298e99eddf2fd8116e952844da11fde 0x0c7c656126aa62625fdd8051eb69dc14aee8d37b 0x3ef438c34ce51a697a24247fe033c4562c94f0fd 0xa0e6c7d79b74d1a6d366dd11309b6faafda05ac5 🚑 Recovery Update: At 01:16:45 UTC on November 11, 2026, Across announced that it had regained control of its domain and restored its systems. It also committed to compensating affected users. A full post-mortem report will follow. 🛡️ Security Recommendations: 1. Stay alert if a website behaves unexpectedly or differs from your previous experience. DNS hijacking can redirect you to a malicious clone of the legitimate site. 2. If you signed a suspicious transaction or noticed an unexpected transfer, investigate the cause immediately and move your remaining assets to a newly created, secure wallet as soon as possible. 3. Use tools such as the GoPlus security extension to check and revoke suspicious approvals as soon as possible.
— GoPlus Security 🚦 (@GoPlusSecurity) November 11, 2026
En una extensa publicación en X, los investigadores detallaron que el sitio falso persuadió a las víctimas para firmar permisos bajo estándares como EIP-2612, autorizaciones Permit2 y aprobaciones directas de tokens, mecanismos que permiten a un tercero autorizado transferir fondos sin requerir nuevas confirmaciones por parte del propietario de la billetera.
En algunos casos puntuales, los usuarios que fueron víctimas del secuestro de DNS del dominio de “across.to”, también fueron engañados para transferir activos directamente hacia direcciones controladas por los atacantes.
Durante varias horas, la recuperación definitiva del dominio se vio obstaculizada por la falta de respuesta oportuna del soporte técnico de Namecheap, lo que obligó a Across a mantener desconectados tanto su interfaz principal como sus servicios de API como medida preventiva.
@hal2001 @Namecheap @Cloudflare We have someone on this now. Domain will remain locked but previous(before current changes) will be restored asap.
— Richard Kirkendall (@synth) November 11, 2026
Finalmente, la situación logró destrabarse gracias a la intervención directa del fundador de Namecheap, Richard Kirkendall (@synth), tras una escalada pública de la situación en las redes sociales y especialmente en X.
Con su asistencia, el equipo de Across aseguró nuevamente la cuenta del registrador, restableció los registros legítimos y devolvió la operatividad completa a la plataforma en la noche del mismo martes, confirmando la restauración total hacia la madrugada del miércoles 11 de noviembre.
Desde el punto de vista técnico, Across Protocol enfatizó que la arquitectura central del puente nunca estuvo comprometida por esta situación, ya que el ataque se llevó a cabo a nivel del dominio de Internet.
De hecho, Across Protocol es uno de los puentes (bridges) y protocolos de interoperabilidad cruzada más eficientes, rápidos y seguros dentro del ecosistema cripto y de las finanzas descentralizadas (DeFi), permitiendo a los usuarios transferir activos y tokens de manera instantánea y económica entre diferentes redes blockchain (como Ethereum, Arbitrum, Optimism, Base, Polygon, entre otras).
Como uno de los principales protocolos de interoperabilidad del mercado —ocupando el tercer puesto global por volumen de transferencias en los últimos 30 días con alrededor de 5.900 millones de dólares procesados, según datos de DefiLlama.
Los puentes tradicionales suelen ser lentos, costosos o requerir bloqueos de capital complejos que los exponen a hackeos. Across resuelve este problema permitiendo transferencias que normalmente tardan apenas un par de segundos con comisiones muy bajas. Además, Across opera mediante una red descentralizada de retransmisores (relayers) y contratos inteligentes inmutables respaldados por el oráculo optimista de UMA.
Por ello, tanto las integraciones de terceros como los agregadores que enrutaron operaciones a través de su API durante el incidente operaron con total normalidad y sin riesgo para los fondos. Pero, este episodio se suma a una preocupante ola de ataques dirigidos contra interfaces de aplicaciones descentralizadas.
Apenas días antes, el 31 de octubre, la firma Blockaid había advertido sobre una campaña coordinada que comprometió al menos una docena de sitios web DeFi mediante secuestros de DNS para desplegar herramientas de drenaje de billeteras.
Para Across, además, representa su segundo reto de seguridad en el año, tras el incidente registrado en julio en su servidor de retransmisión en Solana, un evento de naturaleza completamente distinta que involucró la falsificación de mensajes de depósito y que fue contenido tras pérdidas netas inferiores a los 4 millones de dólares.
Tras restablecer el servicio, Across Protocol emitió una guía urgente instando a cualquier usuario que hubiera visitado across.to durante la ventana del ataque a revisar y cancelar sus autorizaciones activas mediante herramientas como Revoke.cash, advirtiendo que las firmas fuera de la cadena pueden seguir representando un vector de riesgo si no se gestionan adecuadamente.
Across is fully restored, and all systems are operational. https://t.co/izHJ8GP3PH is back under our control, and all Across systems are working normally. Thank you to the Namecheap founder, @synth for responding on X, helping us secure our account and opening an investigation into how this happened. All affected users will be made whole. We’ll share a full post-mortem in the coming days. While the domain was compromised, @SEAL_911 helped us get https://t.co/izHJ8GP3PH flagged as phishing. If you still see a warning in your wallet or browser, it should clear soon. We will only communicate through official Across channels. Don’t trust messages, links or DMs from any other source claiming to be from the team.
— Across (@AcrossProtocol) November 11, 2026
Asimismo, la organización se comprometió a reembolsar el 100% de las pérdidas a los usuarios afectados una vez verificados los registros de transacciones, al tiempo que alertó sobre la aparición de cuentas falsas que intentan suplantar al equipo oficial ofreciendo enlaces fraudulentos de compensación.
El caso de Across demuestra de nuevo que la industria Web3, todavía está lejos de ser segura porque mientras los protocolos invierten millones de dólares en auditorías criptográficas para blindar sus contratos inteligentes en la blockchain, su capa de acceso público sigue dependiendo de proveedores centralizados de Internet tradicionales.
La facilidad con la que un ataque de ingeniería social contra un registrador puede neutralizar las defensas de un protocolo multimillonario subraya la urgencia de adoptar estándares más estrictos de autenticación, registros descentralizados y mecanismos de verificación de interfaces antes de que el secuestro de dominios se consolide como el vector predilecto del cibercrimen cripto.