Al menos 12 sitios web de finanzas descentralizadas fueron secuestrados en un ataque coordinado después de que hackers alteraron los registros del sistema de nombres de dominio a nivel del registrador. Los contratos inteligentes utilizados por los proyectos afectados no fueron vulnerados; en cambio, los atacantes apuntaron a los dominios que dirigen a los usuarios hacia los sitios web de los proyectos.

The Block ha rastreado aproximadamente $138,000 en fondos robados utilizando datos on-chain. Según los registros públicos del registry revisados por el medio, todos los dominios afectados estaban registrados en Name.com.

Cómo funcionó el ataque

La empresa de seguridad Blockaid reportó el incidente el 31 de octubre de 2026, describiéndolo como un ataque de front-end. Los atacantes modificaron los registros DNS de los sitios web afectados, reescribiendo efectivamente las entradas que dirigen un dominio hacia su infraestructura de alojamiento. Los nameservers de un dominio, generalmente operados a través de su registrador, actúan como el directorio que indica a los navegadores dónde reside realmente un sitio web. Quien controla ese directorio puede redirigir a los visitantes antes de que intervengan revisiones de código, auditorías o verificaciones de contratos.

Los usuarios que ingresaron las direcciones web correctas fueron enviados a infraestructura controlada por los atacantes, sin indicios evidentes de que los sitios habían sido redirigidos. Las páginas comprometidas contenían el toolkit Step Drainer, un script malicioso diseñado para engañar a los visitantes y hacer que firmaran transacciones capaces de transferir sus activos.

Proyectos afectados

Entre las víctimas identificadas se encuentran Flap, Kintsu, StonkFun y Pickle Finance, junto con otros proyectos. Los proyectos afectados no compartían código ni operaban en una misma blockchain. Su conexión común era que sus dominios dependían de los nameservers propios de Name.com.

Al apuntar a la capa del registrador, los atacantes pudieron redirigir múltiples proyectos no relacionados en una misma campaña. Algunos equipos se recuperaron rápidamente al migrar sus dominios a nameservers operados por Vercel y Cloudflare, lo que les permitió recuperar el control de su tráfico.

StonkFun dijo que sus usuarios no fueron afectados. Los aproximadamente $138,000 drenados representan solo el monto rastreado hasta ahora. Name.com no había reconocido el incidente en su página de estado ni en su blog al momento de los reportes, dejando a los equipos afectados gestionar la respuesta al incidente sin orientación pública del registrador.

Por qué el front end importa

Las discusiones sobre seguridad en DeFi suelen centrarse en los contratos inteligentes. Las auditorías, los bug bounties y la verificación formal generalmente se dirigen al código que custodia o gestiona los fondos de los usuarios.

El ataque eludió esas protecciones. Un protocolo puede tener contratos inteligentes seguros y aun así exponer a los usuarios a pérdidas si el sitio web que los dirige hacia esos contratos es redirigido. Cuando la confianza falla a nivel de DNS, las comprobaciones de seguridad estándar ofrecen protección limitada: verificar la URL no ayuda cuando la URL en sí es correcta pero lleva a infraestructura controlada por atacantes.

La táctica no es inédita. En 2022, la página principal de Curve Finance fue redirigida a un clon fraudulento tras un compromiso a nivel de registrador de su dominio. El incidente refleja una preocupación de seguridad más amplia en el sector DeFi, donde la gestión de dominios y la seguridad operativa a menudo han recibido menos atención que la seguridad de los contratos.

Implicaciones para proyectos y usuarios

Los proyectos que se recuperaron más rápido tenían la capacidad de migrar a nameservers de Vercel y Cloudflare. Esto sugiere que los equipos con una ruta de migración preparada y control directo sobre su configuración DNS estaban mejor posicionados para responder.

El incidente también expuso un punto único de falla compartido. Una docena de proyectos estaban conectados a través del mismo registrador, lo que permitió que un solo compromiso en esa capa afectara múltiples sitios web a la vez. El patrón se asemeja a un ataque de supply chain en sistemas de software tradicionales.

Las advertencias de transacciones a nivel de wallet, incluidas las alertas de empresas como Blockaid, proporcionan una capa de defensa. Sin embargo, las consecuencias van más allá de los fondos robados. Los usuarios que pierden dinero a través de un sitio web secuestrado pueden responsabilizar al proyecto cuyo nombre aparece en la página, incluso cuando la falla subyacente ocurrió a nivel del registrador o del DNS.

Los reportes no detallaron cómo los atacantes obtuvieron acceso a los registros DNS ni si había salvaguardas del registrador, como bloqueos de transferencia o de registry, habilitadas, y un pronunciamiento público de Name.com podría aclarar esos puntos.

Fuente: CryptoBriefing