Almeno 12 siti web di finanza decentralizzata sono stati dirottati in un attacco coordinato dopo che hacker hanno alterato i record DNS dei domini a livello di registrar. Gli smart contract utilizzati dai progetti interessati non sono stati violati; gli attaccanti hanno invece preso di mira i domini che indirizzano gli utenti verso i siti web dei progetti.

The Block ha tracciato circa 138.000 dollari di fondi rubati utilizzando dati on-chain. Secondo i registri pubblici esaminati dal giornale, tutti i domini interessati erano registrati su Name.com.

Come si è svolto l'attacco

La società di sicurezza Blockaid ha segnalato l'incidente il 31 ottobre 2026, descrivendolo come un attacco al front-end. Gli attaccanti hanno modificato i record DNS dei siti web interessati, riscrivendo di fatto le voci che indirizzano un dominio verso la sua infrastruttura di hosting. I nameserver di un dominio, generalmente gestiti tramite il registrar, funzionano come la directory che indica ai browser dove si trova effettivamente un sito web. Chi controlla tale directory può reindirizzare i visitatori prima di qualsiasi revisione del codice, audit o verifica dei contratti.

Gli utenti che inserivano gli indirizzi web corretti venivano inviati a infrastrutture controllate dagli attaccanti, senza alcuna indicazione evidente che i siti fossero stati reindirizzati. Le pagine compromesse contenevano il toolkit Step Drainer, uno script dannoso progettato per indurre i visitatori a firmare transazioni in grado di trasferire i loro asset.

Progetti interessati

Le vittime identificate includono Flap, Kintsu, StonkFun e Pickle Finance, oltre ad altri progetti. I progetti colpiti non condividevano codice né operavano su un'unica blockchain. Il loro elemento in comune era che i domini si affidavano ai nameserver di Name.com.

Prendendo di mira il livello del registrar, gli attaccanti sono stati in grado di reindirizzare più progetti non correlati nella stessa campagna. Alcuni team si sono ripristinati rapidamente spostando i propri domini verso nameserver gestiti da Vercel e Cloudflare, riuscendo così a riprendere il controllo del proprio traffico.

StonkFun ha dichiarato che i suoi utenti non sono stati colpiti. I circa 138.000 dollari prosciugati rappresentano solo l'importo tracciato finora. Name.com non aveva riconosciuto l'incidente sulla propria pagina di stato o sul blog al momento dei rapporti, lasciando i team interessati a gestire la risposta all'incidente senza indicazioni pubbliche da parte del registrar.

Perché il front end conta

Le discussioni sulla sicurezza DeSi si concentrano tipicamente sugli smart contract. Audit, bug bounty e verifica formale sono generalmente rivolti al codice che detiene o gestisce i fondi degli utenti.

L'attacco ha aggirato tali protezioni. Un protocollo può avere smart contract sicuri e nonetheless esporre gli utenti a perdite se il sito web che li indirizza verso quei contratti viene reindirizzato. Quando la fiducia si rompe a livello DNS, i controlli di sicurezza standard offrono una protezione limitata: verificare l'URL non aiuta quando l'URL stesso è corretto ma conduce a infrastrutture controllate dagli attaccanti.

La tattica non è senza precedenti. Nel 2022, la homepage di Curve Finance fu reindirizzata a un clone fraudolento dopo un compromissione a livello di registrar del suo dominio. L'episodio riflette una più ampia preoccupazione per la sicurezza nel settore DeFi, dove la gestione dei domini e la sicurezza operativa hanno spesso ricevuto meno attenzione rispetto alla sicurezza dei contratti.

Implicazioni per progetti e utenti

I progetti che si sono ripristinati più rapidamente avevano la possibilità di migrare verso i nameserver di Vercel e Cloudflare. Questo suggerisce che i team con un percorso di migrazione preparato e il controllo diretto della propria configurazione DNS erano in una posizione migliore per rispondere.

L'incidente ha inoltre esposto un punto di vulnerabilità condiviso. Una dozzina di progetti era collegata attraverso lo stesso registrar, permettendo a un'unica compromissione a quel livello di interessare più siti web contemporaneamente. Il modello ricorda un attacco alla supply chain nei sistemi software tradizionali.

Gli avvisi sulle transazioni a livello di wallet, compresi quelli di società come Blockaid, offrono un livello di difesa. Tuttavia, le conseguenze vanno oltre i fondi rubati. Gli utenti che perdono denaro tramite un sito web dirottato potrebbero ritenere responsabile il progetto il cui nome figura sulla pagina, anche quando il guasto sottostante si è verificato a livello di registrar o DNS.

I rapporti non hanno dettagliato come gli attaccanti abbiano ottenuto l'accesso ai record DNS né se fossero attive misure di sicurezza del registrar come transfer lock o registry lock, e un resoconto pubblico da parte di Name.com potrebbe chiarire questi punti.

Fonte: CryptoBriefing