ハッカーがName.comに登録された12のDeFiウェブサイトを乗っ取り、約13万8,000ドルを流出
重要ポイント
- •ハッカーはレジストラName.comのDNSレコードを改ざんし、少なくとも12のDeFiウェブサイトを攻撃者が管理するサーバーへ迂回させました。プロジェクトのスマートコントラクトは侵害されていません。
- •The Blockはオンチェーンで約13万8,000ドルの盗難資金を追跡しており、侵害されたページには、訪問者を悪意あるトランザクションへの署名へ誘導するStep Drainerツールキットが含まれていました。
- •被害が確認されたのはFlap、Kintsu、StonkFun、Pickle Financeで、共通点は共有コードや単一ブロックチェーンではなく、Name.comのネームサーバーへの依存でした。
- •一部の影響を受けたチームは、VercelとCloudflareが運用するネームサーバーへの移行により迅速にトラフィックの制御を取り戻し、StonkFunはユーザーに影響がなかったと述べました。
- •フロントエンドを標的としてコントラクト監査を迂回したこの攻撃は、Curve Financeの2022年のレジストラレベル侵害と similar であり、DeFiにおけるDNSおよびドメインセキュリティのリスクが過小評価されていることを浮き彫りにしています。
レジストラレベルでのドメインネームシステム(DNS)レコードの改ざんにより、少なくとも12の分散型金融(DeFi)ウェブサイトが組織的な攻撃で乗っ取られました。被害を受けたプロジェクトのスマートコントラクトは侵害されておらず、攻撃者はユーザーをプロジェクトのウェブサイトへ誘導するドメインを標的としました。
The Blockは、オンチェーンデータを用いて約13万8,000ドルの盗難資金を追跡しています。同メディアが確認した公開レジストリ記録によると、影響を受けたドメインはすべてName.comに登録されていました。
攻撃の仕組み
セキュリティ企業Blockaidは2026年10月31日にこのインシデントを報告し、フロントエンド攻撃であると説明しました。攻撃者は被害を受けたウェブサイトのDNSレコードを変更し、ドメインをホスティングインフラへ誘導するエントリを実質的に書き換えました。ドメインのネームサーバーは通常レジストラを通じて運用され、ブラウザにウェブサイトの実際の所在地を伝えるディレクトリとして機能します。このディレクトリを掌握した者は、コードレビュー、監査、コントラクト検証が行われる前に訪問者を迂回させることが可能です。
正しいウェブアドレスを入力したユーザーは、攻撃者が管理するインフラへ誘導され、サイトが迂回されたことを示す明確な兆候はありませんでした。侵害されたページにはStep Drainerツールキットが含まれていました。これは、訪問者が資産を移転する可能性のあるトランザクションへの署名を騙して行わせるよう設計された悪意あるスクリプトです。
被害を受けたプロジェクト
被害が確認されたのはFlap、Kintsu、StonkFun、Pickle Financeなどです。影響を受けたプロジェクトはコードを共有しておらず、単一のブロックチェーン上で運営されてもいませんでした。共通点は、ドメインがName.com自身のネームサーバーに依存していたことでした。
レジストラ層を標的とすることで、攻撃者は同じキャンペーン内で複数の無関係なプロジェクトを迂回させることができました。一部のチームはドメインをVercelとCloudflareが運用するネームサーバーへ移行することで迅速に復旧し、トラフィックの制御を取り戻しました。
StonkFunは、ユーザーには影響がなかったと述べています。流出した約13万8,000ドルは、現時点で追跡された金額のみを示しています。報告時点でName.comはステータスページやブログでこのインシデントを認めておらず、影響を受けたチームはレジストラからの公的な指針がないままインシデント対応を行うことになりました。
フロントエンドが軽視され続ける理由
DeFiセキュリティの議論は通常、スマートコントラクトに焦点が当てられます。監査、バグバウンティ、形式検証はいずれも、ユーザー資金を保管または管理するコードを対象としています。
この攻撃はこうした防御を迂回しました。プロトコルは安全なスマートコントラクトを備えていても、それらのコントラクトへユーザーを誘導するウェブサイトが迂回されれば、ユーザーは損失にさらされる可能性があります。DNSレベルで信頼が損なわれた場合、標準的な安全確認の保護効果は限定的です。URLが正しくても、そのURLが攻撃者が管理するインフラへ接続するのであれば、URLの確認は役に立ちません。
この手口は前例のないものではありません。2022年には、Curve Financeの公式ホームページが、ドメインのレジストラレベルでの侵害により、偽のクローンサイトへ迂回されました。このインシデントは、DeFiセクター全体で、ドメイン管理と運用セキュリティがコントラクトセキュリティほどの注意を受けてこなかったという、より広範なセキュリティ上の懸念を反映しています。
プロジェクトとユーザーへの示唆
最も迅速に復旧したプロジェクトは、VercelおよびCloudflareのネームサーバーへ移行できる体制を備えていました。これは、移行手段を事前に準備し、DNS設定を直接管理していたチームが、問題発生時により適切に対応できたことを示唆しています。
このインシデントは、共通の障害点も露呈させました。12のプロジェクトが同じレジストラを通じてつながっており、その層での一つの侵害が複数のウェブサイトに同時に影響を及ぼしました。このパターンは、従来のソフトウェアシステムにおけるサプライチェーン攻撃に類似しています。
Blockaidのような企業によるウォレットレベルのトランザクション警告は、一つの防御層となります。しかし、その影響は盗まれた資金にとどまりません。乗っ取られたウェブサイトで資金を失ったユーザーは、実際の障害がレジストラやDNSレベルで発生していたとしても、ページに名前が表示されていたプロジェクトを責める可能性があります。
報道内容は、攻撃者がDNSレコードへのアクセスをどのように取得したか、また転送ロックやレジストリロックなどのレジストラの保護機能が有効だったかどうかを詳述しておらず、Name.comによる公的な説明がこれらの点を明らかにする可能性があります。
出典: CryptoBriefing
