Ten minste 12 websites in de gedecentraliseerde financieelsector zijn gekaapt in een gecoördineerde aanval, nadat hackers hun DNS-records op registrar-niveau hadden gewijzigd. De slimme contracten van de getroffen projecten zijn niet geschonden; in plaats daarvan richtten de aanvallers zich op de domeinen die gebruikers naar de websites van de projecten leiden.

The Block heeft via on-chain gegevens circa $138.000 aan gestolen fondsen getraceerd. Volgens openbare registergegevens die de outlet heeft ingezien, was elk getroffen domein geregistreerd bij Name.com.

Hoe de aanval werkte

Beveiligingsbedrijf Blockaid meldde het incident op 31 oktober 2026 en omschreef het als een front-endaanval. De aanvallers wijzigden de DNS-records van de getroffen websites en herschreven daarmee in feite de verwijzingen die een domein naar zijn hostinginfrastructuur leiden. De nameservers van een domein, doorgaans beheerd via de registrar, fungeren als de directory die browsers vertelt waar een website zich daadwerkelijk bevindt. Wie die directory beheerst, kan bezoekers omleiden voordat enige codecontrole, audit of contractcontrole plaatsvindt.

Gebruikers die de juiste webadressen invoerden, werden gestuurd naar infrastructuur die door de aanvallers werd beheerd, zonder duidelijke aanwijzing dat de websites waren omgeleid. De gecompromitteerde pagina's bevatten de Step Drainer-toolkit, een kwaadaardig script dat bezoekers tot het ondertekenen van transacties moet verleiden waardoor hun activa kunnen worden overgedragen.

Getroffen projecten

Tot de bekende slachtoffers behoren Flap, Kintsu, StonkFun en Pickle Finance, naast andere projecten. De getroffen projecten deelden geen code en operateerden niet op één blockchain. Hun gemeenschappelijke kenmerk was dat hun domeinen afhankelijk waren van de eigen nameservers van Name.com.

Door de registratielaag aan te vallen, konden de aanvallers meerdere ongerelateerde projecten in dezelfde campagne omleiden. Sommige teams herstelden snel door hun domeinen te verplaatsen naar nameservers van Vercel en Cloudflare, waarmee ze de controle over hun verkeer terugkregen.

StonkFun zei dat zijn gebruikers niet zijn getroffen. De circa $138.000 aan weggekaapte fondsen vertegenwoordigt alleen het bedrag dat tot nu toe is getraceerd. Name.com had het incident ten tijde van de berichten niet erkend op zijn statuspagina of blog, waardoor de getroffen teams hun incidentrespons moesten afhandelen zonder openbare begeleiding van de registrar.

Waarom de front-end er toe doet

Discussies over DeFi-beveiliging richten zich doorgaans op slimme contracten. Audits, bug bounties en formele verificatie zijn meestal gericht op de code die gebruikersfondsen beheert of vasthoudt.

De aanval omzeilde die beschermingen. Een protocol kan veilige slimme contracten hebben en gebruikers toch aan verliezen blootstellen als de website die hen naar die contracten leidt wordt omgeleid. Wanneer het vertrouwen op DNS-niveau faalt, bieden standaard veiligheidscontroles beperkte bescherming: het controleren van de URL helpt niet wanneer de URL zelf correct is maar naar infrastructuur van de aanvallers leidt.

De tactiek is niet nieuw. In 2022 werd de eigen homepage van Curve Finance omgeleid naar een frauduleuze kloon na een compromittering op registrar-niveau van het domein. Het incident weerspiegelt een bredere zorg binnen de DeFi-sector, waar domeinbeheer en operationele beveiliging vaak minder aandacht hebben gekregen dan contractbeveiliging.

Implicaties voor projecten en gebruikers

De projecten die het snelst herstelden, hadden de mogelijkheid om te migreren naar nameservers van Vercel en Cloudflare. Dit suggereert dat teams met een voorbereid migratiepad en directe controle over hun DNS-configuratie beter gepositioneerd waren om te reageren.

Het incident legde ook een gedeeld risico bloot. Een dozijn projecten was verbonden via dezelfde registrar, waardoor één compromittering op die laag meerdere websites tegelijk kon treffen. Het patroon lijkt op een supply-chainaanval in traditionele softwaresystemen.

Waarschuwingen op portemonreeniveau, waaronder meldingen van bedrijven zoals Blockaid, bieden één verdedigingslaag. De gevolgen reiken echter verder dan de gestolen fondsen. Gebruikers die geld verliezen via een gekaapte website kunnen het project dat op de pagina wordt genoemd verantwoordelijk houden, zelfs wanneer de onderliggende fout op registrar- of DNS-niveau plaatsvond.

De berichten vermelden niet hoe de aanvallers toegang tot de DNS-records verkregen of of registrarmaatregelen zoals transfer- of registrylocks waren ingeschakeld; een openbare toelichting van Name.com zou hierover duidelijkheid kunnen geven.

Bron: CryptoBriefing