Co najmniej 12 serwisów zdecentralizowanych finansów (DeFi) zostało przejętych w skoordynowanym ataku, po tym jak hakerzy zmienili rekordy systemu nazw domen na poziomie rejestratora. Inteligentne kontrakty wykorzystywane przez dotknięte projekty nie zostały naruszone — zamiast tego atakujący wymierzyli w domeny, które kierują użytkowników na strony projektów.

The Block prześledził przy użyciu danych on-chain około 138 000 dolarów skradzionych środków. Według publicznych rejestrów domen przejrzanych przez ten serwis każda z dotkniętych domen była zarejestrowana w Name.com.

Jak przebiegł atak

Firma bezpieczeństwa Blockaid zgłosiła incydent 31 października 2026 roku, określając go jako atak na warstwę front-endu. Atakujący zmienili rekordy DNS dotkniętych serwisów, w efekcie przepisując wpisy, które kierują domenę do jej infrastruktury hostingowej. Serwery nazw domeny, zwykle obsługiwane przez jej rejestratora, pełnią rolę katalogu informującego przeglądarki, gdzie faktycznie znajduje się strona. Kto kontroluje ten katalog, może przekierować odwiedzających, zanim w ogóle wchodzi w grę przegląd kodu, audyt czy kontrola kontraktów.

Użytkownicy, którzy wpisali poprawne adresy internetowe, trafiali do infrastruktury kontrolowanej przez atakujących, bez wyraźnych oznak, że strony zostały przekierowane. Na przejętych stronach znajdował się zestaw narzędzi Step Drainer — złośliwy skrypt zaprojektowany tak, by nakłonić odwiedzających do podpisywania transakcji mogących przejąć ich aktywa.

Dotknięte projekty

Wśród wskazanych ofiar znalazły się Flap, Kintsu, StonkFun i Pickle Finance, a także inne projekty. Dotknięte projekty nie dzieliły kodu ani nie działały na jednej blockchainie. Ich wspólnym mianownikiem było to, że ich domeny polegały na własnych serwerach nazw Name.com.

Uderzając w warstwę rejestratora, atakujący mogli przekierować wiele niezwiązanych ze sobą projektów w ramach jednej kampanii. Część zespołów szybko odzyskała kontrolę, przenosząc swoje domeny do serwerów nazw obsługiwanych przez Vercel i Cloudflare, co pozwoliło im odzyskać kontrolę nad ruchem.

StonkFun poinformował, że jego użytkownicy nie ucierpieli. Około 138 000 dolarów opróżnionych środków to jak dotąd jedynie kwota prześledzona. Name.com w momencie publikacji raportów nie odniósł się do incydentu na swojej stronie statusu ani blogu, pozostawiając dotknięte zespoły z koniecznością prowadzenia reakcji na incydent bez publicznych wskazówek ze strony rejestratora.

Dlaczego warstwa front-endu bywa pomijana

Dyskusje o bezpieczeństwie DeFi koncentrują się zazwyczaj na inteligentnych kontraktach. Audyty, programy bug bounty i formalna weryfikacja są z reguły skierowane na kod przechowujący lub zarządzający środkami użytkowników.

Ten atak ominął wszystkie te zabezpieczenia. Protokół może mieć bezpieczne inteligentne kontrakty, a mimo to narażać użytkowników na straty, jeśli strona internetowa wskazująca na te kontrakty zostanie przekierowana. Gdy zaufanie załamuje się na poziomie DNS, standardowe środki ostrożności zapewniają ograniczoną ochronę: sprawdzanie adresu URL nie pomaga, gdy sam adres jest poprawny, ale prowadzi do infrastruktury kontrolowanej przez atakujących.

Taka taktyka nie jest niczym nowym. W 2022 roku strona główna Curve Finance została przekierowana na fałszywy klon po naruszeniu jej domeny na poziomie rejestratora. Incydent ten odzwierciedla szerszy problem bezpieczeństwa w sektorze DeFi, gdzie zarządzanie domenami i higiena bezpieczeństwa operacyjnego często otrzymują mniej uwagi niż bezpieczeństwo kontraktów.

Konsekwencje dla projektów i użytkowników

Projekty, które najszybciej się odrodziły, miały możliwość migracji do serwerów nazw Vercel i Cloudflare. Sugeruje to, że zespoły z przygotowaną ścieżką migracji i bezpośrednią kontrolą nad konfiguracją DNS były lepiej przygotowane do reakcji.

Incydent ujawnił też wspólny punkt awarii. Kilkanaście projektów było połączonych przez tego samego rejestratora, co pozwoliło jedno naruszenie na tej warstwie dotknąć wiele serwisów jednocześnie. Ten wzorzec przypomina ataki na łańcuch dostaw w tradycyjnym oprogramowaniu.

Ostrzeżenia o transakcjach na poziomie portfela, w tym alerty od firm takich jak Blockaid, stanowią jedną z warstw obrony. Konsekwencje wykraczają jednak poza skradzione środki. Użytkownicy, którzy stracą pieniądze poprzez przejętą stronę, mogą obwiniać projekt widniejący na tej stronie, nawet jeśli faktyczna awaria nastąpiła na poziomie rejestratora lub DNS.

Raporty nie szczegółowo opisały, w jaki sposób atakujący uzyskali dostęp do rekordów DNS ani czy aktywne były zabezpieczenia rejestratora, takie jak blokady transferu lub rejestru, a publiczne wyjaśnienia ze strony Name.com mogłyby rozjaśnić te kwestie.

Źródło: CryptoBriefing