Не менее 12 сайтов децентрализованных финансов (DeFi) были захвачены в ходе скоординированной атаки после того, как хакеры изменили DNS-записи на уровне регистратора доменов. Смарт-контракты пострадавших проектов не были скомпрометированы; вместо этого злоумышленники атаковали домены, через которые пользователи попадают на сайты проектов.

The Block отследила на блокчейне (on-chain) около $138 000 украденных средств. Согласно публичным данным реестра, которые изучило издание, все пострадавшие домены были зарегистрированы через Name.com.

Как работала атака

Компания по кибербезопасности Blockaid сообщила об инциденте 31 октября 2026 года, охарактеризовав его как атаку на фронтенд. Злоумышленники изменили DNS-записи пострадавших сайтов, фактически переписав записи, которые направляют домен к его хостинговой инфраструктуре. Неймсерверы домена, как правило управляемые через регистратора, служат своего рода справочником, который сообщает браузерам, где фактически находится сайт. Тот, кто контролирует этот справочник, может перенаправлять посетителей до того, как сработают проверка кода, аудит или проверка контракта.

Пользователи, вводившие правильные адреса сайтов, попадали на инфраструктуру, контролируемую злоумышленниками, без очевидных признаков того, что сайты были перенаправлены. На скомпрометированных страницах содержался инструментарий Step Drainer — вредоносный скрипт, предназначенный для того, чтобы обманом заставить посетителей подписать транзакции, позволяющие перевести их активы.

Пострадавшие проекты

Среди названных пострадавших — Flap, Kintsu, StonkFun и Pickle Finance, а также другие проекты. Пострадавшие проекты не использовали общий код и не работали в одном блокчейне. Их объединяло то, что их домены полагались на собственные неймсерверы Name.com.

Атакуя уровень регистратора, злоумышленники смогли перенаправить сразу несколько не связанных между собой проектов в рамках одной кампании. Некоторые команды быстро восстановили контроль, переместив свои домены на неймсерверы Vercel и Cloudflare, что позволило им вернуть управление своим трафиком.

StonkFun сообщил, что его пользователи не пострадали. Похищенные средства в размере около $138 000 отражают лишь сумму, отслеженную на данный момент. На момент публикаций Name.com не признал инцидент на своей странице статуса или в блоге, оставив пострадавшие команды разбираться с реакцией на инцидент без публичных разъяснений от регистратора.

Почему фронтенду уделяется мало внимания

Обсуждения безопасности в DeFi, как правило, сосредоточены на смарт-контрактах. Аудиты, программы вознаграждения за выявление ошибок и формальная верификация в основном направлены на код, который хранит или управляет средствами пользователей.

Эта атака обошла все эти меры защиты. Протокол может иметь безопасные смарт-контракты и при этом подвергать пользователей потерям, если сайт, ведущий к этим контрактам, перенаправлен. Когда доверие нарушается на уровне DNS, стандартные меры предосторожности дают ограниченную защиту: проверка URL не помогает, если сам URL корректен, но ведет на инфраструктуру, контролируемую злоумышленниками.

Такая тактика не беспрецедентна. В 2022 году домашняя страница Curve Finance была перенаправлена на мошеннический клон после компрометации ее домена на уровне регистратора. Инцидент отражает более широкую проблему безопасности в секторе DeFi, где управление доменами и операционная безопасность часто получают меньше внимания, чем безопасность контрактов.

Значение для проектов и пользователей

Проекты, которые восстановились быстрее всех, имели возможность мигрировать на неймсерверы Vercel и Cloudflare. Это позволяет предположить, что команды с подготовленным путем миграции и прямым контролем над конфигурацией DNS оказались в более выгодном положении для реагирования.

Инцидент также выявил общую точку отказа. Дюжина проектов была связана через одного и того же регистратора, что позволило одной компрометации на этом уровне затронуть сразу несколько сайтов. Эта схема напоминает атаки на цепочку поставок в традиционных программных системах.

Предупреждения о транзакциях на уровне кошелька, включая оповещения от таких компаний, как Blockaid, обеспечивают один из уровней защиты. Однако последствия выходят за рамки украденных средств. Пользователи, потерявшие деньги на взломанном сайте, могут возложить ответственность на проект, чье имя было указано на странице, даже если фактический сбой произошел на уровне регистратора или DNS.

В публикациях не уточнялось, каким образом злоумышленники получили доступ к DNS-записям и были ли включены меры защиты регистратора, такие как блокировки передачи или блокировки реестра; публичное разъяснение от Name.com могло бы прояснить эти вопросы.

Источник: CryptoBriefing