黑客在域名注册商层面篡改域名系统（DNS）记录，通过协同攻击劫持了至少 12 个去中心化金融（DeFi）网站。受影响项目所使用的智能合约并未遭到入侵；攻击者瞄准的是将用户引导至项目网站的域名。

The Block 已通过链上数据追踪到约 13.8 万美元的被盗资金。根据该媒体查阅的公开注册记录，所有受影响的域名均在 Name.com 注册。

攻击如何实施

安全公司 Blockaid 于 2026 年 10 月 31 日报告了此次事件，并将其描述为一次前端攻击。攻击者更改了受影响网站的 DNS 记录，实际上重写了将域名指向其托管基础设施的条目。域名的域名服务器通常通过其注册商运营，充当告知浏览器网站实际所在位置的目录。控制该目录的人可以在任何代码审查、审计或合约检查介入之前重定向访客。

输入正确网址的用户被发送至攻击者控制的基础设施，且没有任何明显迹象表明网站已被重定向。被入侵的页面中包含 Step Drainer 工具包，这是一种恶意脚本，旨在诱骗访客签署可能转移其资产的交易。

受影响的项目

已确认的受害项目包括 Flap、Kintsu、StonkFun 和 Pickle Finance，以及其他项目。这些受影响的项目并未共享代码，也不在单一条区块链上运行。它们的共同点是：其域名均依赖 Name.com 自身的域名服务器。

通过瞄准注册商层面，攻击者得以在同一次攻击行动中重定向多个互不相关的项目。部分团队通过将其域名迁移至 Vercel 和 Cloudflare 运营的域名服务器而迅速恢复，从而重新掌控了各自的流量。

StonkFun 表示其用户未受到影响。约 13.8 万美元的被盗资金仅为此前已追踪到的金额。在相关报道发布时，Name.com 尚未在其状态页面或博客上承认此次事件，受影响的团队只能在没有注册商公开指导的情况下自行应对。

为何前端安全常被忽视

DeFi 安全讨论通常聚焦于智能合约。审计、漏洞赏金和形式化验证一般都针对持有或管理用户资金的代码。

此次攻击绕过了这些防护。即使协议拥有安全的智能合约，如果指向这些合约的网站被重定向，用户仍可能遭受损失。当信任在 DNS 层面被破坏时，常规的安全检查作用有限：当网址本身正确却指向攻击者控制的基础设施时，核对网址毫无帮助。

这种手法并非没有先例。2022 年，Curve Finance 的主页曾因其域名在注册商层面遭到入侵而被重定向至假冒克隆网站。该事件反映出 DeFi 领域更广泛的安全隐忧：域名管理和运营安全获得的关注往往少于合约安全。

对项目和用户的影响

恢复最快的项目具备迁移至 Vercel 和 Cloudflare 域名服务器的能力。这表明，拥有现成迁移路径并对 DNS 配置拥有直接控制权的团队在突发状况下更有应对优势。

此次事件还暴露了共同的单点故障。十几个项目因同一注册商而关联在一起，使得该层面的一次入侵可同时影响多个网站。这种模式类似于传统软件系统中的供应链攻击。

钱包层面的交易警告（包括 Blockaid 等公司发出的警报）是一道防线。然而，其影响超出了被盗资金本身：通过被劫持网站损失资金的用户，往往会追究页面上所署名项目的责任，即便实际故障发生在注册商或 DNS 层面。

相关报道未详细说明攻击者如何获取 DNS 记录的访问权限，以及注册商是否启用了转移锁或注册局锁等安全保护措施，而 Name.com 的公开说明或可澄清这些问题。

来源：CryptoBriefing