黑客劫持了大约十二个 DeFi 协议网站，并从与被入侵前端交互的用户手中盗取了约 138,000 美元。每个受影响网站都有一个共同点：域名均通过 Name.com 注册。这一事件直接提醒人们，DeFi 协议的信任面远不止智能合约本身，还包括为用户界面提供服务的网络基础设施。

关于本次 DeFi 网站劫持事件已知的信息

根据 The Block 2026 年 10 月 31 日的报道，攻击者控制了大约十二个 DeFi 网站，并将用户引导至恶意流程，造成约 138,000 美元的资金被盗。

已确认的事实仍然有限：约十二个 DeFi 网站受到影响，其域名均通过 Name.com 注册，用户资金被盗约 138,000 美元。受影响的具体协议、确切的攻击载体以及受害者人数在现有报道中均未得到证实。仅凭共享的注册商本身并不能确立因果关系，Name.com 也尚未被确认为直接的故障点。

尚未证实的部分

根据未经证实的报道，共享的 Name.com 注册可能指向注册商层面的凭据泄露或账户接管，这将使攻击者能够修改 DNS 记录并重定向域名流量，而无需触及底层智能合约。该事件同样可能涉及被入侵的注册商账户、社会工程攻击，或完全是其他攻击载体。

这一区别对受影响的用户和协议团队都很重要：如果 DNS 记录被篡改，链上智能合约本身可能未受影响，这意味着协议金库和流动性池可能保持完好，而与伪造前端交互的用户则承担了损失。

通过域名基础设施实施前端劫持在该行业已有先例：2022 年，攻击者在入侵域名服务商账户后，将 Curve Finance 的 DNS 重定向至其界面的恶意克隆版本，这一被广泛引用的事件促使注册商和 DNS 控制措施被纳入 DeFi 团队的安全清单。但先例并不等于证据——本案中共享的 Name.com 注册究竟是关键因素还是巧合，只能由受影响团队自身的调查结论来判定。

被劫持的 DeFi 网站如何使用户面临风险

网页前端被入侵与智能合约漏洞利用在结构上截然不同。当攻击者控制域名时，他们可以提供视觉上与合法界面完全一致的副本，同时悄然替换钱包连接端点、合约地址或交易 calldata。签署看似常规授权的用户，实际上可能在授权一个抽币合约（drainer contract）扫走其全部代币余额。

用户在签署任何交易前应核实的内容

在连接钱包或在 DeFi 界面签署任何交易之前，用户应对照协议的官方文档独立核实所交互的合约地址，而不仅仅是查看浏览器中的 URL。安全交易验证与授权（STVA）框架介绍了在授权前检查 calldata 的具体步骤。域名解析正确且显示有效的 SSL 证书，并不能保证前端在 DNS 或托管层未遭到篡改。

抗钓鱼硬件钱包可以在设备屏幕上独立于浏览器显示交易详情，为用户提供第二层验证。即便如此，控制前端的攻击者仍可以编写具有误导性的交易描述。唯一可靠的保护措施是将目标合约地址与协议在链上的规范部署进行核对，其来源应为官方 GitHub 仓库或治理文档，而非所连接的 dApp 界面。

授予被入侵合约的代币授权会持续存在于链上，直至被明确撤销。在这些网站处于攻击者控制期间连接钱包并签署交易的任何用户，都应将未撤销的授权视为潜在的恶意授权。授权管理工具允许用户审计并撤销 ERC-20 代币的权限，但前提是必须先独立确认要撤销的正确合约地址以及要在其上操作的正确网络。

用户和 DeFi 团队接下来应该做什么

用户行动

与任何受影响 DeFi 网站交互过的用户，首先应避免连接钱包或签署新交易，直到相关协议公开确认前端已恢复并经过验证。官方信息应来自协议经过验证的社交媒体账户和治理论坛，而非嵌入在私信或社区聊天消息中的链接——后者是前端被入侵后常见的二次攻击载体。由于现有报道未公布受影响协议的名称，任何 DeFi 前端的用户都应留意其所用协议的直接公告，而不是想当然地认为自己未受影响。

对于在事件期间确实签署过交易的用户，只有在从经过验证的独立来源确认了正确的恶意合约地址后，才建议撤销授权。撤销错误的合约不仅浪费 gas，还会带来虚假的安全感。诸如 Aave V4 之类的协议公布了规范合约注册表，可作为区分合法协议合约与攻击者部署的抽币合约的参考依据。

协议团队响应

受影响的团队应在完整攻击链得到确认之前将其视为活跃事件处理。当务之急包括审计域名注册商账户的访问日志、轮换与 Name.com 账户相关的所有凭据、将当前 DNS 记录与已知良好的快照进行核对，以及检查 HTTPS 证书透明度日志中在攻击窗口期间签发的任何未授权证书。

团队还应在进行任何更改之前保存所有事件证据，因为有关攻击窗口的取证数据——包括 DNS 变更日志以及与注册商的任何通信——将用于确定究竟什么被入侵以及何时被入侵。在攻击载体确认后发布一份清晰、带时间戳的事件报告，而不是在调查期间发布推测性信息，是受影响社区所期望的标准。

域名注册商账户安全，包括强制双重身份验证和注册商层面的域名锁定，是一项基本的加固措施，即使攻击者凭据有效，也能阻止未授权的 DNS 修改。域名锁定可在未经注册商明确确认的情况下阻止转移和 DNS 变更，对于任何其网站构成涉及真实资金的交易信任面的协议而言，这都是一项有意义的控制措施。

更深层的教训

在约十二个协议中报告的 138,000 美元损失，相对于以太坊上的 DeFi 总锁仓量（TVL）而言并不算大。但它暴露出的结构性漏洞——即一个 web2 注册商账户可能成为协议安全栈中最薄弱的环节——适用于任何依赖集中注册域名来提供用户界面的 DeFi 项目。前端安全，包括 DNS 监控、注册商账户加固以及关于独立核实合约的用户指引，应当获得与智能合约审计同等的运营重视。