Регистратор Name.com восстановил 15 доменов DeFi-проектов после атаки через DNS

Регистратор Name.com подтвердил несанкционированное перенаправление 15 доменов своих клиентов и восстановил над ними контроль. Атака прошла в ночь с 30 на 31 октября: посетители попадали на копии сайтов DeFi-проектов с вредоносным инструментом для вывода средств из подключенных кошельков.

Среди пострадавших — Flap, Kintsu, Pickle Finance, Origami Finance, FluxBeam, Echelon, StonkFun и StakePoint. Сначала специалисты Blockaid нашли поддельные страницы на 12 сайтах, позже Name.com уточнил число доменов до 15.

Помимо восстановления доменов регистратор дополнительно защитил учетные записи клиентов и начал разбираться в обстоятельствах случившегося.

Как работала подмена

Хакеры изменили настройки DNS — системы, которая связывает доменное имя с адресом сервера. Пользователь вводил правильный адрес проекта, но оказывался на чужой странице.

На зараженных сайтах Blockaid обнаружила дренер Step Drainer. Посетителям предлагали подписать операцию, выглядевшую как обычное взаимодействие с DeFi-протоколом. Такая подпись давала злоумышленникам возможность вывести токены или получить контроль над отдельными позициями пользователя.

Step Drainer распространяли по модели «вредоносное ПО как услуга». По исследованию LevelBlue, исходный код инструмента стоил около $750 ≈ 2 210 BYN, вариант с оплатой $150 ≈ 442 BYN предполагал отчисление разработчикам 20% похищенного. Полученные активы распределялись между тремя кошельками в пропорции 55%, 30% и 15%.

Bitquery оценила потери 32 кошельков в шести блокчейнах в $202 386 ≈ 596 тыс. BYN — по данным компании, средства ушли в период с 01:00 до 05:33 UTC 31 октября. Около 79% ущерба пришлось на одного стейкера Kintsu в сети Monad: он потерял $160 531 ≈ 473 тыс. BYN. Два кошелька дали 96% общей суммы.

Атака затронула и саму инфраструктуру Kintsu: хакеры поставили в очередь на вывод из стейкинга 2,64 млн sMON, вечером 31 октября средства примерно на $56 600 ≈ 167 тыс. BYN еще оставались там. Окончательный размер потерь неизвестен — оценка Bitquery не включает возможные хищения в сетях Solana и Aptos.

Кто ведет расследование

Все 12 сайтов из первоначального списка Blockaid были зарегистрированы через Name.com, но использовали разных поставщиков DNS-инфраструктуры, включая Cloudflare, Vercel и самого регистратора.

В Kintsu заявили, что проблема возникла на стороне Vercel. Origami Finance сообщила об атаке на связанные с Vercel серверы имен. Vercel подтвердила, что десять затронутых доменов связаны с ее платформой, и помогает в расследовании.

Первопричина компрометации не установлена. Ни одна из компаний не раскрыла, как злоумышленники получили доступ к настройкам доменов. Команды Kintsu, Origami Finance, FluxBeam и StonkFun заявили, что их смарт-контракты не пострадали.