Хакеры перехватили домены 15 DeFi-проектов

Злоумышленники перенаправили посетителей 15 сайтов криптовалютных проектов на поддельные страницы для хищения цифровых активов. Об инциденте сообщили специалисты компании по кибербезопасности Blockaid.

🚨 Community Alert: Our system has detected a potential frontend attack targeting @flapdotsh and @Kintsu: • flap[.]sh • kintsu[.]xyz Please refrain from signing transactions and avoid interactions with these dApps until the issue is resolved.

— Blockaid (@blockaid_) October 31, 2026

Атака произошла в ночь с 30 на 31 октября. Среди пострадавших оказались Flap, Kintsu, Pickle Finance, Origami Finance, FluxBeam, Echelon, StonkFun и StakePoint.

Сначала в Blockaid выявили вредоносные страницы на 12 сайтах. Позднее Name.com подтвердил несанкционированное перенаправление 15 доменов своих клиентов.

We’re aware a number of domains at https://t.co/4CEHuFgI4A were improperly redirected late Friday as part of a plan to access visitors’ crypto wallets. The affected domains have been restored. We’re investigating and will update this thread as we learn more.

— name.com (@namedotcom) October 31, 2026

Регистратор восстановил контроль над доменами, дополнительно защитил учетные записи клиентов и начал разбираться в обстоятельствах произошедшего, заявили разработчики.

Как работала атака

Хакеры изменили настройки DNS — системы, которая связывает доменные имена с адресами серверов. В результате пользователь вводил правильный адрес криптопроекта, но попадал на поддельный сайт.

На зараженных страницах аналитики Blockaid обнаружили Step Drainer — вредоносный инструмент для вывода криптовалют из подключенных кошельков.

Посетителям предлагали подписать операцию, которая выглядела как обычное взаимодействие с DeFi-протоколом. На деле такая подпись могла позволить злоумышленникам вывести токены или получить контроль над отдельными позициями пользователя.

Step Drainer продавали по модели «вредоносное ПО как услуга». Согласно исследованию LevelBlue, исходный код инструмента стоил около $750. Альтернативный вариант обходился в $150, но разработчики получали 20% похищенных средств.

Ончейн-данные показали, что полученные активы распределялись между тремя кошельками в пропорции 55%, 30% и 15%.

Аналитики Bitquery оценили потери 32 кошельков в шести блокчейнах в $202 386. Около 79% установленного ущерба пришлось на один кошелек в сети Monad: его владелец потерял токены и позиции общей стоимостью $160 531.

For several hours on 31 October, 12 DeFi websites registered at https://t.co/0TDAgyJH6I led visitors to copies run by an attacker. The copies carried a wallet drainer. We traced $202,386 taken from 32 wallets on six chains between 01:00 and 05:33 UTC. Four in five of those dollars came from a single Kintsu staker on Monad, who lost $160,531. Two wallets lost 96% of the total. The attackers parked 2.64 million sMON in Kintsu’s unstaking queue, where it still sat that evening. Every drain we traced used a victim’s own signature. https://t.co/vaTbpsiG1q

— Bitquery.io ( Bloxy ) (@Bitquery_io) November 1, 2026

Вечером 31 октября похищенные токены Kintsu примерно на $56 600 еще оставались в очереди на вывод из стейкинга — хакеры их пока не получили.

Окончательный размер потерь неизвестен. Оценка Bitquery не включает возможные хищения в сетях Solana и Aptos.

Name.com и Vercel начали расследование

Все 12 сайтов из первоначального списка Blockaid были зарегистрированы через Name.com. При этом они использовали разных поставщиков DNS-инфраструктуры, включая Cloudflare, Vercel и самого регистратора.

В Kintsu заявили, что проблема возникла на стороне Vercel. Origami Finance, в свою очередь, сообщила об атаке на связанные с Vercel серверы имен.

Vercel подтвердила, что десять затронутых доменов связаны с ее платформой. Name.com уже восстановил их работу, а Vercel помогает в расследовании.

Первопричина компрометации остается неизвестной. Ни одна из компаний пока не раскрыла, как злоумышленники получили возможность менять настройки доменов.

Команды Kintsu, Origami Finance, FluxBeam и StonkFun заявили, что их смарт-контракты не пострадали.

Напомним, 29 октября злоумышленники похитили не менее $2,73 млн с 737 счетов пользователей платформы рынков предсказаний Polymarket. Вредоносный код попал в интерфейс площадки через скомпрометированного поставщика программного обеспечения.

Нашли ошибку в тексте? Выделите ее и нажмите CTRL+ENTER