Хакеры перенаправили домены 15 DeFi-проектов на фишинговые сайты
Злоумышленники изменили DNS-настройки доменов 15 криптопроектов, перенаправив посетителей на поддельные страницы для кражи цифровых активов. Атака произошла в ночь с 30 на 31 октября.
О инциденте сообщила компания по кибербезопасности Blockaid. Сначала специалисты выявили вредоносные страницы на 12 сайтах, среди которых Flap, Kintsu, Pickle Finance, Origami Finance, FluxBeam, Echelon, StonkFun и StakePoint. Позднее регистратор Name.com подтвердил несанкционированное перенаправление 15 доменов своих клиентов.
Хакеры изменили настройки DNS — системы, связывающей доменные имена с адресами серверов. В результате пользователь вводил правильный адрес криптопроекта, но попадал на поддельный сайт. На зараженных страницах аналитики Blockaid обнаружили Step Drainer — вредоносный инструмент для вывода криптовалют из подключенных кошельков. Посетителям предлагали подписать операцию, выглядевшую как обычное взаимодействие с DeFi-протоколом, но на деле она позволяла злоумышленникам вывести токены или получить контроль над позициями.
Step Drainer распространялся по модели «вредоносное ПО как услуга». Согласно исследованию LevelBlue, исходный код инструмента стоил около $750, а альтернативный вариант — $150 с комиссией 20% от похищенных средств. Ончейн-данные показали, что полученные активы распределялись между тремя кошельками в пропорции 55%, 30% и 15%.
Аналитики Bitquery оценили потери 32 кошельков в шести блокчейнах в $202 386. Около 79% ущерба пришлось на один кошелек в сети Monad: его владелец потерял токены и позиции общей стоимостью $160 531. Вечером 31 октября похищенные токены Kintsu примерно на $56 600 еще оставались в очереди на вывод из стейкинга.
Все 12 сайтов из первоначального списка Blockaid были зарегистрированы через Name.com и использовали разных поставщиков DNS-инфраструктуры, включая Cloudflare, Vercel и самого регистратора. В Kintsu заявили, что проблема возникла на стороне Vercel. Origami Finance сообщила об атаке на связанные с Vercel серверы имен. Vercel подтвердила, что десять затронутых доменов связаны с ее платформой, и помогает в расследовании. Name.com восстановил контроль над доменами и дополнительно защитил учетные записи клиентов.
Первопричина компрометации остается неизвестной. Команды Kintsu, Origami Finance, FluxBeam и StonkFun заявили, что их смарт-контракты не пострадали. Окончательный размер потерь неизвестен — оценка Bitquery не включает возможные хищения в сетях Solana и Aptos.