黑客通过Name.com劫持12个DeFi网站已盗取13.8万美元

十二个项目,同一注册商

十二个DeFi项目的官网被劫持,反过来对访问者下手。链上追踪目前确认的损失约为13.8万美元,所有受影响站点都指向同一个基础设施细节:域名均通过Name.com注册。十二个项目共享一家注册商,波及范围因此被放大,正是这家共同供应商把多起独立的域名事件串成了一次统一行动。安全公司Blockaid确认了其中四个站点被攻陷,分别是Flap、Kintsu、Pickle Finance和Origami Finance。攻击者没有搭建仿冒站点,而是直接在正规网站上植入恶意代码,因此连接钱包的访问者看到的仍是熟悉的界面。用户实际签署的,是一个由名为Step Drainer的盗刷工具生成的资产转移授权,一旦用户批准资金移动,钱包即刻被清空。入侵始于10月30日夜间,Flap随后披露遭遇DNS劫持,也就是域名解析记录被接管,流量在项目服务器未被触碰的情况下被重定向。目前已披露的记录到此为止,但因果链条并未闭环。这十二个站点在共享注册商之上运行着各自不同的DNS服务,因此接管行为既可能发生在Name.com内部系统,也可能发生在Vercel这类第三方云平台上;两种解释均未获证实。Kintsu和Origami Finance公开把矛头指向Vercel的基础设施,但这只是受害方的指认,并非已有定论。13.8万美元的统计覆盖以太坊、BNB Chain、Monad和Robinhood Chain四条链上的资金流,Solana和Aptos网络上的损失尚不在其中,这也是最终损失数字仍未确定的原因。在目前可得的披露材料中,Pickle Finance和Flap尚未发布详细的事后声明。两家受害项目方均表示,其链上智能合约从未被攻破,盗取完全通过前端签名完成。

盗刷工具经济与资金流向

时间线显示这次行动推进得有多快,以及被遏制得同样迅速。10月31日当地时间08:32,十个受影响域名被暂停,通往恶意页面的流量被切断;当天上午晚些时候,这十个域名全部恢复。LevelBlue SpiderLabs的研究给事件补上了商业化的一层:Step Drainer完整源代码的售价约为750美元,一个将盗取资金的20%作为分成上缴的变体版本成交价为150美元。如此低的门槛意味着低技术水平的不法分子也能入手,这与一次同时命中十二个不相关项目的行动特征相符。盗取的资金也没有原地不动。链上记录显示,赃款被归集至三个钱包,来源分别为以太坊、BNB Chain、Monad和Robinhood Chain,三者的分配比例为15%、55%和30%,13.8万美元的追踪正是沿着这些钱包完成的。被点名受害的Flap、Kintsu、Pickle Finance和Origami Finance均属山寨币生态中的小型协议,而非大型平台,这一画像正对准依赖零售用户连接钱包的盗刷工具。被两家受害团队指控的Vercel为这些项目托管前端,一旦该平台被攻破,每一位访问者都会暴露在风险之下。据了解,Name.com已向部分受影响团队表示,问题出在第三方而非其自身系统。Kintsu和Origami对Vercel的指控与注册商的推责并存,两个可能的故障点至今没有裁判。Origami Finance表示,在Vercel和Name.com完成根因分析之前,其资产托管服务将维持暂停。将域名映射到主机的DNS目录由注册商账户层级控制,而这种中心化控制正是ENS域名等链上命名体系所要消除的环节。受影响用户人数尚未披露,也没有追回资金的报告。

Aptos损失尚未计入

已确认的13.8万美元只是一个下限,而非全部。这一追踪结果排除了Solana和Aptos(一条layer 1区块链)上的损失,待这些网络计入后,最终数字还会上浮。对Aptos生态而言,此次暴露是结构性的而非合约层面的:前端是攻击面,链上合约完好无损,这把损失上限限定在个人用户余额,而非协议金库。悬而未决的问题,注册商还是托管服务商,决定了后续的整改路径。若问题出在注册商一侧,重点将落在Name.com的账户安全与转移控制上;若出在Vercel一侧,则指向部署流水线,相关团队需要自行加固托管环境。签署过恶意授权的用户追索手段有限,而这类前端签名损失正是DeFi保险产品通常不予覆盖的情形。这起安全事件与该网络的技术路线是两条线:Aptos主网上线的加密内存池,以20ms的延迟代价换取了交易隐私。目前记录能确立的是:四条链上约13.8万美元的损失,以及十二个被劫持的前端;记录无法确立的是,究竟是哪家供应商失守,而这一个答案,而非不断刷新的损失总额,才是受害项目真正在等待的东西。