12 криптопроектов попали под DNS-атаку: злоумышленники подменили их сайты

Компания по кибербезопасности Blockaid зафиксировала волну атак на фронтенды как минимум 12 криптопроектов: злоумышленники подменили DNS-записи доменов, и пользователи попадали на клоны сайтов с дрейнером по подписке (Step Drainer). Смарт-контракты и исходный код проектов остались нетронутыми.

Как работала подмена

Схема опасна тем, что визуально всё выглядело нормально. Пользователь вводил настоящий адрес, браузер показывал замочек безопасного соединения, но вместо оригинального сайта открывалась копия. Любая подпись или подключение кошелька на такой странице давали дрейнеру доступ к средствам.

По данным GoPlus Security, которая тоже связала инцидент с компрометацией регистратора, Step Drainer выводит активы двумя способами: через прямые переводы нативного токена и через злоупотребление разрешениями (approvals) для токенов ERC-20.

Будьте в курсе
движения ваших монет

Алерты, котировки в реальном времени и новости рынка — в одном приложении

Наведите камеру телефона, чтобы установить

4,8 на основе 40 К оценок в App Store и Google Play

Хронология и список проектов

Первый алерт Blockaid вышел 31 октября 05:54 по московскому времени и касался доменов flap.sh и kintsu.xyz. В 06:16 по московскому времени аналитики расширили перечень ещё на десять адресов, которые активно отдавали вредоносный код:

• stonkfun.xyz (StonkFun);
• pickle.finance (Pickle Finance);
• echelon.market (Echelon);
• origami.finance (Origami Finance);
• fluxbeam.xyz (FluxBeam);
• stakepoint.app (Stakepoint);
• supswap.xyz (SupSwap);
• longbow.cash (Longbow);
• shprd.finance (SHPRD);
• apexdefi.xyz (ApeX DeFi).

Вместе с Flap и Kintsu это и составляет все 12 пострадавших проектов.

Реакция команд

Kintsu подтвердил DNS-hijack на уровне регистратора. В 06:35 по московскому времени команда предупредила, что kintsu.xyz отдаёт вредоносный сайт, и попросила не заходить на него, не подключать кошельки и не подписывать транзакции. Тем, кто взаимодействовал с ресурсом после 03:00 по московскому времени 31 октября, рекомендовали отозвать approvals через revoke.cash и перевести средства на другие адреса. Позже проект сообщил о восстановлении корректной маршрутизации, но попросил сохранять осторожность, пока не установлена первопричина.

Flap тоже подтвердил перехват домена flap.sh и перенёс пользователей на новый адрес flap.cool. Команда проверяет возможную причастность провайдера доменных услуг и работает вместе с Blockaid, Vercel и Name.com.

Что объединяет жертв

Разработчик banteg, автор Yearn, указал на общую деталь: все затронутые домены зарегистрированы у Name.com, хотя проекты используют разных DNS-провайдеров. Поэтому именно регистратор выглядит наиболее вероятной точкой компрометации. Публичных заявлений от самой Name.com на момент публикации не было.

Объём похищенных средств и число пострадавших пользователей пока неизвестны. Часть проектов уже вернула контроль над доменами или переехала на новые адреса, однако отдельные DNS-кэши могут ещё какое-то время отдавать вредоносные записи.

Мнение ИИ

Анализ исторических паттернов показывает: DNS-слой давно служит ахиллесовой пятой DeFi. Июльская волна 2024 года накрыла Compound, Celer и Pendle, причём общим знаменателем тогда тоже оказался регистратор Squarespace, а не смарт-контракты. Децентрализованный протокол, вход в который держится на одной учётной записи в обычном реестре доменов, напоминает бронированную дверь, прикрученную к картонной стене. С технической стороны риск снижают блокировка домена на уровне реестра (registry lock), двухфакторная аутентификация с аппаратными ключами, мониторинг DNS-записей и привязка интерфейса к ENS или IPFS. Ситуация демонстрирует, что периметр безопасности блокчейна упирается в строку браузера.

Источник