Хронология и список проектов
Первый алерт Blockaid вышел 31 октября 05:54 по московскому времени и касался доменов flap.sh и kintsu.xyz. В 06:16 по московскому времени аналитики расширили перечень ещё на десять адресов, которые активно отдавали вредоносный код:
- stonkfun.xyz (StonkFun);
- pickle.finance (Pickle Finance);
- echelon.market (Echelon);
- origami.finance (Origami Finance);
- fluxbeam.xyz (FluxBeam);
- stakepoint.app (Stakepoint);
- supswap.xyz (SupSwap);
- longbow.cash (Longbow);
- shprd.finance (SHPRD);
- apexdefi.xyz (ApeX DeFi).
Вместе с Flap и Kintsu это и составляет все 12 пострадавших проектов.
Реакция команд
Kintsu подтвердил DNS-hijack на уровне регистратора. В 06:35 по московскому времени команда предупредила, что kintsu.xyz отдаёт вредоносный сайт, и попросила не заходить на него, не подключать кошельки и не подписывать транзакции. Тем, кто взаимодействовал с ресурсом после 03:00 по московскому времени 31 октября, рекомендовали отозвать approvals через revoke.cash и перевести средства на другие адреса. Позже проект сообщил о восстановлении корректной маршрутизации, но попросил сохранять осторожность, пока не установлена первопричина.
Flap тоже подтвердил перехват домена flap.sh и перенёс пользователей на новый адрес flap.cool. Команда проверяет возможную причастность провайдера доменных услуг и работает вместе с Blockaid, Vercel и Name.com.
Что объединяет жертв
Разработчик banteg, автор Yearn, указал на общую деталь: все затронутые домены зарегистрированы у Name.com, хотя проекты используют разных DNS-провайдеров. Поэтому именно регистратор выглядит наиболее вероятной точкой компрометации. Публичных заявлений от самой Name.com на момент публикации не было.
Объём похищенных средств и число пострадавших пользователей пока неизвестны. Часть проектов уже вернула контроль над доменами или переехала на новые адреса, однако отдельные DNS-кэши могут ещё какое-то время отдавать вредоносные записи.
Мнение ИИ
Анализ исторических паттернов показывает: DNS-слой давно служит ахиллесовой пятой DeFi. Июльская волна 2024 года накрыла Compound, Celer и Pendle, причём общим знаменателем тогда тоже оказался регистратор Squarespace, а не смарт-контракты. Децентрализованный протокол, вход в который держится на одной учётной записи в обычном реестре доменов, напоминает бронированную дверь, прикрученную к картонной стене. С технической стороны риск снижают блокировка домена на уровне реестра (registry lock), двухфакторная аутентификация с аппаратными ключами, мониторинг DNS-записей и привязка интерфейса к ENS или IPFS. Ситуация демонстрирует, что периметр безопасности блокчейна упирается в строку браузера.
hashtelegraph.com
