Хакеры перенаправили домены 15 DeFi-проектов
Злоумышленники изменили DNS-настройки 15 доменов и направили пользователей на сайты со Step Drainer для хищения средств из криптокошельков.
В ночь с 30 на 31 октября злоумышленники перенаправили домены 15 криптовалютных проектов на поддельные сайты. Среди затронутых проектов — Flap, Kintsu, Pickle Finance, Origami Finance, FluxBeam, Echelon, StonkFun и StakePoint.
Специалисты Blockaid сначала обнаружили вредоносные страницы на 12 сайтах. Позднее регистратор Name.com подтвердил несанкционированное перенаправление 15 доменов клиентов, восстановил контроль над ними и дополнительно защитил учетные записи. Компания начала расследование.
Злоумышленники изменили записи DNS — системы, которая связывает доменное имя с сервером. Поэтому пользователи, вводившие правильные адреса криптопроектов, попадали на поддельные страницы. Там им предлагали подписать операцию, похожую на обычное взаимодействие с DeFi-протоколом. Такая подпись могла дать злоумышленникам возможность вывести токены или получить контроль над отдельными позициями пользователя.
На зараженных страницах Blockaid обнаружила Step Drainer — инструмент для вывода криптовалюты из подключенных кошельков. Его продавали по модели «вредоносное ПО как услуга». Согласно исследованию LevelBlue, полная версия инструмента стоила около $750. Альтернативный вариант предлагали за $150, при этом разработчики получали 20% похищенных средств.
По данным Bitquery, потери 32 кошельков в шести блокчейнах составили около $202 386. Примерно 79% этой суммы пришлось на один кошелек в сети Monad: его владелец потерял токены и позиции общей стоимостью $160 531. Похищенные активы распределили между тремя кошельками в пропорции 55%, 30% и 15%.
Оценка не учитывает возможные хищения в сетях Solana и Aptos, поэтому окончательный размер ущерба неизвестен. Вечером 31 октября токены Kintsu примерно на $56 600 оставались в очереди на вывод из стейкинга и еще не были получены злоумышленниками.
Все 12 сайтов из первоначального списка Blockaid были зарегистрированы через Name.com, но использовали разных поставщиков DNS-инфраструктуры, включая Cloudflare, Vercel и самого регистратора. В Kintsu связали проблему с Vercel. Origami Finance сообщила об атаке на серверы имен, связанные с этой платформой.
Vercel подтвердила связь десяти затронутых доменов со своей платформой и участвует в расследовании. Первопричина компрометации остается неизвестной. Name.com и Vercel не сообщили, каким образом злоумышленники получили возможность менять настройки доменов. Команды Kintsu, Origami Finance, FluxBeam и StonkFun сообщили, что их смарт-контракты не пострадали.
Материалы на GNcrypto предоставляются исключительно в информационных целях и не являются финансовой рекомендацией. Мы стремимся публиковать точные и актуальные данные, однако не можем гарантировать их абсолютную достоверность, полноту или надёжность. GNcrypto не несёт ответственности за возможные ошибки, упущения или финансовые потери, возникшие вследствие использования данной информации. Все действия вы совершаете на свой страх и риск. Всегда проводите собственный анализ и консультируйтесь с профессионалами. Подробнее см. в наших страницах Условия, Политика конфиденциальности и Отказ от ответственности.
Статьи этого автора
