Злоумышленники перенаправили посетителей 15 сайтов криптовалютных проектов на поддельные страницы для хищения цифровых активов. Об инциденте сообщили специалисты компании по кибербезопасности Blockaid.
Атака произошла в ночь с 30 на 31 октября. Среди пострадавших оказались Flap, Kintsu, Pickle Finance, Origami Finance, FluxBeam, Echelon, StonkFun и StakePoint.
Сначала в Blockaid выявили вредоносные страницы на 12 сайтах. Позднее Name.com подтвердил несанкционированное перенаправление 15 доменов своих клиентов.
Регистратор восстановил контроль над доменами, дополнительно защитил учетные записи клиентов и начал разбираться в обстоятельствах произошедшего, заявили разработчики.
Как работала атака
Хакеры изменили настройки DNS — системы, которая связывает доменные имена с адресами серверов. В результате пользователь вводил правильный адрес криптопроекта, но попадал на поддельный сайт.
На зараженных страницах аналитики Blockaid обнаружили Step Drainer — вредоносный инструмент для вывода криптовалют из подключенных кошельков.
Посетителям предлагали подписать операцию, которая выглядела как обычное взаимодействие с DeFi-протоколом. На деле такая подпись могла позволить злоумышленникам вывести токены или получить контроль над отдельными позициями пользователя.
Step Drainer продавали по модели «вредоносное ПО как услуга». Согласно исследованию LevelBlue, исходный код инструмента стоил около $750. Альтернативный вариант обходился в $150, но разработчики получали 20% похищенных средств.
Ончейн-данные показали, что полученные активы распределялись между тремя кошельками в пропорции 55%, 30% и 15%.
Аналитики Bitquery оценили потери 32 кошельков в шести блокчейнах в $202 386. Около 79% установленного ущерба пришлось на один кошелек в сети Monad: его владелец потерял токены и позиции общей стоимостью $160 531.
Вечером 31 октября похищенные токены Kintsu примерно на $56 600 еще оставались в очереди на вывод из стейкинга — хакеры их пока не получили.
Окончательный размер потерь неизвестен. Оценка Bitquery не включает возможные хищения в сетях Solana и Aptos.
Name.com и Vercel начали расследование
Все 12 сайтов из первоначального списка Blockaid были зарегистрированы через Name.com. При этом они использовали разных поставщиков DNS-инфраструктуры, включая Cloudflare, Vercel и самого регистратора.
В Kintsu заявили, что проблема возникла на стороне Vercel. Origami Finance, в свою очередь, сообщила об атаке на связанные с Vercel серверы имен.
Vercel подтвердила, что десять затронутых доменов связаны с ее платформой. Name.com уже восстановил их работу, а Vercel помогает в расследовании.
Первопричина компрометации остается неизвестной. Ни одна из компаний пока не раскрыла, как злоумышленники получили возможность менять настройки доменов.
Команды Kintsu, Origami Finance, FluxBeam и StonkFun заявили, что их смарт-контракты не пострадали.
Будь в курсе! Подписывайся на Телеграм.
Подписывайтесь на страницы новостей криптовалют -
![Друкмиллер инвестирует в Trade[XYZ] на фоне планов ICE по запуску регулируемого рынка Hyperliquid](https://newscryptocoin.com/wp-content/uploads/2026/10/8c5846120075589a9de9cb3f268ff2c08baa1601-120x86.jpg)
