Peretas membajak 12 situs DeFi yang terdaftar di Name.com dan mencuri sekitar 138.000 dolar AS

Peretas mengambil alih belasan situs DeFi pada Jumat malam dan menggunakannya untuk menguras mata uang kripto dari dompet pengunjung. Catatan registri publik mengidentifikasi Name.com sebagai registrar bagi seluruh 12 situs yang disusupi dan diidentifikasi oleh firma keamanan Blockaid. Sepuluh domain ditangguhkan melalui registrar pada Sabtu pukul 08.32 ET, dalam selang beberapa detik satu sama lain. Domain-domain yang ditangguhkan berstatus “client hold”, yang mencegah resolusi, termasuk Pickle Finance, Origami Finance, FluxBeam, Echelon, StonkFun, dan StakePoint. Domain milik Flap dan Kintsu masih beroperasi dan belum ditangguhkan saat berita ini diterbitkan.

Sekitar 138.000 dolar AS dana curian telah dilacak melalui catatan on-chain ke tiga dompet di jaringan EVM. Ketiga dompet itu menyimpan sekitar 138.000 dolar AS pada Sabtu menjelang siang, terutama dalam bentuk MON dan ETH di Robinhood Chain, dengan hampir seluruh dana masuk setelah serangan dimulai. Perhitungan ini tidak mencakup potensi kerugian yang melibatkan FluxBeam, StonkFun, dan StakePoint berbasis Solana, serta Echelon berbasis Aptos, karena dana tersebut akan masuk ke dompet yang berbeda. Catatan on-chain menunjukkan para penyerang membagi hasil ke tiga dompet itu dalam porsi tetap sebesar 15%, 55%, dan 30%. Sebuah dompet Safe di BNB Chain menerima sekitar 3,1 BNB, senilai kira-kira 2.200 dolar AS, dari empat dompet antara pukul 21.00 dan 21.42 ET pada Jumat. Safe membagikan tiga setoran pertama ke tiga dompet penerima dan menyimpan sekitar 2,27 BNB pada Sabtu pagi. Dompet penerima yang sama menerima pembayaran dengan pembagian identik di Ethereum, Robinhood Chain, dan Monad, tempat Kintsu beroperasi. Dua dompet di Monad menukarkan token MON yang distaking di Kintsu dan menarik dana dari Neverland sebelum menukarkan hasilnya ke MON. Sebuah dompet di Robinhood Chain menarik saham yang ditokenisasi, termasuk NVDA dan AAPL, dari Morpho dan menukarkan saham tersebut ke ETH.

Blockaid mengatakan situs-situs yang disusupi menyebarkan Step Drainer, perangkat malware yang mengelabui pengunjung agar menyetujui transfer keluar setelah menghubungkan dompet. LevelBlue SpiderLabs menggambarkan Step Drainer pada April sebagai Malware-as-a-Service, yang dilaporkan tersedia dengan harga sekitar 750 dolar AS untuk kode sumber lengkap atau 150 dolar AS untuk versi yang mengambil 20% dari setiap pencurian. LevelBlue SpiderLabs mengatakan perangkat itu mengiklankan kompatibilitas dengan lebih dari 20 jaringan blockchain.

Seorang pengguna X menandai dugaan penyusupan terhadap Flap pada Jumat pukul 21.10 ET, sekitar satu jam sebelum Flap memperingatkan pengguna tentang pembajakan DNS yang memengaruhi flap.sh. Blockaid mengeluarkan peringatan mengenai Flap dan protokol liquid staking Kintsu pada pukul 22.54 ET, lalu mengidentifikasi 10 situs lain yang disusupi tak lama kemudian. Satu-satunya tanggapan publik Name.com hingga berita ini diterbitkan adalah balasan di X pada pukul 00.27 ET yang mengarahkan pengguna yang menyampaikan kekhawatiran ke formulir penyalahgunaan. Alamat email pers Name.com yang dipublikasikan menolak permintaan komentar, sementara perusahaan induknya, Identity Digital, tidak segera menanggapi.

Situs-situs terdampak menggunakan penyedia DNS yang berbeda, termasuk Cloudflare, Vercel, dan nameserver Name.com. Seorang pengguna X mengatakan bukti yang tersedia belum memastikan apakah penyusupan itu melibatkan Name.com secara langsung atau reseller seperti Vercel. Kintsu secara terbuka menyebut Vercel sebagai penyebab insiden, menggambarkan insiden itu sebagai sesuatu di luar kendali Kintsu, dan mengatakan Vercel belum menanggapi. Origami Finance awalnya memperingatkan adanya serangan yang sedang berlangsung dan melibatkan nameserver terkait Vercel. Origami Finance kemudian mengatakan vault protokol itu akan tetap dijeda sambil menunggu analisis akar penyebab dari Vercel atau Name.com. Pendiri Flap, Cedric, mengatakan tak lama setelah tengah malam bahwa timnya sedang menghubungi kedua perusahaan tersebut.

Siaran pers Name.com pada Desember 2025 menyebutkan Vercel memilih Name.com tahun lalu sebagai registrar untuk layanan domain Vercel yang dibangun ulang. Vercel belum memberikan komentar publik hingga Sabtu pagi, sementara halaman status kedua perusahaan menunjukkan semua sistem beroperasi normal. Vercel tidak segera menjawab permintaan komentar. Pada April, Vercel mengungkapkan adanya penyusupan ke sistem internal yang menurut Vercel terkait dengan alat AI pihak ketiga yang disusupi.

Belum ada proyek terdampak yang mengungkap jumlah korban, meskipun catatan on-chain menunjukkan setidaknya empat dompet mentransfer dana kepada para penyerang di BNB Chain saja. FluxBeam mengatakan proyek itu belum menerima laporan tentang pengguna yang terdampak. StonkFun memindahkan situsnya ke infrastruktur berbeda semalam dan mengatakan proyek itu tidak mengetahui adanya pengguna yang terdampak. Kintsu, Origami Finance, FluxBeam, dan StonkFun masing-masing mengatakan kontrak on-chain protokol mereka tidak terdampak. Agensi hubungan masyarakat Blockaid mengatakan Blockaid sedang menyelidiki pertanyaan yang diajukan kepada firma tersebut.

Pembajakan DNS sebelumnya berdampak pada Aerodrome dan Velodrome pada November 2025. Para penyerang menyusupi Galxe pada Oktober 2023 dengan mengakses akun Galxe di registrar domain Dynadot.