Hacker dirottano 12 siti DeFi registrati con Name.com e rubano circa 138.000 dollari

Venerdì a tarda ora gli hacker hanno preso il controllo di una dozzina di siti DeFi e li hanno usati per sottrarre criptovalute dai wallet dei visitatori. I registri pubblici dei domini indicano Name.com come registrar di tutti i 12 siti compromessi identificati dalla società di sicurezza Blockaid. Dieci domini sono stati sospesi tramite il registrar alle 8:32 ET di sabato, a pochi secondi l'uno dall'altro. I domini sospesi hanno lo status «client hold», che ne impedisce la risoluzione; tra questi figurano Pickle Finance, Origami Finance, FluxBeam, Echelon, StonkFun e StakePoint. I domini di Flap e Kintsu erano ancora operativi e non erano stati sospesi al momento della pubblicazione.

Circa 138.000 dollari di fondi rubati sono stati ricondotti tramite i registri onchain a tre wallet su blockchain EVM. Nella tarda mattinata di sabato i tre wallet contenevano circa 138.000 dollari, principalmente in MON e ETH di Robinhood Chain; quasi tutti i fondi erano arrivati dopo l'inizio dell'attacco. Il calcolo esclude le potenziali perdite relative a FluxBeam, StonkFun e StakePoint, basati su Solana, e a Echelon, basato su Aptos, perché quei fondi sarebbero finiti in wallet diversi. I registri onchain mostrano che gli aggressori hanno distribuito i proventi tra i tre wallet in quote fisse del 15%, 55% e 30%. Venerdì, tra le 21:00 e le 21:42 ET, un wallet Safe su BNB Chain ha ricevuto circa 3,1 BNB, per un valore di circa 2.200 dollari, da quattro wallet. Safe ha distribuito i primi tre versamenti tra i tre wallet destinatari e sabato mattina conservava circa 2,27 BNB. Gli stessi wallet destinatari hanno ricevuto pagamenti suddivisi nelle medesime proporzioni su Ethereum, Robinhood Chain e Monad, dove opera Kintsu. Due wallet su Monad hanno riscattato il token MON in staking di Kintsu e prelevato fondi da Neverland, prima di convertire i proventi in MON. Un wallet su Robinhood Chain ha prelevato da Morpho azioni tokenizzate, tra cui NVDA e AAPL, e le ha convertite in ETH.

Blockaid ha detto che i siti compromessi utilizzavano Step Drainer, un kit malware che induce i visitatori ad approvare trasferimenti in uscita dopo aver collegato i wallet. Ad aprile LevelBlue SpiderLabs ha descritto Step Drainer come un servizio di Malware-as-a-Service, disponibile, secondo quanto riferito, a circa 750 dollari per il codice sorgente completo o a 150 dollari per una versione che trattiene il 20% di ogni furto. LevelBlue SpiderLabs ha detto che il kit pubblicizza la compatibilità con oltre 20 reti blockchain.

Venerdì alle 21:10 ET un utente di X ha segnalato un'apparente compromissione di Flap, circa un'ora prima che Flap avvertisse gli utenti di un dirottamento DNS che interessava flap.sh. Alle 22:54 ET Blockaid ha diramato un avviso su Flap e sul protocollo di liquid staking Kintsu, identificando poco dopo altri 10 siti compromessi. Al momento della pubblicazione, l'unica risposta pubblica di Name.com era una replica su X alle 00:27 ET, in cui invitava gli utenti che avevano segnalato problemi a usare un modulo per le segnalazioni di abusi. L'indirizzo email per la stampa pubblicato da Name.com ha respinto una richiesta di commento e la società madre Identity Digital non ha risposto subito.

I siti interessati utilizzano diversi provider DNS, tra cui Cloudflare, Vercel e i nameserver di Name.com. Un utente di X ha detto che gli elementi disponibili non permettevano ancora di stabilire se la compromissione riguardasse direttamente Name.com o un rivenditore come Vercel. Kintsu ha attribuito pubblicamente l'incidente a Vercel, ha descritto l'accaduto come al di fuori del proprio controllo e ha detto che Vercel non aveva risposto. Inizialmente Origami Finance ha avvertito di un attacco in corso che coinvolgeva nameserver associati a Vercel. In seguito Origami Finance ha detto che i vault del protocollo sarebbero rimasti in pausa in attesa di un'analisi delle cause principali da parte di Vercel o Name.com. Poco dopo la mezzanotte, Cedric, sviluppatore di Flap, ha detto che il team stava contattando entrambe le società.

Un comunicato stampa di Name.com del dicembre 2025 affermava che Vercel aveva scelto Name.com l'anno precedente come registrar per il servizio di domini rinnovato di Vercel. Sabato mattina Vercel non aveva rilasciato dichiarazioni pubbliche, mentre le pagine di stato di entrambe le società indicavano che tutti i sistemi funzionavano normalmente. Vercel non ha risposto subito a una richiesta di commento. Ad aprile Vercel aveva reso nota un'intrusione nei propri sistemi interni, che la società aveva collegato alla compromissione di uno strumento di IA di terze parti.

Nessun progetto colpito aveva reso noto il numero delle vittime, sebbene i registri onchain mostrino che almeno quattro wallet hanno trasferito fondi agli aggressori sulla sola BNB Chain. FluxBeam ha detto di non aver ricevuto segnalazioni di utenti colpiti. StonkFun ha trasferito il sito su un'infrastruttura diversa nel corso della notte e ha detto di non essere a conoscenza di utenti colpiti. Kintsu, Origami Finance, FluxBeam e StonkFun hanno dichiarato ciascuno che i contratti onchain dei rispettivi protocolli non erano stati interessati. L'agenzia di pubbliche relazioni di Blockaid ha detto che la società stava esaminando le domande ricevute.

A novembre 2025 attacchi di dirottamento DNS avevano colpito Aerodrome e Velodrome. Nell'ottobre 2023 gli aggressori avevano compromesso Galxe accedendo al suo account presso il registrar di domini Dynadot.