แฮกเกอร์ยึดเว็บไซต์ DeFi 12 แห่งที่จดทะเบียนกับ Name.com ขโมยเงินราว 138,000 ดอลลาร์

แฮกเกอร์ยึดเว็บไซต์ DeFi 12 แห่งเมื่อช่วงดึกวันศุกร์ และใช้เว็บไซต์เหล่านั้นดูดเงินคริปโตจากกระเป๋าของผู้เข้าชม บันทึกทะเบียนสาธารณะระบุว่า Name.com เป็นผู้รับจดทะเบียนเว็บไซต์ทั้ง 12 แห่งที่ถูกบุกรุกตามที่บริษัทความปลอดภัย Blockaid ตรวจพบ โดเมน 10 ชื่อถูกระงับผ่านผู้รับจดทะเบียนเมื่อเวลา 8:32 น. ET วันเสาร์ โดยระงับห่างกันเพียงไม่กี่วินาที โดเมนที่ถูกระงับมีสถานะ “client hold” ซึ่งทำให้ไม่สามารถค้นหาโดเมนได้ รวมถึง Pickle Finance, Origami Finance, FluxBeam, Echelon, StonkFun และ StakePoint ส่วนโดเมนของ Flap และ Kintsu ยังคงใช้งานได้และยังไม่ถูกระงับในเวลาที่เผยแพร่ข่าว

มีการติดตามเงินที่ถูกขโมยไปราว 138,000 ดอลลาร์ผ่านบันทึกบนเชนไปยัง 3 กระเป๋าบนเครือข่าย EVM กระเป๋าทั้ง 3 มีเงินรวมราว 138,000 ดอลลาร์เมื่อช่วงสายวันเสาร์ โดยส่วนใหญ่เป็น MON และ ETH บน Robinhood Chain และเงินเกือบทั้งหมดเข้ามาหลังเริ่มการโจมตี การคำนวณนี้ไม่รวมความเสียหายที่อาจเกิดขึ้นกับ FluxBeam, StonkFun และ StakePoint บน Solana รวมถึง Echelon บน Aptos เนื่องจากเงินเหล่านั้นจะถูกส่งไปยังกระเป๋าอื่น บันทึกบนเชนแสดงว่าผู้โจมตีแบ่งเงินที่ได้มาให้กระเป๋าทั้ง 3 ในสัดส่วนคงที่ 15%, 55% และ 30% กระเป๋า Safe บน BNB Chain ได้รับเงินราว 3.1 BNB มูลค่าประมาณ 2,200 ดอลลาร์ จาก 4 กระเป๋าระหว่างเวลา 21:00 น. ถึง 21:42 น. ET วันศุกร์ Safe กระจายเงินฝาก 3 รายการแรกไปยังกระเป๋าผู้รับทั้ง 3 และเหลือเงินไว้ราว 2.27 BNB เมื่อเช้าวันเสาร์ กระเป๋าผู้รับชุดเดียวกันได้รับเงินในสัดส่วนเดียวกันบน Ethereum, Robinhood Chain และ Monad ซึ่งเป็นเครือข่ายที่ Kintsu ดำเนินงาน กระเป๋า 2 ใบบน Monad แลกคืนโทเคน MON แบบวางเดิมพันของ Kintsu และถอนเงินจาก Neverland ก่อนนำเงินที่ได้ไปแลกเป็น MON กระเป๋า 1 ใบบน Robinhood Chain ถอนหุ้นในรูปแบบโทเคน รวมถึง NVDA และ AAPL จาก Morpho แล้วแลกหุ้นเป็น ETH

Blockaid ระบุว่าเว็บไซต์ที่ถูกบุกรุกติดตั้ง Step Drainer ซึ่งเป็นชุดเครื่องมือมัลแวร์ที่หลอกให้ผู้เข้าชมอนุมัติการโอนเงินออกหลังเชื่อมต่อกระเป๋า LevelBlue SpiderLabs อธิบาย Step Drainer เมื่อเดือนเมษายนว่าเป็นมัลแวร์ในรูปแบบบริการ ซึ่งมีรายงานว่าจำหน่ายในราคาประมาณ 750 ดอลลาร์สำหรับซอร์สโค้ดฉบับเต็ม หรือ 150 ดอลลาร์สำหรับเวอร์ชันที่หักเงิน 20% จากการขโมยแต่ละครั้ง LevelBlue SpiderLabs ระบุว่าชุดเครื่องมือนี้โฆษณาว่ารองรับเครือข่ายบล็อกเชนมากกว่า 20 แห่ง

ผู้ใช้ X รายหนึ่งแจ้งเหตุที่ดูเหมือนเป็นการบุกรุก Flap เมื่อเวลา 21:10 น. ET วันศุกร์ ราว 1 ชั่วโมงก่อนที่ Flap จะเตือนผู้ใช้เรื่องการยึดระบบ DNS ที่กระทบ flap.sh Blockaid แจ้งเตือนเกี่ยวกับ Flap และ Kintsu ซึ่งเป็นโปรโตคอล liquid staking เมื่อเวลา 22:54 น. ET ก่อนจะระบุเว็บไซต์ที่ถูกบุกรุกเพิ่มอีก 10 แห่งในเวลาไม่นาน คำชี้แจงสาธารณะเพียงอย่างเดียวของ Name.com ณ เวลาที่เผยแพร่ข่าว คือการตอบกลับบน X เมื่อเวลา 00:27 น. ET โดยแนะนำให้ผู้ใช้ที่แจ้งข้อกังวลส่งข้อมูลผ่านแบบฟอร์มแจ้งการใช้งานในทางที่ผิด อีเมลฝ่ายสื่อมวลชนที่ Name.com เผยแพร่ปฏิเสธคำขอให้แสดงความเห็น และ Identity Digital ซึ่งเป็นบริษัทแม่ยังไม่ได้ตอบกลับในทันที

เว็บไซต์ที่ได้รับผลกระทบใช้ผู้ให้บริการ DNS หลายราย รวมถึง Cloudflare, Vercel และเนมเซิร์ฟเวอร์ของ Name.com ผู้ใช้ X รายหนึ่งกล่าวว่าหลักฐานที่มีอยู่ยังไม่ยืนยันว่าการบุกรุกเกี่ยวข้องกับ Name.com โดยตรงหรือเกี่ยวข้องกับผู้ขายต่อ เช่น Vercel Kintsu ระบุต่อสาธารณะว่า Vercel เป็นต้นเหตุของเหตุการณ์ เรียกเหตุการณ์นี้ว่าอยู่นอกเหนือการควบคุมของ Kintsu และกล่าวว่า Vercel ยังไม่ตอบกลับ ส่วน Origami Finance เตือนในเบื้องต้นว่ากำลังเกิดการโจมตีที่เกี่ยวข้องกับเนมเซิร์ฟเวอร์ของ Vercel ต่อมา Origami Finance ระบุว่าห้องนิรภัยของโปรโตคอลจะยังคงหยุดให้บริการไว้จนกว่า Vercel หรือ Name.com จะวิเคราะห์หาสาเหตุที่แท้จริง Cedric ผู้พัฒนา Flap กล่าวหลังเที่ยงคืนไม่นานว่าทีมกำลังติดต่อทั้งสองบริษัท

ข่าวประชาสัมพันธ์ของ Name.com เมื่อเดือนธันวาคม 2025 ระบุว่า Vercel เลือก Name.com เมื่อปีที่แล้วให้เป็นผู้รับจดทะเบียนสำหรับบริการโดเมนที่ Vercel สร้างขึ้นใหม่ Vercel ยังไม่ได้แสดงความเห็นต่อสาธารณะในเช้าวันเสาร์ ขณะที่หน้าสถานะของทั้งสองบริษัทแสดงว่าทุกระบบทำงานตามปกติ Vercel ยังไม่ได้ตอบคำขอให้แสดงความเห็นในทันที เมื่อเดือนเมษายน Vercel เปิดเผยว่ามีผู้บุกรุกระบบภายใน ซึ่ง Vercel ระบุว่าเชื่อมโยงกับเครื่องมือ AI ของบุคคลที่สามที่ถูกเจาะ

ไม่มีโครงการที่ได้รับผลกระทบเปิดเผยจำนวนผู้เสียหาย แม้ว่าบันทึกบนเชนจะแสดงว่ามีกระเป๋าอย่างน้อย 4 ใบโอนเงินให้ผู้โจมตีบน BNB Chain เพียงเครือข่ายเดียว FluxBeam ระบุว่าโครงการยังไม่ได้รับรายงานว่ามีผู้ใช้ได้รับผลกระทบ StonkFun ย้ายเว็บไซต์ไปยังโครงสร้างพื้นฐานอื่นในชั่วข้ามคืน และกล่าวว่าโครงการไม่ทราบว่ามีผู้ใช้ได้รับผลกระทบ Kintsu, Origami Finance, FluxBeam และ StonkFun ต่างระบุว่าสัญญาบนเชนของโปรโตคอลไม่ได้รับผลกระทบ หน่วยงานประชาสัมพันธ์ของ Blockaid ระบุว่า Blockaid กำลังตรวจสอบคำถามที่ส่งไปยังบริษัท

ก่อนหน้านี้มีเหตุยึดระบบ DNS ที่กระทบ Aerodrome และ Velodrome เมื่อเดือนพฤศจิกายน 2025 ส่วนในเดือนตุลาคม 2023 ผู้โจมตีเข้าถึงบัญชีของ Galxe ที่ผู้รับจดทะเบียนโดเมน Dynadot และบุกรุก Galxe