Bilgisayar korsanları Name.com üzerinden kayıtlı 12 DeFi sitesini ele geçirip yaklaşık 138.000 dolar çaldı

Bilgisayar korsanları cuma gecesi bir düzine DeFi sitesini ele geçirerek ziyaretçilerin cüzdanlarındaki kripto paraları boşaltmak için kullandı. Kamuya açık kayıtlar, güvenlik şirketi Blockaid'in belirlediği 12 ele geçirilmiş sitenin tamamı için kayıt kuruluşunun Name.com olduğunu gösteriyor. Alan adlarından 10'u, cumartesi günü 08.32 ET'de, saniyeler içinde peş peşe kayıt kuruluşu üzerinden askıya alındı. Askıya alınan alan adları arasında Pickle Finance, Origami Finance, FluxBeam, Echelon, StonkFun ve StakePoint bulunuyor; bu alan adları, çözümlenmelerini engelleyen “client hold” statüsünde. Flap ve Kintsu'ya ait alan adları çalışmaya devam etti ve haber yayımlandığı sırada askıya alınmamıştı.

Zincir üstü kayıtlar, çalınan yaklaşık 138.000 dolarlık fonun EVM zincirlerindeki üç cüzdana kadar izlenebildiğini gösteriyor. Üç cüzdanda cumartesi sabahı geç saatlerde, ağırlıklı olarak MON ve Robinhood Chain ETH olmak üzere yaklaşık 138.000 dolar bulunuyordu; fonların neredeyse tamamı saldırı başladıktan sonra bu cüzdanlara ulaştı. Hesaplama, bu fonların farklı cüzdanlara gidecek olması nedeniyle Solana tabanlı FluxBeam, StonkFun ve StakePoint ile Aptos tabanlı Echelon'daki olası kayıpları kapsamıyor. Zincir üstü kayıtlar, saldırganların gelirleri üç cüzdan arasında sabit %15, %55 ve %30 oranlarında dağıttığını gösteriyor. BNB Chain'deki bir Safe cüzdanı, cuma günü 21.00-21.42 ET arasında dört cüzdandan yaklaşık 3,1 BNB, yani yaklaşık 2.200 dolar aldı. Safe, ilk üç yatırımı üç alıcı cüzdana dağıttı ve cumartesi sabahı yaklaşık 2,27 BNB'yi elinde tuttu. Aynı alıcı cüzdanlar Ethereum, Robinhood Chain ve Kintsu'nun faaliyet gösterdiği Monad'da da aynı oranlarda bölünmüş ödemeler aldı. Monad'daki iki cüzdan, Kintsu'nun stake edilmiş MON tokenini bozdurdu ve elde edilen geliri MON ile takas etmeden önce Neverland'den fon çekti. Robinhood Chain'deki bir cüzdan, Morpho'dan NVDA ve AAPL dahil tokenize edilmiş hisse senetlerini çekti ve bu hisseleri ETH ile takas etti.

Blockaid, ele geçirilen sitelerin cüzdanlar bağlandıktan sonra ziyaretçileri giden transferleri onaylamaya kandıran bir kötü amaçlı yazılım aracı olan Step Drainer'ı kullandığını söyledi. LevelBlue SpiderLabs, nisan ayında Step Drainer'ı Hizmet Olarak Kötü Amaçlı Yazılım olarak tanımlamış; aracın tam kaynak kodu için yaklaşık 750 dolara veya her hırsızlığın %20'sini alan bir sürüm için 150 dolara sunulduğu bildirilmişti. LevelBlue SpiderLabs, aracın 20'den fazla blokzincir ağıyla uyumlu olduğunu duyurduğunu söyledi.

Bir X kullanıcısı, cuma günü 21.10 ET'de Flap'te olası bir güvenlik ihlaline dikkat çekti. Bu, Flap'in flap.sh'yi etkileyen DNS ele geçirmesi konusunda kullanıcıları uyarmasından yaklaşık bir saat önceydi. Blockaid, 22.54 ET'de Flap ve likit stake protokolü Kintsu hakkında bir uyarı yayımladı, kısa süre sonra da ele geçirilen 10 site daha belirledi. Name.com'un haber yayımlandığı ana kadarki tek kamuya açık yanıtı, endişelerini dile getiren kullanıcıları bir kötüye kullanım bildirim formuna yönlendiren 00.27 ET tarihli bir X yanıtıydı. Name.com'un yayımladığı basın e-posta adresine gönderilen yorum talebi reddedildi; ana şirket Identity Digital ise hemen yanıt vermedi.

Etkilenen siteler Cloudflare, Vercel ve Name.com'un ad sunucuları dahil farklı DNS sağlayıcıları kullanıyor. Bir X kullanıcısı, mevcut kanıtların güvenlik ihlalinin doğrudan Name.com'u mu yoksa Vercel gibi bir bayiyi mi kapsadığını henüz ortaya koymadığını söyledi. Kintsu olayı kamuya açık biçimde Vercel'e bağladı, olayın Kintsu'nun kontrolü dışında olduğunu belirtti ve Vercel'in yanıt vermediğini söyledi. Origami Finance başlangıçta Vercel'le bağlantılı ad sunucularını içeren devam eden bir saldırı konusunda uyarıda bulundu. Origami Finance daha sonra, Vercel veya Name.com'dan kök neden analizini beklerken protokolün kasalarının duraklatılmış kalacağını söyledi. Flap geliştiricisi Cedric, gece yarısından kısa süre sonra ekibin her iki şirketle de iletişime geçtiğini söyledi.

Name.com'un Aralık 2025 tarihli bir basın açıklamasında, Vercel'in geçen yıl yenilenen alan adı hizmeti için kayıt kuruluşu olarak Name.com'u seçtiği belirtildi. Cumartesi sabahı itibarıyla Vercel kamuya açık bir açıklama yapmamıştı; her iki şirketin durum sayfaları da tüm sistemlerin normal çalıştığını gösteriyordu. Vercel, yorum talebine hemen yanıt vermedi. Vercel, nisan ayında dahili sistemlerine yönelik bir ihlali açıklamış ve bunu ele geçirilmiş bir üçüncü taraf yapay zeka aracına bağlamıştı.

Zincir üstü kayıtlar, yalnızca BNB Chain'de en az dört cüzdanın saldırganlara fon aktardığını gösterse de etkilenen projelerin hiçbiri mağdur sayısını açıklamamıştı. FluxBeam, etkilenen kullanıcılara ilişkin herhangi bir bildirim almadığını söyledi. StonkFun, gece boyunca sitesini farklı bir altyapıya taşıdı ve etkilenen kullanıcı bildiğini söyledi. Kintsu, Origami Finance, FluxBeam ve StonkFun, protokollerin zincir üstü sözleşmelerinin etkilenmediğini belirtti. Blockaid'in halkla ilişkiler ajansı, şirketin kendisine yöneltilen soruları incelediğini söyledi.

Daha önceki DNS ele geçirmeleri, Kasım 2025'te Aerodrome ve Velodrome'u etkilemişti. Saldırganlar, Ekim 2023'te alan adı kayıt kuruluşu Dynadot'taki Galxe hesabına erişerek Galxe'yi ele geçirmişti.