Tin tặc chiếm quyền kiểm soát 12 website DeFi đăng ký qua Name.com, đánh cắp khoảng 138.000 USD

Tin tặc đã chiếm quyền kiểm soát hàng chục website DeFi vào tối muộn thứ Sáu và dùng các trang này để rút tiền mã hóa khỏi ví của khách truy cập. Hồ sơ đăng ký công khai xác định Name.com là nhà đăng ký của cả 12 website bị xâm nhập mà công ty bảo mật Blockaid phát hiện. Mười tên miền bị đình chỉ thông qua nhà đăng ký lúc 8:32 sáng thứ Bảy theo giờ ET, chỉ cách nhau vài giây. Các tên miền bị đình chỉ có trạng thái “client hold”, khiến chúng không thể được phân giải; trong số đó có Pickle Finance, Origami Finance, FluxBeam, Echelon, StonkFun và StakePoint. Các tên miền của Flap và Kintsu vẫn hoạt động và chưa bị đình chỉ vào thời điểm bài viết được đăng.

Khoảng 138.000 USD tiền bị đánh cắp đã được truy dấu qua dữ liệu trên chuỗi đến ba ví trên các blockchain EVM. Ba ví này nắm giữ khoảng 138.000 USD vào sáng muộn thứ Bảy, chủ yếu là MON và ETH trên Robinhood Chain; gần như toàn bộ số tiền được chuyển đến sau khi vụ tấn công bắt đầu. Con số này không tính các khoản thiệt hại tiềm tàng liên quan đến FluxBeam, StonkFun và StakePoint trên Solana, cũng như Echelon trên Aptos, vì số tiền đó sẽ được chuyển đến các ví khác. Dữ liệu trên chuỗi cho thấy những kẻ tấn công chia tiền thu được vào ba ví theo các tỷ lệ cố định là 15%, 55% và 30%. Một ví Safe trên BNB Chain nhận khoảng 3,1 BNB, trị giá xấp xỉ 2.200 USD, từ bốn ví trong khoảng thời gian từ 21:00 đến 21:42 thứ Sáu theo giờ ET. Safe phân phối ba khoản tiền gửi đầu tiên cho ba ví nhận tiền và vẫn giữ khoảng 2,27 BNB vào sáng thứ Bảy. Các ví nhận tiền tương tự cũng nhận được khoản thanh toán chia theo tỷ lệ giống hệt trên Ethereum, Robinhood Chain và Monad, nơi Kintsu hoạt động. Hai ví trên Monad quy đổi token MON đã staking của Kintsu và rút tiền từ Neverland trước khi đổi số tiền thu được sang MON. Một ví trên Robinhood Chain rút cổ phiếu được mã hóa, gồm NVDA và AAPL, khỏi Morpho rồi đổi số cổ phiếu này sang ETH.

Blockaid cho biết các website bị xâm nhập đã triển khai Step Drainer, một bộ công cụ phần mềm độc hại lừa khách truy cập phê duyệt các giao dịch chuyển tiền đi sau khi kết nối ví. LevelBlue SpiderLabs mô tả Step Drainer vào tháng 4 là dịch vụ phần mềm độc hại theo mô hình Malware-as-a-Service, được cho là cung cấp với giá khoảng 750 USD cho mã nguồn đầy đủ hoặc 150 USD cho phiên bản lấy 20% mỗi khoản tiền bị đánh cắp. LevelBlue SpiderLabs cho biết bộ công cụ này quảng cáo khả năng tương thích với hơn 20 mạng blockchain.

Một người dùng X cảnh báo về dấu hiệu Flap bị xâm nhập lúc 21:10 thứ Sáu theo giờ ET, khoảng một giờ trước khi Flap cảnh báo người dùng về vụ chiếm quyền kiểm soát DNS ảnh hưởng đến flap.sh. Blockaid phát cảnh báo về Flap và giao thức liquid staking Kintsu lúc 22:54 theo giờ ET, sau đó nhanh chóng xác định thêm 10 website bị xâm nhập. Phản hồi công khai duy nhất của Name.com tính đến thời điểm bài viết được đăng là câu trả lời trên X lúc 0:27 sáng theo giờ ET, hướng dẫn người dùng đã nêu lo ngại gửi thông tin qua biểu mẫu báo cáo lạm dụng. Địa chỉ email báo chí được Name.com công bố đã từ chối yêu cầu bình luận, còn công ty mẹ Identity Digital chưa phản hồi ngay lập tức.

Các website bị ảnh hưởng sử dụng nhiều nhà cung cấp DNS khác nhau, gồm Cloudflare, Vercel và máy chủ tên miền của Name.com. Một người dùng X cho biết bằng chứng hiện có chưa xác định được liệu vụ xâm nhập có liên quan trực tiếp đến Name.com hay một đại lý bán lại như Vercel. Kintsu công khai quy trách nhiệm vụ việc cho Vercel, mô tả sự cố nằm ngoài tầm kiểm soát của Kintsu và cho biết Vercel chưa phản hồi. Ban đầu, Origami Finance cảnh báo về một cuộc tấn công đang diễn ra liên quan đến các máy chủ tên miền gắn với Vercel. Sau đó, Origami Finance cho biết các kho tiền của giao thức sẽ tiếp tục tạm dừng cho đến khi Vercel hoặc Name.com phân tích nguyên nhân gốc rễ. Cedric, nhà phát triển Flap, cho biết ngay sau nửa đêm rằng nhóm đang liên hệ với cả hai công ty.

Một thông cáo báo chí của Name.com vào tháng 12 năm 2025 cho biết năm ngoái Vercel đã chọn Name.com làm nhà đăng ký cho dịch vụ tên miền được xây dựng lại của Vercel. Vercel chưa đưa ra bình luận công khai vào sáng thứ Bảy, trong khi trang trạng thái của cả hai công ty đều cho thấy mọi hệ thống hoạt động bình thường. Vercel chưa phản hồi ngay lập tức yêu cầu bình luận. Tháng 4, Vercel tiết lộ một vụ xâm nhập vào các hệ thống nội bộ mà công ty cho biết có liên quan đến một công cụ AI bên thứ ba bị xâm nhập.

Chưa dự án bị ảnh hưởng nào công bố số nạn nhân, dù dữ liệu trên chuỗi cho thấy ít nhất bốn ví đã chuyển tiền cho những kẻ tấn công chỉ riêng trên BNB Chain. FluxBeam cho biết dự án chưa nhận được báo cáo nào về người dùng bị ảnh hưởng. StonkFun đã chuyển website sang hạ tầng khác trong đêm và cho biết dự án chưa ghi nhận người dùng nào bị ảnh hưởng. Kintsu, Origami Finance, FluxBeam và StonkFun đều cho biết các hợp đồng trên chuỗi của giao thức không bị ảnh hưởng. Công ty quan hệ công chúng của Blockaid cho biết Blockaid đang điều tra các câu hỏi được gửi đến công ty.

Các vụ chiếm quyền kiểm soát DNS trước đó đã ảnh hưởng đến Aerodrome và Velodrome vào tháng 11 năm 2025. Tháng 10 năm 2023, những kẻ tấn công xâm nhập Galxe bằng cách truy cập tài khoản của Galxe tại nhà đăng ký tên miền Dynadot.