駭客劫持12個透過Name.com註冊的DeFi網站，竊取約13.8萬美元

駭客週五深夜控制了12個DeFi網站，並利用這些網站從訪客的錢包中竊取加密貨幣。公開註冊資料顯示，安全公司Blockaid確認遭入侵的12個網站，其網域註冊商都是Name.com。週六美東時間上午8時32分，10個網域在數秒內陸續透過註冊商遭到停用。遭停用的網域狀態為「client hold」，這會阻止網域解析，名單包括Pickle Finance、Origami Finance、FluxBeam、Echelon、StonkFun和StakePoint。截至本文發布時，Flap和Kintsu的網域仍在運作，尚未遭停用。

鏈上紀錄顯示，約13.8萬美元的遭竊資金已追蹤至EVM鏈上的3個錢包。週六上午稍晚，這3個錢包持有約13.8萬美元，主要是MON和Robinhood Chain ETH，幾乎所有資金都是在攻擊開始後流入。這項估算不包括可能涉及基於Solana的FluxBeam、StonkFun和StakePoint，以及基於Aptos的Echelon的損失，因為這些資金會流入不同錢包。鏈上紀錄顯示，攻擊者按固定比例將收益分配至3個錢包，比例分別為15%、55%和30%。週五美東時間晚間9時至9時42分，BNB Chain上的一個Safe錢包從4個錢包收到約3.1枚BNB，價值約2,200美元。該Safe錢包將前三筆存款分配至3個收款錢包，並在週六上午保留約2.27枚BNB。同一批收款錢包也在Ethereum、Robinhood Chain和Kintsu營運所在的Monad上，按相同比例收到款項。Monad上的兩個錢包贖回Kintsu的質押MON代幣，並從Neverland提取資金，之後將收益兌換為MON。Robinhood Chain上的一個錢包則從Morpho提取包括NVDA和AAPL在內的代幣化股票，並將股票兌換為ETH。

Blockaid表示，遭入侵的網站部署了Step Drainer，這是一種惡意軟體工具，可在訪客連接錢包後誘騙他們核准轉出款項。LevelBlue SpiderLabs在4月將Step Drainer描述為「惡意軟體即服務」，據稱完整原始碼版本約售750美元，或可選擇收取每筆竊盜金額20%的版本，價格約150美元。LevelBlue SpiderLabs表示，該工具宣稱相容於20多個區塊鏈網路。

週五美東時間晚間9時10分，一名X用戶指出Flap疑似遭到入侵；約一小時後，Flap警告用戶，其網域flap.sh受到DNS劫持。美東時間晚間10時54分，Blockaid發布Flap和流動質押協議Kintsu的警示，隨後不久又確認另外10個遭入侵網站。截至本文發布時，Name.com唯一公開回應是在美東時間凌晨12時27分於X上回覆，指引提出疑慮的用戶填寫濫用行為表單。Name.com公布的媒體電子郵件地址退回了置評請求，母公司Identity Digital也未立即回應。

受影響網站使用不同的DNS服務商，包括Cloudflare、Vercel以及Name.com的名稱伺服器。一名X用戶表示，現有證據尚不足以確認事件是否直接涉及Name.com，或是涉及Vercel等轉售商。Kintsu公開將事件歸咎於Vercel，稱事件超出Kintsu的控制範圍，並表示Vercel尚未回應。Origami Finance最初警告，攻擊仍在進行，涉及與Vercel相關的名稱伺服器。Origami Finance之後表示，在Vercel或Name.com完成根本原因分析前，協議的金庫將持續暫停。Flap開發者Cedric在午夜過後不久表示，團隊正聯絡這兩家公司。

Name.com在2025年12月的一份新聞稿中表示，Vercel去年選擇Name.com擔任其重建後網域服務的註冊商。截至週六上午，Vercel尚未公開評論；兩家公司的狀態頁面均顯示所有系統運作正常。Vercel未立即回覆置評請求。Vercel在4月披露其內部系統遭入侵，並將事件與一款遭入侵的第三方AI工具連結。

沒有受影響的專案公布受害者人數，但鏈上紀錄顯示，僅BNB Chain上就至少有4個錢包向攻擊者轉帳。FluxBeam表示，專案尚未收到用戶受影響的通報。StonkFun連夜將網站遷移至不同基礎設施，並表示專案目前不知有用戶受影響。Kintsu、Origami Finance、FluxBeam和StonkFun均表示，各自協議的鏈上合約未受影響。Blockaid的公關公司表示，Blockaid正在調查提交給該公司的問題。

此前，Aerodrome和Velodrome於2025年11月遭遇DNS劫持。2023年10月，攻擊者透過入侵Galxe在網域註冊商Dynadot的帳戶，入侵Galxe。