Blockaid标记12个DeFi网站在协同DNS劫持中提供步骤盗取服务_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

Blockaid标记12个DeFi网站在协同DNS劫持中提供步骤盗取服务

2026-11-01 23:51:54

安全公司Blockaid披露：12个DeFi网站遭域名劫持，智能合约未受影响

10月31日，网络安全公司Blockaid发布警告称，在发生协同域名劫持事件后，十二个去中心化金融（DeFi）网站正在向用户分发一种用于窃取钱包资产的恶意脚本。Blockaid强调，受影响的协议其智能合约均未受到触碰。此次攻击完全发生在Web2层面：攻击者接管了域名记录，将其指向恶意服务器，并在与真实界面几乎一致的伪装页面背后植入了资产窃取程序。

攻击范围迅速扩大

Blockaid于协调世界时（UTC）02:54发布的初步警报中点名了两个项目：代币发射平台Flap和Monad质押协议Kintsu。“我们的系统检测到针对@flapdotsh和@Kintsu的前端潜在攻击，”该公司写道，并建议用户“在问题解决之前，避免签署交易以及与这些去中心化应用（dApp）进行交互。”仅仅22分钟后，受影响网站的规模已扩大至十余个。

除了早期的警报外，同一攻击现已在其他多个网站上被识别出来。这些站点正在积极运行名为“Step Drainer”的窃取工具：stonkfun.xyz, pickle.finance, echelon.market, origami.finance, fluxbeam.xyz, stakepoint.app, supswap.xyz, longbow.cash, shprd.finance, apexdefi.xyz。我们正在进行积极调查并收集更多数据。

技术细节：DNS劫持如何构建陷阱

DNS劫持攻击的是加密货币项目中与区块链无关的部分。每个协议仍然依赖域名来触达用户，而域名由注册商管理并由托管服务提供商服务。当攻击者控制这些DNS记录时，熟悉的URL解析到的将是攻击者控制的服务器，而非项目自身的服务器。用户在浏览器地址栏中看到正确的地址和有效的锁形图标，因此表面上看起来一切正常。

Blockaid此前已详细记录了这一链条。在一篇关于早期活动的威胁报告中，该公司描述了攻击者采取的四步操作：通过社会工程学手段诱导域名注册商支持人员交出账户访问权限、重定向DNS记录、颁发新的SSL证书以保持锁形图标的有效性，最后部署一个与真实网站外观完全相同的虚假前端。“恶意行为者从未利用智能合约或操纵链上基础设施，”Blockaid写道。10月31日的活动也遵循同样的逻辑：由于攻击从未触及链本身，协议的链上资产和金库保持完好无损。

注册商是薄弱环节，而非代码

这种妥协模式指向了共享的Web2依赖性，而非任何单一项目的安全性问题。知名链上人物banteg在回复Blockaid的警报时指出，“所有这些域名都共享同一个[name].com注册商。”这一观察结果与Blockaid早期研究中的机制相符，在2026年2月的一波事件中，所有案例均始于攻击者说服注册商支持人员转移域名账户。

2026年2月的活动是一个有用的衡量标准。在2月16日至2月23日期间，Blockaid发现了五个受影响的协议：OpenEden、Curvance、Smithii、Avantis和Nerochain，它们在七天内均被注入了AngelFerno窃取工具。而10月31日的事件则将更大的列表——12个域名——压缩到了单个早晨完成，两次警报之间的间隔仅为22分钟。从一周内五个协议到不到半小时内标记的12个站点，显示出攻击速度更快、范围更广，但使用了相同的入口点：注册商，而非智能合约。

这对用户来说是一个令人不安的细节。与恶意智能合约相关的钱包窃取警告相对容易识别和阻止。而从项目自身真实域名提供的窃取工具则是隐形的，直到像Blockaid这样的安全公司发出警告，因为用户除了信任他们一直使用的URL外，并未做错任何事。

作为服务的窃取工具市场

Step Drainer位于一个虽小但拥挤的“窃取即服务”工具市场中。Blockaid早期的研究介绍了AngelFerno，这是其中最大的工具之一，它出售特定链的变体而非单一脚本：AngelFerno EVM适用于以太坊及EVM链，SolFerno适用于Solana，TronFerno适用于Tron，XRPFerno适用于XRP Ledger，以及SeedFerno用于跨链助记词盗窃。仅在2026年1月更新后的第一周内，SeedFerno就窃取了超过5,000个助记词。10月31日的活动在十几个面向EVM的网站中使用了Step Drainer，这表明相同的剧本被出租并瞄准拥有最薄弱注册商账户的项目。智能合约从来不是目标；域名仪表板的登录凭证才是。

升级是可衡量的。2026年2月的那一波活动平均每周标记五个协议，每天不到一个站点。而10月31日的事件在一个早晨标记了12个域名，第二次警报在第一次警报后22分钟发出。通过相同的入口点，速度提高了数量级。这一模式的重要性不在于它对任何一个项目意味着什么，而在于它揭示了DeFi的Web2基础设施可以多么廉价地被用来对抗其用户。

用户现在应该做什么

Flap确认了劫持事件，其创始人Cedric表示，在事件发生前连接到合法站点的用户未受影响。风险落在那些在警报发出前的几十分钟内访问了被篡改页面并连接钱包或签署授权的用户身上。Kintsu告诉在10月31日UTC时间00:00之后连接钱包或签署任何内容的用户撤销授权并转移资金。StonkFun表示链上一切正常运行，暂时下线了其网站，在新基础设施上恢复运营，并要求用户在DNS更改传播期间等待后再重新连接。

实用的检查清单很简单：将最近连接到上述12个域名的任何行为视为可能暴露，在这些dApp上撤销代币授权，并且在每个项目宣布其网站安全之前不要重新连接。这是该行业以前见过的同类前端风险，从Velodrome和Aerodrome的前端漏洞到Blockaid目前归因于基础设施失败的更广泛模式，其自身的监控数据显示这导致了74%的加密资产损失。

此次事件并不意味着DeFi的智能合约失败了。没有协议被利用来执行链上的资产窃取；漏洞存在于用户与链之间的域名层。未解决的问题是谁策划了此次活动，以及在窗口期内有多少用户签署了交易。Blockaid的调查仍在进行中，该公司的下一次警报将确定12个域名的列表是否会增加，或者攻击者是否已经转向其他目标。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文