Хакеры перехватили домены 15 DeFi-проектов

Хакеры перехватили домены 15 DeFi-проектов в ночь с 30 на 31 октября 2026 года. Злоумышленники перенаправляли посетителей криптовалютных сервисов на поддельные страницы и предлагали подписывать опасные операции. По результатам расследования Bitquery, установленный ущерб составил $202 386. Аналитики обнаружили потери у 32 кошельков в шести блокчейнах.

Среди затронутых проектов оказались Kintsu, Flap, Pickle Finance, Origami Finance, FluxBeam, Echelon, StonkFun и StakePoint. Первоначально компания Blockaid обнаружила вредоносные страницы на 12 сайтах. Позднее регистратор Name.com подтвердил несанкционированное перенаправление 15 доменов.

Атака затронула веб-интерфейсы, через которые пользователи взаимодействовали с DeFi-приложениями. При этом несколько проектов сообщили, что их смарт-контракты не были скомпрометированы. Основной угрозой стали поддельные страницы и подписи, которые владельцы кошельков предоставляли злоумышленникам.

Разбираем механизм DNS-перехвата, реальные потери пользователей, роль Name.com и Vercel, а также способы защиты криптовалютных кошельков.

Что произошло с доменами DeFi-проектов 31 октября

В ночь с 30 на 31 октября пользователи ряда DeFi-приложений начали попадать на поддельные версии знакомых сайтов.

При этом адрес в браузере мог выглядеть правильным. Проблема возникала из-за изменения настроек, определяющих направление интернет-трафика.

Злоумышленники разместили на поддельных страницах инструмент Step Drainer. Он предлагал подключить криптовалютный кошелёк и подтвердить операцию.

Однако подписанная операция могла предоставить атакующим возможность вывести активы пользователя.

Хакеры перехватили домены 15 DeFi-проектов: кто пострадал

В первоначальных предупреждениях фигурировали 12 криптовалютных сайтов. Позднее Name.com сообщил о 15 затронутых доменах.

Среди названных проектов:

Kintsu — протокол ликвидного стейкинга.
Flap — платформа запуска токенов.
Pickle Finance — DeFi-приложение.
Origami Finance — сервис управления DeFi-позициями.
FluxBeam — криптовалютный сервис в экосистеме Solana.
Echelon — протокол в экосистеме Aptos.
StonkFun — криптовалютный проект на Solana.
StakePoint — сервис, связанный с экосистемой Solana.

Однако включение проекта в перечень затронутых доменов не означает, что каждый его пользователь потерял средства.

Почему сначала сообщалось о 12 сайтах, а затем о 15

Разница связана с последовательным выявлением инцидента.

Сначала Blockaid обнаружила вредоносные интерфейсы на 12 сайтах. Затем Name.com подтвердил более широкий масштаб несанкционированных изменений.

Поэтому число 15 относится к затронутым доменам, а число 12 — к первоначально выявленным сайтам с вредоносным содержимым.

Эти показатели нельзя использовать как взаимозаменяемые.

Как работает DNS-перехват криптовалютного сайта

DNS — система, которая помогает браузеру находить сервер по доменному имени.

Когда пользователь вводит адрес сайта, браузер получает сведения о том, куда направить запрос.

Если злоумышленник изменит соответствующие настройки, посетитель может попасть на другой сервер.

При этом название сайта в адресной строке способно остаться прежним.

Поэтому даже правильно введённый адрес не гарантирует, что пользователь взаимодействует с настоящим приложением.

Чем DNS-перехват отличается от обычного фишинга

При классическом фишинге злоумышленник часто отправляет ссылку на похожий, но поддельный домен.

Например, в адресе могут использоваться лишние символы или похожие буквы.

Однако при DNS-перехвате пользователь способен открыть настоящий домен и всё равно попасть на вредоносную страницу.

Поэтому привычная рекомендация проверять написание адреса остаётся полезной, но не обеспечивает полной защиты.

Дополнительно необходимо проверять содержание запросов на подпись и официальные предупреждения проекта.

Что такое Step Drainer

Step Drainer — вредоносный инструмент, предназначенный для хищения криптовалют из подключённых кошельков.

Он использует поддельные интерфейсы и опасные запросы на подтверждение операций.

По данным исследовательской команды LevelBlue SpiderLabs, инструмент способен работать с различными блокчейнами и типами цифровых активов.

В частности, исследователи описали поддержку более 20 сетей, включая Ethereum, BNB Chain, Arbitrum и Polygon.

Подробности опубликованы в исследовании LevelBlue о криптовалютных дрейнерах.

Как Step Drainer заставлял пользователей подписывать операции

Вредоносная страница имитировала обычное взаимодействие с DeFi-протоколом.

Например, посетителю могли предложить подтвердить операцию с токенами или подключённой позицией.

Однако содержание подписи отличалось от ожидаемого действия.

В результате злоумышленники получали возможность перевести активы или воспользоваться предоставленными полномочиями.

По данным Bitquery, все отслеженные хищения в этой кампании использовали подписи самих пострадавших пользователей.

Почему подключение кошелька не равно разрешению на вывод средств

Само по себе подключение кошелька обычно позволяет сайту увидеть публичный адрес пользователя.

Однако последующие запросы могут включать подпись сообщений, разрешение на расходование токенов или отправку транзакций.

Именно эти действия требуют особого внимания.

Кроме того, некоторые типы подписей могут предоставлять более широкие полномочия, чем ожидает пользователь.

Поэтому нельзя автоматически подтверждать запрос только потому, что интерфейс выглядит знакомым.

Сколько денег похитили при атаке на DeFi-сайты

Аналитическая компания Bitquery установила потери на сумму $202 386.

Исследователи обнаружили 32 кошелька, каждый из которых потерял не менее $1.

Транзакции проходили в шести блокчейнах с 01:00 до 05:33 UTC 31 октября.

Однако окончательная сумма ущерба остаётся неизвестной.

Кроме того, аналитики предупредили, что их расчёт не охватывает все возможные потери в Solana и Aptos.

Методология и результаты представлены в расследовании Bitquery о DNS-перехвате Name.com.

Почему первоначально сообщалось о $138 000

В ранних публикациях фигурировала оценка около $138 000.

Такую сумму The Block обнаружил на адресах, связанных с получением похищенных активов.

Однако Bitquery позднее подсчитала стоимость активов, потерянных непосредственно пользователями в момент каждой операции.

В результате оценка составила $202 386.

Поэтому различие между суммами связано с методикой и временем измерения, а не обязательно с ошибкой одного из исследователей.

Первоначальные результаты опубликованы в материале The Block от 31 октября.

Почему один пользователь потерял $160 531

Наибольший установленный ущерб пришёлся на кошелёк пользователя Kintsu в сети Monad.

По оценке Bitquery, стоимость потерянных токенов и связанных DeFi-позиций составила $160 531.

Это приблизительно 79% всего установленного ущерба.

При этом два крупнейших пострадавших кошелька обеспечили около 96% совокупных потерь.

Следовательно, последствия атаки распределились между пользователями крайне неравномерно.

Что произошло с токенами sMON в Kintsu

Часть похищенных активов была связана с ликвидным стейкингом в сети Monad.

По данным Bitquery, злоумышленники направили около 2,64 млн sMON в очередь вывода из стейкинга Kintsu.

Вечером 31 октября стоимость соответствующей части активов оценивалась примерно в $56 600.

На тот момент средства ещё оставались в очереди и не были окончательно получены злоумышленниками.

Однако это исторический статус на момент исследования. Он не доказывает, что активы остаются там сейчас.

Как злоумышленники распределяли похищенную криптовалюту

Блокчейн-аналитики выявили три адреса, между которыми распределялись поступления от атаки.

По данным The Block, средства делились в пропорциях 55%, 30% и 15%.

Аналогичная схема наблюдалась в нескольких сетях.

Однако такое распределение само по себе не раскрывает личности участников преступной группы.

Для установления конкретных исполнителей необходимы дополнительные доказательства.

Почему Step Drainer продавался как сервис

По данным LevelBlue, Step Drainer распространялся по модели Malware-as-a-Service.

Исследователи обнаружили предложения приобрести исходный код примерно за $750.

Другой вариант стоил около $150, но предполагал комиссию разработчиков в размере 20% от похищенных активов.

Такая модель позволяет злоумышленникам использовать готовые инструменты без самостоятельной разработки всей вредоносной инфраструктуры.

Однако указанные цены относятся к исследованию преступного рынка, а не к официальному программному продукту.

Какую роль сыграл регистратор Name.com

Все 12 сайтов из первоначального перечня Blockaid были зарегистрированы через Name.com.

31 октября регистратор подтвердил несанкционированное перенаправление клиентских доменов.

Компания сообщила о восстановлении их работы и начале расследования.

Кроме того, Name.com принял дополнительные меры защиты учётных записей.

Однако точный способ получения злоумышленниками доступа к настройкам доменов пока не раскрыт.

Связана ли атака с платформой Vercel

Некоторые затронутые проекты использовали инфраструктуру Vercel.

Kintsu и Origami Finance первоначально указали на возможную проблему в связанных с Vercel компонентах.

При этом Vercel подтвердил связь десяти затронутых доменов со своей платформой и участие в расследовании.

Однако публичных данных недостаточно, чтобы назвать Vercel установленным источником компрометации.

Поэтому утверждения о виновности конкретного поставщика инфраструктуры остаются преждевременными.

Почему атака затронула сайты с разными DNS-провайдерами

Затронутые проекты использовали различные сервисы DNS-инфраструктуры.

Среди них фигурировали Cloudflare, Vercel и Name.com.

Однако общий регистратор доменов может оставаться важным элементом управления маршрутизацией.

Если злоумышленник получает возможность изменить делегирование домена, он способен направить пользователей на другой DNS-сервер.

Поэтому использование надёжного хостинга само по себе не исключает риски на уровне регистратора.

Были ли взломаны смарт-контракты DeFi-проектов

Команды Kintsu, Origami Finance, FluxBeam и StonkFun сообщили, что их смарт-контракты не пострадали.

Основной подтверждённый механизм атаки был связан с подменой веб-интерфейсов.

Поэтому некорректно утверждать, что злоумышленники получили контроль над кодом всех затронутых DeFi-протоколов.

Однако безопасный смарт-контракт не гарантирует безопасность пользовательской операции.

Если человек подписывает вредоносный запрос, активы могут оказаться под угрозой даже без изменения исходного кода протокола.

Почему значок HTTPS не гарантировал безопасность

При DNS-перехвате злоумышленники могут получить возможность обслуживать поддельную страницу по настоящему доменному имени.

В некоторых случаях они также способны получить действующий TLS-сертификат.

Поэтому значок защищённого соединения не доказывает, что содержимое страницы принадлежит настоящей команде проекта.

HTTPS защищает соединение между браузером и сервером, но не гарантирует добросовестность оператора этого сервера.

Следовательно, проверка безопасности криптовалютной операции должна включать анализ самой подписи.

Что делать пользователям затронутых DeFi-проектов

Если пользователь взаимодействовал с одним из затронутых сайтов во время атаки, необходимо проверить историю операций.

Особое внимание следует уделить подписанным сообщениям, разрешениям на расходование токенов и неизвестным транзакциям.

Прекратить взаимодействие с подозрительным интерфейсом.
Проверить официальные предупреждения команды проекта.
Изучить историю транзакций во всех использованных сетях.
Проверить разрешения на расходование токенов.
Установить, подписывались ли сообщения о делегировании полномочий.
При подозрении на компрометацию перевести оставшиеся активы в новый безопасный кошелёк.
Не вводить сид-фразу на сайтах, предлагающих восстановление средств.

При этом простой отзыв разрешений не всегда устраняет последствия опасной подписи. Необходимые действия зависят от её типа.

Почему отзыва разрешений может быть недостаточно

Некоторые вредоносные операции используют не только стандартные разрешения на расходование токенов.

Например, подпись может делегировать определённые полномочия или разрешать выполнение более сложных действий.

Поэтому удаление обычного token approval не обязательно нейтрализует все последствия.

Если пользователь подписал неизвестное сообщение во время атаки, безопаснее оценить возможность перевода оставшихся активов в новый кошелёк.

Однако перенос необходимо проводить через проверенное приложение и с учётом состояния конкретной сети.

Как DeFi-проектам защитить собственные домены

Командам криптовалютных сервисов необходимо контролировать безопасность не только смарт-контрактов, но и доменной инфраструктуры.

В частности, полезны многофакторная аутентификация, контроль доступа к регистратору и уведомления об изменениях DNS.

Дополнительную защиту могут обеспечить механизмы блокировки критических изменений домена.

Однако стандартная блокировка переноса домена не всегда запрещает редактирование DNS.

Например, документация Name.com по Domain Lock Plus отдельно описывает ограничение изменений серверов имён.

Почему DNSSEC важен для криптовалютных сервисов

DNSSEC позволяет криптографически проверять подлинность определённых DNS-ответов.

Это снижает риск некоторых видов подмены данных.

Однако эффективность зависит от корректной настройки всей цепочки проверки.

Кроме того, DNSSEC не заменяет защиту учётной записи регистратора и управление правами доступа.

Поэтому его следует рассматривать как часть комплексной системы безопасности.

Что рекомендуют государственные специалисты по кибербезопасности

Британский Национальный центр кибербезопасности рекомендует регистраторам предоставлять клиентам многофакторную аутентификацию и механизмы контроля изменений.

Также специалисты подчёркивают значение уведомлений о подозрительных действиях.

Для крупных проектов важна возможность ограничивать несанкционированное изменение регистрационных данных.

При этом защита должна распространяться и на API-доступ, если он используется для управления доменами.

Почему атака важна для всего рынка DeFi

Происшествие показывает, что безопасность DeFi зависит не только от блокчейна.

Даже проверенные смарт-контракты могут использоваться через скомпрометированный интерфейс.

Кроме того, один инфраструктурный поставщик способен обслуживать множество независимых проектов.

Поэтому проблема на уровне доменного управления может затронуть сразу несколько сервисов.

Для отрасли это аргумент в пользу независимого мониторинга интерфейсов, контроля доменов и проверки пользовательских подписей.

Как инцидент связан с рисками пользователей из СНГ

Пользователи DeFi из Казахстана, Узбекистана, Туркменистана, Таджикистана и других стран могут взаимодействовать с международными протоколами.

Поэтому DNS-перехват представляет для них тот же технический риск, что и для пользователей из других регионов.

Однако юридические механизмы защиты и порядок обращения в правоохранительные органы зависят от конкретной страны.

Следовательно, владельцам криптовалют важно сохранять сведения о подозрительных операциях и учитывать местные правила обращения с цифровыми активами.

Какие вопросы расследования остаются открытыми

Несмотря на восстановление доменов, обстоятельства атаки пока не выяснены полностью.

Каким способом злоумышленники получили доступ к управлению доменами?
Были ли скомпрометированы учётные записи клиентов или инфраструктурные компоненты?
Какой окончательный ущерб понесли пользователи?
Удалось ли обнаружить дополнительные пострадавшие кошельки?
Какие меры внедрили Name.com и связанные поставщики?
Можно ли вернуть часть активов, находившихся в очередях вывода?

Ответы потребуют новых технических отчётов и дальнейшего анализа блокчейн-транзакций.

Часто задаваемые вопросы о взломе доменов DeFi

Сколько DeFi-проектов затронула атака?

Name.com сообщил о 15 затронутых доменах. Первоначально Blockaid выявила вредоносные страницы на 12 сайтах.

Сколько криптовалюты украли хакеры?

По расчётам Bitquery, подтверждённые в рамках её исследования потери составили $202 386 у 32 кошельков. Окончательная сумма ущерба пока неизвестна.

Что такое Step Drainer?

Step Drainer — вредоносный инструмент, который использует поддельные интерфейсы и опасные подписи для вывода криптовалют из кошельков пользователей.

Были ли взломаны смарт-контракты?

Несколько затронутых проектов заявили, что их смарт-контракты не пострадали. Подтверждённый механизм атаки связан прежде всего с подменой веб-интерфейсов.

Безопасно ли пользоваться сайтами после восстановления доменов?

Восстановление домена устраняет конкретное перенаправление, но не является абсолютной гарантией безопасности. Перед взаимодействием необходимо проверять официальные сообщения проекта и содержание запросов на подпись.

Можно ли вернуть украденные средства?

Гарантированного механизма возврата нет. Возможность восстановления зависит от маршрута активов, состояния смарт-контрактов и результатов расследования.

Хакеры перехватили домены 15 DeFi-проектов: главные выводы

Хакеры перехватили домены 15 DeFi-проектов и использовали поддельные страницы для получения опасных подписей пользователей.

По результатам исследования Bitquery, установленный ущерб составил $202 386. При этом почти 79% потерь пришлось на один кошелёк в сети Monad.

Name.com сообщил о восстановлении затронутых доменов, однако точная причина компрометации пока не установлена.

Главный вывод заключается в том, что безопасность криптовалютного приложения зависит не только от его смарт-контрактов. Домены, веб-интерфейсы и подписи пользователей остаются критически важными элементами защиты цифровых активов.

Источники информации

Дисклеймер

Материал подготовлен в информационных целях по состоянию на 2 ноября 2026 года.

Сведения об ущербе основаны на результатах блокчейн-анализа и могут уточняться. Расследование обстоятельств несанкционированного изменения доменных настроек продолжается.

Статья не является инвестиционной рекомендацией. Использование DeFi-протоколов связано с рисками смарт-контрактов, веб-интерфейсов, вредоносных подписей и инфраструктурных атак.