Хакеры, которые в пятницу вечером взломали дюжину веб-сайтов DeFi и использовали их для опустошения криптокошельков посетителей, нацелились на домены, зарегистрированные через одну и ту же компанию, Name.com, согласно данным публичного реестра, изученным изданием The Block. Издание The Block пока что отследило около 138 000 долларов похищенных средств, используя данные блокчейна.

Компания Name.com указана в качестве регистратора для всех 12 взломанных сайтов, которые были идентифицированы компанией Blockaid. 10 из них были приостановлены на уровне регистратора в 8:32 утра по восточному времени в субботу.

Пользователь X с ником bluexxix одним из первых обратил внимание на общего регистратора, опубликовав сообщение в 23:51 по восточному времени в пятницу, в котором говорилось, что "кажется, @namedotcom подвергся взлому", поскольку становилось известно о все большем количестве затронутых сайтов. Анонимный разработчик banteg пришел к тому же выводу, опубликовав сообщение в субботу утром, а пользователь X punkquidity позже заметил, что 10 из этих доменов были отключены в течение нескольких секунд друг от друга.

Сейчас у каждого из 10 приостановленных доменов статус "клиентская приостановка", который препятствует разрешению домена. Среди них: Pickle Finance, Origami Finance, FluxBeam, Echelon, StonkFun и StakePoint. Домены Flap's и Kintsu не были приостановлены и продолжают работать на момент публикации.

Пользователь X liquidated0x сообщил, что сайт Flap's, по-видимому, был взломан в 21:10 по восточному времени в пятницу, примерно за час до того, как платформа для запуска токенов предупредила своих пользователей о том, что ее интерфейс flap.sh подвергся "инциденту перехвата DNS". Компания Blockaid предупредила об атаке на Flap и протокол ликвидного стейкинга Kintsu в 22:54 по восточному времени, вскоре после этого опубликовав список 10 дополнительных взломанных сайтов.

Единственный публичный ответ компании Name.com последовал в 0:27 по восточному времени, когда она ответила пользователям liquidated0x и bluexxix в X, попросив их заполнить форму для сообщения о злоупотреблениях. Указанный адрес электронной почты для связи с пресс-службой компании Name.com не принял запрос на комментарий от издания The Block, а ее материнская компания, Identity Digital, не ответила немедленно.

Как работает вредоносная программа.

Компания Blockaid сообщила, что взломанные сайты были заражены вредоносным ПО Step Drainer, которое обманывает посетителей, заставляя их авторизовать переводы средств из своих кошельков после подключения к сайту. Компания LevelBlue SpiderLabs в апреле описала Step Drainer как набор инструментов вредоносного ПО "Malware-as-a-Service (MaaS)", который, как сообщается, продавался примерно за 750 долларов за полный исходный код или за 150 долларов за версию, которая забирает 20% от каждой кражи. Компания заявила, что этот набор поддерживает более 20 блокчейн-сетей.

Анализ данных блокчейна, проведенный изданием The Block, показал, что злоумышленники переводили полученные средства на три кошелька с фиксированными комиссиями: 15% ([https://blockscan.com/address/0x5aff449b63c033Df386aF0C45384cd20c5918dBf]), 55% ([https://blockscan.com/address/0x012f89Ff307568F8409Bbe379ca92ED41Bc4D386]) и 30% ([https://blockscan.com/address/0x7bf2037264efbFF55bD5277772779C1D9e87695]). В сети BNB Chain безопасный кошелек ([https://bscscan.com/address/0x24497068cA4166ca32a04ae530ce00Cf79755bD5]), отмеченный как "liquidated0x", получил около 3,1 BNB, что составляет примерно 2200 долларов, от четырех кошельков в период с 9:00 до 9:42 по восточному времени в пятницу. Первые три транзакции были разделены между тремя кошельками, и около 2,27 BNB оставались на этом безопасном кошельке в субботу утром.

Те же три кошелька получили идентичные разделенные платежи в сетях Ethereum, Robinhood Chain и Monad, на которой работает сеть Kintsu. В сети Monad два из этих кошельков использовали застейканный токен MON сети Kintsu и вывели средства из протокола кредитования Neverland, прежде чем конвертировать их в MON. В сети Robinhood Chain один кошелек извлек токенизированные акции, включая NVDA и AAPL, из платформы Morpho и обменял их на ETH.

Вместе эти три кошелька содержали около 138 000 долларов к середине утра в субботу, в основном MON и ETH сети Robinhood Chain, и почти все эти средства поступили после начала атаки. Это только то, что изданию The Block удалось отследить в сетях EVM. Три из взломанных сайтов, FluxBeam, StonkFun и StakePoint, построены на платформе Solana, а Echelon работает на Aptos, поэтому любые убытки, понесенные на этих платформах, находятся на других кошельках и не учитываются.

Два проекта обвиняют Vercel

Взломанные сайты не используют одного и того же провайдера DNS, сервиса, который сообщает веб-браузерам, на каком сервере расположен домен. Некоторые работают на Cloudflare, некоторые на Vercel, а некоторые используют собственные DNS-серверы компании Name.com. Компания Punkquidity заявила, что пока не может установить, "была ли это компания Name.com или ее реселлер, такой как Vercel".

Компании Kintsu и Origami Finance публично обвинили компанию Vercel, занимающуюся облачной инфраструктурой. "Это произошло из-за проблем на стороне Vercel, которые были вне нашего контроля", – написал представитель Kintsu в своем сообщении в социальной сети X, добавив, что Vercel пока не ответила. Компания Origami изначально сообщила об "активной атаке на серверы имен, связанные с Vercel", а затем заявила, что работа их сервисов временно приостановлена, пока они ждут "анализа первопричины от Vercel / name[.]com". Разработчик Flap, Седрик, сообщил вскоре после полуночи, что команда связывается с обеими компаниями.

Компания Vercel выбрала Name.com в качестве регистратора для своего обновленного сервиса доменных имен в прошлом году, как было объявлено в пресс-релизе Name.com от декабря 2025 года ссылка на пресс-релиз. На момент публикации этой статьи в субботу утром, компания Vercel не дала никаких публичных комментариев, а на страницах статуса обеих компаний было указано, что все системы работают нормально. В апреле компания Vercel сообщила о взломе своих внутренних систем, который, по ее данным, был связан с использованием скомпрометированного стороннего инструмента искусственного интеллекта, о чем ранее сообщало издание The Block.

Количество пострадавших остается неясным

На данный момент ни один из затронутых проектов не сообщил о количестве пострадавших, хотя данные блокчейна показывают, что как минимум четыре кошелька перевели средства на счета злоумышленников в сети BNB Chain. Компания FluxBeam заявила, что "не поступало никаких сообщений о том, что пользователи пострадали", а компания StonkFun, которая в течение ночи перенесла свой сайт на новую инфраструктуру, сообщила, что "не знает никого, кто мог пострадать". Компании Kintsu, Origami, FluxBeam и StonkFun заявили, что их смарт-контракты не были затронуты.

Ранее сервисы криптовалют уже подвергались атакам, связанным с подменой DNS. В ноябре 2025 года сервисы Aerodrome и Velodrome были взломаны, а в октябре 2023 года был атакован сервис Galxe, когда злоумышленники получили доступ к аккаунту проекта у регистратора Dynadot.

Компания Vercel не сразу ответила на запрос о комментарии. PR-агентство компании Blockaid сообщило, что компания изучает вопросы, заданные изданием The Block.

Эта новость продолжает развиваться.