Ты ввёл правильный адрес. Увидел правильный логотип. А кошелёк всё равно опустел. Такова неприятная логика DNS-перехвата, и в ночь на субботу, 31 октября 2026, она ударила минимум по двенадцати DeFi-сайтам: атакующие перенаправили домены, зарегистрированные в Name.com, на копии с дрейнером кошельков.
Потери скромные — от $138 000 до $202 000 в зависимости от подсчёта. Пугать должен метод — всех, кто подписывает транзакции в браузере.
Главное
- В ночь на 31 октября 2026 атакующие перенаправили DNS-записи минимум двенадцати DeFi-сайтов с регистратором Name.com на копии со Step Drainer.
- Name.com сообщил о 15 затронутых доменах клиентов; три публично не названы.
- Bitquery насчитал $202 386 с 32 кошельков в шести блокчейнах; The Block — около $138 000 с трёх EVM-кошельков, без Solana и Aptos.
- Один стейкер Kintsu в сети Monad потерял $160 531 — почти 80% общей суммы; больше половины жертв потеряли меньше $100.
- Среди названных проектов — Flap, Kintsu, Echelon, FluxBeam, StakePoint, StonkFun, Pickle Finance, Origami Finance, longbow.cash, apexdefi.xyz, shprd.finance и supswap.xyz.
- Kintsu посоветовал отозвать разрешения, подписанные после полуночи UTC 31 октября; несколько проектов заявили, что их смарт-контракты не затронуты.
Что произошло при DNS-перехвате у Name.com?
Атакующие изменили DNS-записи DeFi-доменов, зарегистрированных в Name.com, так что настоящие адреса вели на копии под их контролем. Копии выглядели как оригинальные сайты, но запускали Step Drainer — набор «вредонос как услуга», который обманом заставляет пользователей подписывать переводы, разрешения на токены или пакетные подписи, отдающие их средства.
По данным The Block, сайт Flap пометили как скомпрометированный в 01:10 UTC в субботу; примерно через 100 минут Blockaid предупредил о Flap и стейкинг-сервисе Kintsu в сети Monad и связал оба со Step Drainer, позже назвав ещё десять сайтов. Name.com заявил, что домены были «неправомерно перенаправлены поздно в пятницу, чтобы добраться до кошельков посетителей», утром приостановил десять доменов и затем восстановил их.
Сколько украли
Расследование Bitquery насчитывает $202 386 с 32 кошельков в шести блокчейнах; на Monad пришлось $163 318 с 19 кошельков, на Robinhood Chain — $35 920. Основные выводы прошли примерно с 00:00 до 04:00 UTC 31 октября. Контракт-сборщик делил добычу в пропорции 55/30/15 между тремя кошельками. После атаки Bitquery также заметил ботов address poisoning с похожими адресами.
Контракт был в порядке. Соврал домен.
Почему DNS-перехват обходит защиту смарт-контрактов?
Потому что атакует путь к контракту, а не сам контракт. Аудиты, мультисиги и таймлоки защищают ончейн-код; DNS решает, с каким сервером общается браузер, когда ты вводишь домен. Если DNS у атакующего, у него и сайт — и транзакции, которые он просит подписать. Kintsu, Origami Finance, FluxBeam и StonkFun заявили, что их контракты не затронуты.
Step Drainer продаётся как сервис: в апреле LevelBlue SpiderLabs сообщила, что полный исходный код стоит около $750, аренда — $150 плюс 20% добычи, а поддержка заявлена для более чем 20 сетей. Это делает монетизацию DNS-перехватов дешёвой. Ранее похожее случалось с Aerodrome и Velodrome в ноябре 2025 и Galxe в октябре 2023.
Что делать DeFi-пользователям после перехвата Name.com?
Если ты заходил на любой из затронутых сайтов 31 октября 2026, отзови разрешения и пермиты на токены, подписанные после полуночи UTC, через надёжный revoke-инструмент. Проверь, не уходили ли с кошелька неожиданные переводы. Игнорируй сообщения о «возвратах» и похожие адреса в истории — после таких инцидентов часто начинается address poisoning.
- Сохраняй сайты в закладках и считай внезапные изменения интерфейса или странные запросы подписи красным флагом.
- Читай, что подписываешь: «approve unlimited» или пермит на токен, который ты не собирался трогать, — почерк дрейнера.
- Для новых или небольших DeFi-сайтов используй отдельный горячий кошелёк с ограниченной суммой.
Что это значит для тех, кто делает свапы
Каждый раз, подключая кошелёк и подписывая, ты доверяешь сайту не меньше, чем контракту за ним. Свапы «только по адресу» уменьшают эту поверхность: в SwapZilla для обычного свапа не нужно подключать кошелёк и выдавать разрешения на токены — ты отправляешь монеты на адрес депозита и получаешь на свой. Плюсы и минусы — в нашем гайде о свапах без подключения кошелька.
Когда пользуешься ончейн-маршрутами, например свапами через кошелёк на DEX-витрине, проверяй домен, проверяй сумму разрешения и отзывай ненужное после. Наше сравнение DEX, CEX и свап-агрегаторов показывает, где в каждой модели лежит риск.
Финальная мысль
Около $200 000 — немного по меркам этой осени. Но инцидент с Name.com показывает, как мало нужно атакующему: ни бага в контракте, ни украденного ключа — только контроль над именем, которое ты ввёл. Самая дешёвая защита по-прежнему самая старая: всегда точно знать, что подписываешь.