DNS-kaappaus tyhjensi kahdentoista DeFi-sivuston käyttäjien lompakoita
- Tietoturvayhtiö Blockaid antoi hälytyksen ensimmäisenä ja nimesi aluksi kaksi sivustoa, joita seurasi kymmenen lisää.
- Varkaiden osoitteisiin päätyi The Blockin mukaan noin 138 000 dollaria, mutta Solanassa ja Aptosissa menetettyjä summia ei saatu jäljitettyä.
- Name.com ja Blockaid laskivat kaapattuja verkkotunnuksia eri tavalla, 15 ja 12.
- [object Object]
Kahdentoista DeFi-sivuston verkkotunnukset ohjattiin perjantaina väärille palvelimille, ja lompakoista katosi noin 138 000 dollaria.
Kyse ei ollut älysopimusten haavoittuvuudesta vaan verkkotunnusten ohjauksesta. DNS-kaappauksessa hyökkääjä muuttaa tietoa siitä, mille palvelimelle verkkotunnus johtaa, jolloin käyttäjä päätyy tutun osoitteen takana väärälle sivulle.
Perjantai-iltana kahdentoista hajautetun rahoituksen (DeFi) sivuston vierailijoita pyydettiin allekirjoittamaan tapahtuma, joka tyhjensi lompakon.
Tietoturvayhtiö Blockaid hälytti asiasta perjantaina kello 22.54 Yhdysvaltain itäistä aikaa eli lauantaina kello 4.54 Suomen aikaa. Ensin se nimesi Flapin ja Kintsun, sitten vielä kymmenen sivustoa. Kryptouutissivusto crypto.news yhdistää hyökkäyksen Step Drainer -nimiseen kalastelutyökaluun.
Kaapattuja sivustoja olivat Flap, Kintsu, StonkFun, Pickle Finance, Echelon, Origami Finance, FluxBeam, StakePoint, SupSwap, Longbow, Shprd Finance ja APEX.
The Block kertoo, että varkaiden kolmeen EVM-osoitteeseen (Ethereum-yhteensopiva lompakko-osoite) kertyi noin 138 000 dollaria, enimmäkseen MON-tokeneina ja Robinhood Chainin ETH:na.
Lisäksi noin 3,1 BNB päätyi Safe-lompakkoon BNB Chainilla. Solanassa ja Aptosissa menetettyjä summia ei saatu jäljitettyä, joten kokonaistappio voi olla suurempi. Crypto.news julkaisi uutisensa aiemmin eikä vielä maininnut kokonaissummaa.
Verkkotunnusvälittäjä Name.com kertoo The Blockille, että hyökkäys kohdistui sen 15 asiakkaan verkkotunnuksiin, kun taas Blockaid laski sivustoja 12. Yhtiö kuvaa tapahtumaa lausunnossaan näin:
– Verkkotunnukset ohjattiin myöhään perjantaina luvatta muualle, jotta hyökkääjät pääsisivät käsiksi sivustojen vierailijoiden kryptolompakoihin.
Name.com palautti verkkotunnusten asetukset ennalleen ja kehotti asiakkaitaan tarkistamaan DNS-tietueensa ja ottamaan kaksivaiheisen tunnistautumisen käyttöön. Yhtiö jäädytti kymmenen Name.comin kautta rekisteröityä verkkotunnusta lauantaina kello 8.32 itäistä aikaa eli kello 14.32 Suomen aikaa.
Hyökkäyksen syystä lähteet ovat eri mieltä. Kintsu sanoo vian olleen Vercelin järjestelmissä, ja Origami puhuu käynnissä olevasta hyökkäyksestä Vercelin nimipalvelimiin. Vercel kertoi tiedotteessaan, että kymmenen verkkotunnuksista liittyi sen alustaan. Sivustojen nimipalvelimia tarjosivat muun muassa Cloudflare, Vercel ja Name.com, joten yhteistä tekijää on vaikea osoittaa pelkkien nimipalvelintietojen perusteella.
The Block kertoo, että Vercel valitsi Name.comin verkkotunnusvälittäjäkseen verkkotunnuspalvelulleen joulukuussa 2025 ja kertoi huhtikuussa tietomurrosta sisäisiin järjestelmiinsä. The Block ei kuitenkaan väitä, että kumpikaan liittyisi viikonlopun tapahtumiin.
Hyökkäyksen perimmäistä syytä ei ole vahvistettu.
