Name.com域名遭篡改，十余家DeFi协议遇DNS劫持植入盗币套件
DeFi 赛道再度爆出重大前端安全事件，一场依托域名注册商底层权限发起的 DNS 劫持攻击，在 10 月 31 日波及十余家 DeFi 项目。安全机构 Blockaid 率先发出预警，Pickle Finance、Origami Finance 等多个知名协议域名被篡改，用户访问官网时会跳转至搭载 Step Drainer 盗币套件的恶意钓鱼站点。本次攻击源头指向Name.com，也暴露了域名基础设施层面的安全隐患，下文将拆解攻击原理、恶意套件特性、各方责任争议以及被盗资产的链上流向。
行业媒体The Block在调取公开Whois注册数据后证实，Blockaid披露名单中的12个涉事域名，其解析托管服务全部归属于知名网络域名注册商Name.com。除上述协议外，受波及的应用还涵盖supswap.xyz、longbow.cash、shprd.finance、apexdefi.xyz以及Flap与Kintsu。
事件发生后，Name.com于北京时间11月1日凌晨在X发布说明，证实部分托管域名在美国时间周五深夜遭遇非授权重定向，其核心攻击意图在于非法刺探并截获访问者的加密货币钱包权限。官方表示已对受波及域名实施紧急复原，具体渗透路径仍在深入调查中。
针对事件定性，首批出现异常的项目方Flap明确将其定调为DNS劫持事故。域名系统（DNS）本质上充当着将网络字符网址映射至底层物理服务器IP地址的中枢目录，攻击者通过篡改注册商层级的解析记录，使得即便终端用户在浏览器中输入完全正确的官方网址，流量亦会被底层路由强行导向攻击者架设的仿冒服务器。尽管各受害协议在解析链条中采用了不同的第三方服务商（如Cloudflare、Vercel或Name.com专有域名服务器），但其在顶级注册商维度的统一性，直接暴露了本次攻击的集中渗透源头。
揭秘Step Drainer恶意工具
根据安全机构Blockaid的技术复盘，本次被黑客强行注入仿冒站点的核心恶意载荷，系在暗网流通的专业资产排空套件Step Drainer。该程序在终端用户完成钱包插件连接后，会自动化伪造正常的业务交互提示，诱导受害者在无意识中签署具备高风险权限的代币转账或资产授权协议，进而瞬间清空持仓。
综合网络安全机构LevelBlue SpiderLabs此前在2026年4月发布的专题威胁研判，Step Drainer呈现出典型的商业化网络犯罪特征：
- 恶意软件即服务（MaaS）运作模式：攻击套件被作为现成产品在黑产市场广泛分销，买家仅需支付约750美元即可买断完整底层源代码，亦可选择支付150美元基础服务费外加20%盗窃资金抽成的租赁方案；
- 跨链多生态兼任属性：该套件宣称具备适配超过20条主流公链网络的能力，能够动态识别不同钱包协议并针对性触发针对EVM系、非EVM系公链的定向签名诱骗；
- 自动化划转规避审计：程序内置资产筛查机制，可在数秒内完成受害者账户高价值资产的识别与梯次提权。
从时间线上看，北京时间10月31日9时许，Flap协议前端最先出现解析异动，随后数小时内数十家同类应用接连沦陷，显示出攻击者在获取注册商底层控制权后，采取了高度集中的自动化脚本批量部署。
中心化Web2前沿风险暴露
在后续针对系统漏洞的问责与定损中，基础设施服务商与应用方之间爆发了明显的归因分歧。Name.com官方发言人向媒体澄清，全平台累计有15个客户域名受到此轮针对性攻击的影响，公司已全面重置受害域名的解析指针，目前正与各项目持有人对接排查，并呼吁全网客户加紧核验DNS解析日志并强制开启账户双重身份验证（2FA）。不过，其母公司Identity Digital尚未对此作出官方置评。
与此同时，前端托管巨头Vercel在通告中表示，Name.com正在调查一起专门针对加密货币及DeFi机构的域名接管行动，其中涉及与Vercel服务绑定的10个受影响域名已由Name.com修复，并强调Vercel客户无需在自身服务端采取额外防护动作。
然而，协议开发者对服务商的表态提出了公开质疑：
- 托管端责任归咎：Kintsu与Origami Finance均直接将矛盾指向托管平台，Kintsu直言该事故系“发生于Vercel服务端的不可抗力失控”；
- 第三方分发争议：FluxBeam核心开发者Cloakd则披露，Name.com技术代表在沟通中声称故障根源并不在Name.com核心网络，而是源于外部第三方分发商的权限失守；
- 解析状态剧烈震荡：在北京时间周六20时32分（对应美东时间周六8时32分），其中10个涉案域名在注册商根层级一度被执行暂停解析（ClientHold）操作，直至当日临近正午才陆续解除限制，域名状态的大幅反复加剧了用户的访问混乱。
代币化股票与质押资产遭变现
在资金追踪与链上流向监控方面，链上分析师已捕获到攻击者高度标准化的分流洗钱拓扑。数据显示，黑客在得手后将非法所得按照15%、55%与30%的固定比例切割，分流汇入三个受控的核心洗钱金库。
截至目前，在以太坊主网、Robinhood Chain以及Monad等兼容网络中，已确认被转移的资金规模合计达13.8万美元，其主要构成涵盖Robinhood Chain网络上的ETH以及原生代币MON。
攻击者在链上展现出对复杂DeFi协议的熟练变现能力：
- RWA资产快速折价兑换：其中一个关联地址定向穿透去中心化借贷协议Morpho，强行赎回了受害者质押的代币化英伟达与苹果股票，随后在去中心化交易所迅速换回为高流动性的ETH；
- 质押生息资产解绑：位于Monad测试网络的受控钱包，则强行对Kintsu协议名下的质押MON资产发起了解质押与提现清算；
- 异构公链敞口尚待测算：上述约13.8万美元的涉案统计尚未纳入Solana网络中FluxBeam、StonkFun、StakePoint以及Aptos公链上Echelon协议的实际受损账目，且目前尚无任何受害项目方公布具体波及的独立钱包地址总数，总体潜在资金敞口仍在持续穿透中。
总结
本次安全事件的核心在于攻击者拿下Name.com相关域名解析权限，利用 DNS 劫持批量部署商业化 MaaS 盗币工具 Step Drainer，诱骗用户授权转账盗取资产。事发后注册商紧急修复解析记录，但服务商、托管平台与 DeFi 项目方之间责任认定存在分歧。黑客已经对部分 RWA 代币、质押资产完成折价变现，当前统计损失仅为一部分，跨链完整损失仍有待核查，也给所有 DeFi 项目敲响域名基础设施防护的警钟。
以上就是Name.com域名遭篡改，十余家DeFi协议遇DNS劫持植入盗币套件的详细内容，更多关于多家DeFi遭DNS劫持中招Step Drainer的资料请关注脚本之家其它相关文章！
本站提醒：投资有风险，入市须谨慎，本内容不作为投资理财建议。
