币圈界报道：

十二个去中心化金融平台遭遇域名劫持，前端欺诈活动持续升级

10月31日，网络安全机构Blockaid发布紧急通告，指出多起协同性域名劫持事件正导致十余个DeFi网站向用户推送用于窃取数字资产的恶意脚本。尽管相关协议的智能合约保持完整，未被篡改，但攻击已渗透至Web2层级：攻击者接管了域名解析系统，将合法网址指向由其控制的服务器，并在外观几乎一致的伪装页面中嵌入资产提取程序。

攻击范围在数分钟内迅速扩张

UTC时间02:54，Blockaid首次确认对Flap代币发行平台及Monad质押协议Kintsu的前端存在异常。公司警告称，其监测系统识别出针对@flapdotsh与@Kintsu的潜在攻击行为，并建议用户暂停所有交易操作。仅22分钟后，受影响的项目数量已攀升至超过十家。

除初始目标外，后续检测发现包括stonkfun.xyz、pickle.finance、echelon.market、origami.finance、fluxbeam.xyz、stakepoint.app、supswap.xyz、longbow.cash、shprd.finance以及apexdefi.xyz在内的多个站点正在运行名为“Step Drainer”的盗取工具。调查团队正持续追踪并收集更多技术证据。

通过伪造DNS记录构建信任陷阱

此类攻击聚焦于加密项目依赖的非链上组件——域名系统。每个协议需通过域名连接用户，而该系统由注册商管理并由托管服务商维护。一旦攻击者获取对这些记录的控制权，原本指向官方服务器的域名将被重定向至恶意节点。用户在浏览器中输入正确地址且看到有效锁形图标，误以为安全无虞，实则正进入一个精心设计的仿冒界面。

Blockaid此前详细分析过类似流程：攻击者先以社会工程手段诱骗注册商客服泄露账户权限，随后修改DNS记录，再申请新的SSL证书以维持安全标识的视觉连续性，最后部署与真实前端完全一致的虚假界面。“整个过程未触及任何链上逻辑或合约代码，”该公司强调。本次事件同样遵循此路径，确保链上资产和资金池未受波及。

注册商成共性弱点，非代码缺陷所致

这一系列攻击暴露的是共享的Web2依赖结构，而非特定项目的代码漏洞。知名链上观察者banteg在回应警报时指出：“所有涉事域名均使用同一家[name].com注册商。”这与Blockaid早前研究中的模式高度吻合——2026年2月的一轮攻击亦始于攻击者说服注册商员工转移域名所有权。

当年2月16日至23日期间，共有五个协议被注入名为AngelFerno的窃取工具。而此次事件在不到半小时内便标记出12个目标，从每周平均五例提升至单日超量级爆发。尽管攻击对象不同，但入口点始终是注册商账户的安全缺口，而非智能合约本身。

对终端用户而言，这种威胁更具隐蔽性。相比可被钱包拦截的恶意合约，来自可信域名的窃取行为难以察觉。用户仅凭信任常规访问路径，便可能在毫无预警的情况下签署授权，导致资产被盗。

窃取即服务市场推动攻击规模化

Step Drainer隶属于一个虽小却活跃的“窃取即服务”生态。据Blockaid早期报告，该市场已推出多种专用变体：AngelFerno EVM适配以太坊及兼容链，SolFerno针对Solana，TronFerno覆盖Tron网络，XRPFerno用于XRP Ledger，SeedFerno则专攻跨链助记词提取。仅2026年1月第一周，SeedFerno就成功捕获逾5,000个助记词。

10月31日事件中，该工具被部署于多个面向EVM的网站，表明攻击者正批量租用同一套脚本，集中打击那些注册商账户防护薄弱的项目。核心目标并非链上逻辑，而是获取域名管理后台的登录凭证。

攻击效率显著提升：2月事件平均每周仅出现五次，每日不足一个；而此次在短短一小时内完成12个站点入侵，间隔仅22分钟。这不仅反映技术复用程度加深，更揭示了当前DeFi生态系统在外部基础设施层面的巨大脆弱性。

用户应采取的应急措施

Flap方面确认，事件发生前访问真实页面的用户未受影响。风险主要集中在警报发出前几十分钟内曾连接钱包或签署授权的用户。Kintsu提醒，自UTC时间00:00后在该平台进行任何操作的用户，应立即撤销授权并转移资产。StonkFun表示链上状态正常，目前已下线网站，在新架构重建后恢复运营，并要求用户等待DNS变更传播完毕后再重新接入。

实用建议明确：凡近期与上述12个域名交互者，应视为高危操作。务必在各项目官方宣布安全恢复前，撤销所有代币授权，并避免重新连接。此类前端风险曾在Velodrome、Aerodrome等项目中显现，而当前监控数据显示，因基础设施失效引发的损失占加密资产总损失的74%。

此次事件并未反映智能合约体系的失败。真正的漏洞存在于用户与区块链之间的域名层。目前尚不清楚幕后策划者身份，也未掌握具体受害人数。Blockaid将持续追踪，其下一波通报将揭示是否还有新增目标，或攻击者已转向其他方向。