DNS comprometido rouba 138 mil dólares a 12 sites DeFi

Hackers sequestraram 12 sites DeFi na noite de sexta-feira e usaram o malware Step Drainer para roubar cerca de 138 mil dólares. Os 12 domínios identificados estavam registados através da Name.com. O valor abrange fundos rastreados em redes EVM; poderá não incluir perdas nos sites afetados de Solana e Aptos. O número de vítimas continua por esclarecer.

Porque é importante

Os sites não partilhavam o mesmo fornecedor de DNS e a responsabilidade pelos sequestros ainda não foi apurada. A Kintsu e a Origami Finance responsabilizaram a infraestrutura da Vercel, enquanto a Name.com terá dito a pelo menos um dos projetos afetados que a culpa era de um emissor terceiro. Na sua resposta pública, a Name.com pediu aos utilizadores que apresentassem uma denúncia de abuso. A Vercel ainda não se pronunciou publicamente e ambas as empresas indicavam que os seus sistemas estavam operacionais.

O Step Drainer engana os utilizadores para que aprovem transferências a partir das suas carteiras depois de se ligarem a um site afetado. A atividade onchain mostrou que os fundos foram divididos por três carteiras, em parcelas de 15%, 55% e 30%. O ataque atravessou várias redes: os fundos foram rastreados na BNB Chain, Ethereum, Robinhood Chain e Monad. Na Monad, carteiras resgataram MON em staking e levantaram fundos da Neverland; na Robinhood Chain, uma carteira transferiu ações tokenizadas de NVDA e AAPL da Morpho e trocou-as por ETH.

Impacto no mercado

Dez domínios foram suspensos ao nível do registo, mas as suspensões foram levantadas até ao final da manhã de sábado. Os domínios da Flap e da Kintsu continuavam operacionais no momento da publicação. Alguns projetos afetados afirmaram que os seus contratos onchain não foram comprometidos, mas um contrato seguro não impede um frontend malicioso de pedir aos utilizadores que aprovem transferências.

Pelo menos quatro carteiras enviaram fundos para os atacantes apenas na BNB Chain. A FluxBeam afirmou não ter conhecimento de utilizadores afetados, enquanto a StonkFun disse não estar a par de qualquer caso. O incidente deixa um risco concreto a que os utilizadores devem estar atentos: um site DeFi familiar pode transformar-se numa interface que esvazia carteiras se o seu domínio ou a infraestrutura de alojamento forem comprometidos.