Attacco DNS DeFi: Name.com conta 15 domini, Blockaid ha indicato 12 siti e la causa resta da confermare

Aggiornamento del 2 novembre 2026, 06:03 UTC: Name.com dice ora che i domini di clienti colpiti sono 15, secondo The Block, mentre Blockaid ha indicato 12 siti; nessuna fonte che abbiamo letto concilia i due numeri. Vercel scrive in un bollettino che sono stati colpiti 10 domini associati alla piattaforma. Bitquery conta 202.386 dollari sottratti a 32 wallet su sei catene, contro i circa 138.000 dollari sulle catene EVM del conteggio di The Block: due metodi diversi, e nessuno dei due include Solana o Aptos. La causa non è ancora confermata.

Nella notte tra venerdì 30 ottobre (ora statunitense) e sabato mattina presto in UTC, alcuni aggressori hanno preso blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il controllo degli indirizzi web di progetti DeFi e li hanno usati per servire un kit svuota-wallet a chi aveva digitato l’URL corretto. Secondo Name.com i domini di clienti colpiti in questo attacco DNS DeFi sono 15, ha riportato The Block, mentre la società di sicurezza Blockaid ha indicato 12 siti; nessuna fonte che abbiamo letto elenca i 15 o concilia i due numeri. Le stime delle perdite cambiano con il metodo: circa 138.000 dollari sulle catene EVM nel conteggio di The Block, 202.386 dollari in quello di Bitquery. Nessuna delle due include Solana o Aptos.

Kintsu, Origami, FluxBeam e StonkFun dicono che i loro contratti onchain non sono stati toccati, e lo stesso afferma Longbow per i propri. A cambiare è stato il percorso tra un nome di dominio e il sito che c’è dietro. Circa 16 ore dopo il momento in cui il primo sito è apparso compromesso, Name.com ha scritto su X alle 17:13 UTC di sabato che «diversi domini su name.com sono stati reindirizzati in modo improprio venerdì sera, nell’ambito di un piano per accedere ai wallet crypto dei visitatori». Ha aggiunto che i domini interessati sono stati ripristinati e che l’indagine è ancora in corso. Non ha spiegato come siano stati effettuati i reindirizzamenti.

Name.com conta 15 domini, ma non indica il punto d’ingresso

Prima di quel post, l’unica risposta pubblica del registrar riportata era un messaggio su X delle 04:27 UTC, in cui chiedeva a due utenti di compilare il suo modulo per gli abusi, secondo The Block. La testata riferisce che l’indirizzo email dell’ufficio stampa di Name.com non ha accettato la sua richiesta di commento e che la capogruppo Identity Digital non ha risposto. La dichiarazione di Name.com su X non cita alcun dominio e non fornisce numeri, quindi da sola non collega il registrar a ciascuno dei 12 siti.

Lo fanno invece i dati di registrazione. Coindaro ha letto i registri pubblici alle 17:55 UTC di sabato, tramite RDAP e, per flap.sh di Flap, tramite il server WHOIS del dominio .sh: tutti e 12 i domini indicano Name.com, Inc. come registrar, in linea con la verifica di The Block. Un registrar in comune è una pista, non un accertamento. FinanceFeeds lo precisa allo stesso modo: ciò non stabilisce che i sistemi di Name.com siano stati violati.

Il numero è arrivato più tardi, sabato. In un aggiornamento delle 19:37 UTC, The Block ha riportato che secondo Name.com i domini di clienti colpiti erano 15. Un portavoce ha detto alla testata che Name.com ha «identificato attività non autorizzate nella tarda serata di venerdì 30 ottobre», ha ripristinato tutti i domini interessati e sta lavorando con i titolari degli account. «Continuiamo a indagare e abbiamo preso misure per mettere in sicurezza gli account coinvolti», si legge nella dichiarazione. Il post di Name.com su X invitava anche i clienti a controllare i record DNS e ad attivare l’autenticazione a due fattori, secondo The Block.

Nessun elenco accompagna quel numero. Senza i 15 nomi non si può confrontarlo con i 12 siti di Blockaid, e nessuna fonte che abbiamo letto spiega la differenza. Il blog di Name.com non aveva alcun post sull’incidente quando lo abbiamo letto il 2 novembre; l’ultimo articolo è del 23 ottobre.

Come l’attacco DNS ha raggiunto chi aveva digitato l’indirizzo giusto

Il DNS è la rubrica del web. Dice al browser quale server si trova dietro un nome come pickle.finance. Se si modifica quella voce alla fonte, il nome resta giusto ma la destinazione è sbagliata: un segnalibro o un URL digitato con cura non offrono alcuna protezione. Non c’è un dominio clone con una lettera sbagliata da riconoscere.

Flap ha scritto su X che il suo sito era «rediretto verso un sito non autorizzato». Il ricercatore di sicurezza Ogle ha descritto uno script iniettato che mandava chi cliccava sul pulsante di connessione a una pagina drainer, secondo crypto.news. Blockaid ha detto che i siti stavano «servendo attivamente lo Step Drainer».

Step Drainer è un malware venduto come servizio. Funziona convincendo il visitatore ad approvare un trasferimento o a firmare un messaggio malevolo dopo aver collegato il wallet. LevelBlue SpiderLabs lo ha descritto ad aprile come in vendita a circa 750 dollari con il codice sorgente completo, oppure a circa 150 dollari più il 20% di ogni furto, ha riferito The Block. Secondo Crypto Briefing funzionerebbe su più di 20 reti. Il kit non ha bisogno della chiave privata di nessuno. Il danno dipende da ciò che l’utente approva o firma, e un’approvazione resta valida anche dopo la chiusura della scheda.

L’elenco di Blockaid con 12 siti, e perché altri elenchi sono diversi

Ci basiamo sui post di Blockaid aperti direttamente su X, non sulle versioni rilanciate dalle testate. Il suo primo allarme, alle 02:21 UTC di sabato, citava flap.sh, kintsu.xyz e stonkbrokers.cash. Alle 02:54 UTC, l’orario che The Block indica per l’allarme, ha modificato quel post eliminando stonkbrokers.cash. Il fondatore di StonkBrokers ha definito l’allarme un falso positivo e ha detto che il dominio non era il sito ufficiale della piattaforma, ha riportato EconoTimes. Anche le copie dell’avviso di Ogle riportavano quel nome, ha osservato crypto.news, il che spiega il tredicesimo sito presente in alcuni elenchi. Alle 03:16 UTC Blockaid ha aggiunto altri dieci domini. L’articolo di The Block ne nomina otto su 12.

La tabella riguarda i 12 siti di Blockaid come li abbiamo letti il 31 ottobre, non i 15 domini contati da Name.com. La colonna dei nameserver va letta con cautela. Mostra dove punta oggi ciascun dominio, non dove puntava venerdì, quindi non permette di stabilire quale configurazione sia stata colpita. Secondo Crypto Briefing i domini dirottati dipendevano tutti dai nameserver di Name.com e alcuni team hanno ripreso il controllo passando a Vercel e Cloudflare. The Block e FinanceFeeds riferiscono invece una configurazione mista tra Cloudflare, Vercel e Name.com. «Nessuna dichiarazione trovata» significa soltanto che la nostra ricerca non ha dato risultati.

Dieci domini sono stati messi in «client hold» alle 12:32 UTC di sabato, ha riportato The Block: è uno stato a livello di registrar che impedisce a un nome di risolversi. Flap e Kintsu non erano tra questi. In serata i blocchi erano spariti: alle 17:55 UTC nessuno dei 12 record riportava quello stato. Undici domini erano stati modificati l’ultima volta tra le 14:22 e le 16:06 UTC, e flap.sh alle 06:30 UTC. Un dominio raggiungibile non equivale a un via libera del progetto, e la tabella mostra quanti pochi ne abbiano dato uno.

Due stime, 138.000 e 202.386 dollari, e nessuna conta Solana o Aptos

The Block ha trovato circa 138.000 dollari in tre wallet degli aggressori a fine mattinata di sabato, ora statunitense, soprattutto in MON e in ETH su Robinhood Chain. I proventi erano ripartiti in quote fisse del 15%, 55% e 30%. Su Monad, due wallet hanno riscattato i MON in staking di Kintsu e hanno prelevato dal mercato di prestiti Neverland. Su Robinhood Chain, un wallet ha ritirato da Morpho azioni tokenizzate, tra cui NVDA e AAPL, e le ha scambiate con ETH.

Una pista separata comincia prima. Tra l’01:00 e le 01:42 UTC, quattro wallet hanno inviato fondi a un wallet multisig Safe su BNB Chain, che ha incassato circa 3,1 BNB, più o meno 2.200 dollari secondo la stima di The Block. Circa 2,27 BNB erano ancora lì sabato mattina.

Bitquery, società di dati blockchain, arriva a un altro numero per un’altra strada. Il suo rapporto del 31 ottobre conta quanto ha perso ogni vittima, al prezzo del momento di ciascun prelievo: 202.386 dollari sottratti a 32 wallet su sei catene, tra le 01:00 e le 05:33 UTC. Uno staker di Kintsu su Monad ha perso 160.531 dollari, circa il 79% del totale, e due wallet pesano per il 96%. Altri 15 wallet hanno perso meno di un dollaro ciascuno e restano fuori dai 32.

Non sommiamo né facciamo la media delle due cifre, perché misurano cose diverse. Quella di The Block è un saldo: ciò che tre wallet degli aggressori contenevano. Quella di Bitquery parte dalle vittime, e la società dice che quei wallet contenevano circa 139.000 dollari quella sera. Gran parte della differenza, secondo Bitquery, sono circa 56.600 dollari di stake Kintsu rubato, ancora fermi e non riscossi nella coda di unstaking di Kintsu. Se i contratti di Kintsu permettono al team di bloccare o annullare una richiesta, scrive Bitquery, quel denaro si potrebbe ancora fermare; le fonti che abbiamo letto non dicono se sia così.

Bitquery definisce i propri numeri una soglia minima, perché un contratto collettore che avesse ricevuto fondi senza mai girarli sfuggirebbe al conteggio. Aggiunge che una variazione del 10% di MON sposta il totale di circa 16.300 dollari. Ha trovato la stessa ripartizione del 55%, 30% e 15% vista da The Block. Legge inoltre il Safe su BNB Chain come il collettore del drainer, non come una cassaforte: quell’indirizzo ha girato tre pagamenti in pochi secondi e quella sera conteneva ancora 2,27 BNB.

Nessuna delle due cifre è il conto completo. FluxBeam, StonkFun e StakePoint funzionano su Solana ed Echelon su Aptos, e sia The Block sia Bitquery lasciano fuori queste catene; Bitquery precisa che per loro non sono stati pubblicati indirizzi del drainer. Nessun progetto ha pubblicato un numero di vittime, nessun aggressore è stato identificato e nessuna perdita totale è stata confermata. FluxBeam ha parlato di «nessuna segnalazione di utenti colpiti» e StonkFun ha detto di «non essere a conoscenza di persone colpite». I trasferimenti su BNB Chain individuati da The Block mostrano che almeno quattro wallet hanno effettivamente inviato denaro, e Bitquery ne conta sette svuotati su quella catena.

La cronologia di sabato, convertita in UTC

L’ora della costa orientale degli Stati Uniti, quella che usa The Block, in queste date era indietro di quattro ore rispetto all’UTC, mentre Parigi era avanti di un’ora. Gli orari dei post vengono da X; la finestra dei prelievi è di Bitquery; gli altri sono di The Block.

Causa non ancora confermata: Vercel e Name.com sono sospettati, non provati

Nessuno ha dimostrato da dove siano entrati gli aggressori. I sospetti ricadono su due aziende e nascono dai progetti colpiti. Kintsu ha detto che kintsu.xyz era «registrato tramite @vercel Domains» e dirottato a livello di registrar, parlando di un apparente attacco alla supply chain, e ha dichiarato a The Block: «È successo qualcosa dalla parte di Vercel, fuori dal nostro controllo». Longbow ha sostenuto la stessa cosa: «Il dirottamento è avvenuto su @vercel Domains, il registrar di longbow[.]cash». Origami ha prima citato «un attacco in corso ai nameserver associati a Vercel», poi ha detto di attendere l’«analisi della causa radice da Vercel / name[.]com», citazioni riportate entrambe da The Block.

I due nomi potrebbero essere un unico percorso. Name.com ha dichiarato a dicembre 2025 che Vercel l’aveva scelta come registrar per il suo servizio di domini rinnovato, secondo The Block, quindi un dominio acquistato tramite Vercel mostrerebbe Name.com nei registri pubblici. Questo è coerente con ciò che abbiamo letto, ma non dimostra che ogni dominio colpito sia passato da Vercel. Punkquidity ha detto a The Block di non poter ancora stabilire «se sia stata Name.com stessa o un rivenditore come Vercel». L’ultimo post di Kintsu che abbiamo letto, delle 05:27 UTC, dice soltanto che sta ancora lavorando con il proprio registrar per confermare la causa.

Vercel nel frattempo ha parlato. Un bollettino datato 31 ottobre sul suo sito afferma: «Siamo a conoscenza di 10 domini associati a Vercel che sono stati colpiti». Definisce Name.com «un partner per la registrazione dei domini», spiega che sta indagando su una campagna di dirottamento rivolta ad aziende crypto e che ha ripristinato quei domini, e aggiunge che Vercel è in contatto con i clienti interessati e collabora all’indagine. La frase «non è richiesta alcuna azione ai clienti» riguarda i clienti di Vercel, non chi ha collegato un wallet.

Il bollettino non spiega come sia avvenuto il dirottamento, non dice se i sistemi di Vercel siano stati coinvolti e non elenca i 10 domini. Nessuna fonte che abbiamo letto dice che siano i dieci domini messi in «client hold», e un fatto fa dubitare che sia così: Kintsu, che dice di aver registrato il dominio tramite Vercel, non era bloccato.

La posizione di Name.com sulle responsabilità si conosce solo di seconda mano. Cloakd, lo sviluppatore di FluxBeam, ha scritto su X che il suo referente in Name.com «sostiene che non sono loro ma gli emittenti terzi», ha riportato The Block. È il resoconto di uno scambio privato fatto da un solo progetto, e le dichiarazioni pubblicate da Name.com non lo dicono. Anche il rapporto di Bitquery considera la causa non confermata.

Prima del bollettino, Vercel non aveva rilasciato commenti pubblici fino a sabato mattina, ora statunitense, e non aveva risposto a The Block. Nella cronologia del suo stato di servizio non risultava alcun incidente per il 30 o il 31 ottobre quando l’abbiamo letta, verso le 17:55 UTC, e la pagina dei suoi bollettini di sicurezza allora non ne riportava alcuno sul tema. Vercel ha reso nota una violazione interna ad aprile 2026, legata a uno strumento di IA di terze parti compromesso; nessuna fonte che abbiamo letto collega quel caso a questa ondata.

Cosa fare se hai collegato un wallet il 30 o il 31 ottobre

La finestra di Kintsu è la più precisa tra quelle pubblicate: chiunque si sia connesso o abbia firmato dalle 00:00 UTC circa del 31 ottobre dovrebbe revocare le approvazioni e spostare i fondi. Il fondatore di Flap ha detto che le connessioni effettuate prima dell’incidente non sono state toccate, secondo EconoTimes. Entrambe le finestre riguardano un progetto specifico, quindi vanno applicate al sito che hai usato.

• Non tornare sui domini elencati finché il progetto stesso non pubblica un via libera sui propri account ufficiali, anche se il sito sembra normale. Longbow ha avvertito che alcune reti possono mostrare il sito malevolo fino a un’ora, finché le cache DNS non si aggiornano.
• Controlla nel tuo wallet le transazioni recenti su ogni catena che usi, cercando trasferimenti che non riconosci. Sui siti Solana o Aptos, leggi l’elenco delle attività del wallet e verifica se il tuo strumento per le approvazioni copre quella rete.
• Rivedi e annulla le approvazioni di token che non riconosci. Kintsu ha indicato Revoke.cash e la nostra guida all’uso sicuro di un DEX spiega come verificarle e revocarle. Ogni revoca è una transazione che costa gas e blocca i trasferimenti futuri, ma non restituisce nulla di ciò che è già stato sottratto.
• Se hai firmato qualcosa di sospetto, sposta ciò che resta su un nuovo wallet con una nuova seed phrase, perché un messaggio firmato potrebbe non comparire in un elenco di approvazioni. Kintsu ha detto ai suoi utenti di revocare e spostare i fondi.

FinanceFeeds osserva che collegare un wallet non significa di per sé che i fondi siano spariti, ma che un’approvazione malevola può autorizzare un trasferimento anche molto tempo dopo la visita. Un hardware wallet non cambia le cose: se firmi, la firma è valida. La nostra guida per evitare le truffe crypto raccoglie le abitudini più generali, a partire dal leggere ciò che mostra il wallet prima di confermare.

I registrar sono già stati l’anello debole della DeFi

Galxe fu colpita a ottobre 2023 tramite il registrar Dynadot. Il 1° novembre 2023 Frax Finance perse il controllo di frax.finance e frax.com, registrati anch’essi su Name.com, che poi confermò di averli riportati sui nameserver corretti. A luglio 2024 il sito di Compound, su un dominio registrato presso Squarespace, fu reindirizzato a una pagina di phishing, mentre Celer disse di aver intercettato un tentativo di presa di controllo. Curve è passata a un nuovo dominio a maggio 2025 dopo che alcuni aggressori avevano reindirizzato il suo sito a un clone svuota-wallet, e Aerodrome e Velodrome hanno subito un dirottamento simile a novembre 2025.

L’audit di uno smart contract non copre niente di tutto questo. Questa ondata ha raggiunto almeno 12 progetti su più catene in circa due ore, tra la prima segnalazione su Flap e il secondo elenco di Blockaid. Un punto di guasto condiviso spiegherebbe la cosa, ma nessuno lo ha accertato.

Cosa succede adesso

Name.com ha promesso aggiornamenti nel suo thread su X, ed è lì che comparirebbero per primi una causa, l’elenco dei 15 domini o il punto d’ingresso. Il tema aperto più visibile sono i vault di Origami: il titolo di The Defiant dice che il suo DNS è stato ripristinato ma i vault restano in pausa. Restano da ottenere due conteggi: un totale per Solana e Aptos e un numero di vittime da parte di uno qualsiasi dei 12 progetti.