〔品傳媒／綜合外電報導〕至少12個去中心化金融（DeFi）專案的官方網站，從台灣時間10月31日上午起陸續遭DNS劫持，訪客被導向植入盜幣工具「Step Drainer」的惡意頁面。根據The Block報導，這些網站的網域均透過註冊商Name.com註冊，目前已追蹤到約13.8萬美元遭竊資金流入3個EVM錢包，尚未計入Solana與Aptos鏈上的損失；其中10個網域已在註冊商層級遭停用。
重點摘要：資安公司Blockaid發現12個DeFi網站遭植入Step Drainer盜幣程式，受影響網站均在Name.com註冊。多個專案表示鏈上智能合約未受影響，但用戶若在遭劫持網站連結錢包並簽署授權，資產可能被轉走。
12個DeFi網站遭DNS劫持 Flap、Kintsu率先出事
根據crypto.news報導，資安公司Blockaid最初發出警示，指出Flap與Kintsu可能遭前端攻擊，建議用戶暫勿互動；隨後又公布10個同樣載入Step Drainer的網域，包括StonkFun、Pickle Finance、Echelon、Origami Finance、FluxBeam、StakePoint、SupSwap、Longbow、Shprd Finance與APEX。Blockaid表示調查仍在進行，尚未指認攻擊者。
The Block則整理出事件時間軸：Flap網站疑似最先遭入侵，社群使用者隨後發現受害網站都使用同一家註冊商，開發者banteg也得出相同結論。截至該媒體發稿時，12個網域中有10個已被註冊商停用，但Flap與Kintsu的網站仍在運作。
| 台灣時間（10月31日） | 事件 |
|---|---|
| 09:10 | X使用者指Flap網站疑似遭入侵 |
| 10:54 | Blockaid發出Flap與Kintsu警示，隨後公布其他受害網站 |
| 11:51 | X使用者指出Name.com可能遭入侵 |
| 12:27 | Name.com在X上回覆，請使用者填寫濫用通報表單 |
| 20:32 | 10個網域在註冊商層級遭停用 |
資料來源：The Block（原文為美東時間，已換算為台灣時間）
Step Drainer如何盜幣？資金依固定比例分帳
Blockaid指出，受害網站載入的Step Drainer會誘騙連結錢包的訪客核准轉帳授權，藉此把資產轉出。The Block引述資安公司LevelBlue SpiderLabs今年4月的分析指出，這是一種「惡意軟體即服務」（MaaS）工具，完整原始碼據報售價約750美元，或以150美元加上每筆竊款抽成20%的方式提供。
在資金流向上，The Block發現竊款以15%、55%、30%的固定比例分入三個錢包。BNB Chain上的一個Safe錢包自四個錢包收到約3.1枚BNB（約2,200美元）；Monad鏈上則有兩個錢包贖回Kintsu的質押MON並從Neverland提領；Robinhood Chain上也有錢包從Morpho提出輝達、蘋果等代幣化股票，再換成以太幣。crypto.news則引述資安研究員Ogle的警告指出，攻擊者植入的腳本會在訪客點擊連結錢包按鈕時，將其導向惡意盜幣頁面。
Name.com回應有限 部分專案矛頭指向Vercel
The Block指出，Name.com目前唯一的公開回應，是在X上請通報者填寫濫用表單，並未回覆媒體提問，其母公司Identity Digital也未即時回應。另一方面，Kintsu與Origami Finance將問題歸哎於網站部署平台Vercel，Kintsu表示事件「超出我們的控制範圍」，Origami則提到與Vercel相關的網域伺服器遭攻擊。Name.com曾在2025年12月的新聞稿中表示，Vercel已選擇其作為新版網域服務的註冊商；Vercel截至週六上午尚未公開說明。
在受害程度方面，目前沒有專案公布受害人數。FluxBeam表示尚未接到用戶受影響的通報，StonkFun也表示未知有人受害；Kintsu、Origami、FluxBeam與StonkFun皆表示鏈上合約未受影響。根據crypto.news，StonkFun已將網站移至新基礎設施並恢復上線，提醒用戶等待一小時再連結錢包；Flap則已確認遭DNS劫持，請用戶在另行通知前勿造訪網站、連結錢包或簽署交易。
類似的前端劫持事件過去也曾發生，The Block提到包括2025年11月的Aerodrome與Velodrome、以及2023年10月的Galxe；crypto.news則指出Curve Finance於2025年5月網站遭重導向後，最終改用新網域。加密貨幣資安事件近期頻傳，可參考本站Chainalysis遭AI代理攻擊、客戶資料外洩一文。
常見問題 FAQ
什麼是DNS劫持？為何會影響DeFi用戶？
DNS劫持是攻擊者竊改網域解析設定，讓用戶輸入正確網址後卻被導向假網站。DeFi用戶若在假網站連結錢包並簽署授權，資產就可能被盜幣程式轉走，即使專案的智能合約本身沒有漏洞。
這次事件損失有多大？
The Block追蹤到約13.8萬美元流入三個EVM錢包，尚未包含Solana與Aptos鏈上的損失；目前各專案都未公布受害人數。
曾造訪受影響網站的用戶應該怎麼做？
各專案建議在官方宣布安全前暫勿造訪網站、連結錢包或簽署交易。若曾在事件期間連結錢包或簽署授權，宜儘速檢查並撤銷可疑授權，並以專案官方社群帳號公告為準。
參考資料
- The Block：Hackers hijack a dozen DeFi websites, all registered with Name.com, and steal about $138,000
- crypto.news：DeFi DNS attack hits 12 sites with Step Drainer toolkit
※本文內容僅供資訊參考，不構成任何投資建議。加密貨幣價格波動劇烈，投資前請審慎評估自身風險承受能力。
※本文由 AI 輔助撰寫。首圖為示意圖（圖／Freepik）。