Doce sitios DeFi amanecieron convertidos en trampa. El secuestro DNS de sus dominios oficiales puso a servir Step Drainer, un kit que pide conectar la billetera y, con una aprobación firmada a la ligera, la deja vacía.
La dirección en el navegador era la correcta. Ese es el detalle que cambia todo: nadie tecleó un enlace raro ni cayó en una copia mal escrita. El secuestro DNS tocó el registro del dominio, el sistema que le dice al navegador a qué servidor apunta cada dirección, y la página legítima respondió con el código de los atacantes.
Blockaid, firma de seguridad de cadenas de bloques, identificó el mismo kit en los doce sitios. The Block rastreó en cadena unos US$138.000 movidos hacia tres billeteras de los atacantes, casi todo después de arrancado el ataque, la noche del viernes 30 de octubre.
DeFi, finanzas descentralizadas, reúne servicios que prestan, cambian y custodian criptomonedas desde páginas web conectadas a una billetera. Cuando la página cae, el contrato inteligente puede seguir intacto y el robo ocurre igual, porque la firma que autoriza la salida del dinero la pone el propio visitante.
Una noche de avisos y diez dominios apagados a la vez
El primer aviso público llegó a las 9:10 p. m. del viernes, hora del este de Estados Unidos, cuando un usuario de X notó algo extraño en Flap, una plataforma de lanzamiento de tokens. Poco después, la propia Flap advirtió que su página había sufrido un secuestro de DNS y Blockaid sumó a Kintsu, un protocolo de participación líquida sobre la red Monad.
La lista creció en minutos: StonkFun, Pickle Finance, Echelon, Origami Finance, FluxBeam, StakePoint, SupSwap, Longbow, Shprd Finance y APEX. Doce dominios en total, todos registrados a través de la misma empresa, Name.com, de acuerdo con los registros públicos de dominios que revisó The Block.
A las 8:32 a. m. del sábado, diez de esos dominios quedaron suspendidos en el registrador, casi al mismo segundo. Cada uno pasó a estado de retención del cliente, una marca que impide que el dominio responda en internet. En ese grupo están Pickle Finance, Origami Finance, FluxBeam, Echelon, StonkFun y StakePoint. Los dominios de Flap y de Kintsu no fueron suspendidos y seguían operativos al publicar The Block su recuento.
La respuesta pública de Name.com fue escueta: a las 12:27 a. m. contestó en X a dos usuarios que pedían ayuda y les indicó llenar su formulario de abusos. La dirección de prensa de la empresa no aceptó la solicitud de comentarios de The Block y su matriz, Identity Digital, tampoco respondió de inmediato.
Step Drainer se vende como servicio y cubre más de 20 redes
Step Drainer no nació para este ataque. LevelBlue SpiderLabs lo describió en abril como un kit de programa dañino como servicio: US$750 por el código completo, o US$150 por una versión que se queda con el 20 % de cada robo. Cubre más de 20 redes de cadenas de bloques.
Su truco es corto. La página pide conectar la billetera, presenta una aprobación que parece rutinaria y esa firma abre la puerta para mover tokens sin pedir la frase semilla ni la clave privada. Por eso Kintsu pidió a quien conectó su billetera o firmó algo después de las 00:00 UTC del 31 de octubre que revoque aprobaciones sospechosas y pase los fondos expuestos a una billetera segura.
Ese patrón se repite esta semana en el mundo cripto: días atrás, un script colado en una herramienta de Polymarket vació sesiones por una vía distinta, y el golpe también entró por la capa web, no por el protocolo.
US$138.000 rastreados y dos empresas señaladas
El dinero localizado se repartió con una fórmula fija: tres billeteras recibieron cortes de 15 %, 55 % y 30 %. En BNB Chain, una billetera recibió unos 3,1 BNB, cerca de US$2.200, desde cuatro billeteras entre las 9:00 y las 9:42 p. m. del viernes. Las mismas tres direcciones aparecieron en Ethereum, en Robinhood Chain y en Monad, donde dos de ellas canjearon el token de participación de Kintsu y retiraron fondos de un protocolo de préstamos.
En Robinhood Chain, una de las billeteras sacó acciones tokenizadas de NVDA y AAPL de la plataforma Morpho y las cambió por ETH. El rastreo de The Block cubre solo redes compatibles con Ethereum: FluxBeam, StonkFun y StakePoint corren sobre Solana y Echelon sobre Aptos, así que cualquier pérdida en esas redes queda fuera de la cuenta de US$138.000.
Dos proyectos apuntan a Vercel. Kintsu afirmó que el fallo ocurrió del lado de Vercel y que la compañía no le había respondido; Origami Finance habló de un ataque contra servidores de nombres asociados a Vercel y pausó sus bóvedas a la espera del análisis de causa raíz. Un dato frena el dedo acusador: los doce sitios no comparten proveedor de DNS, porque unos usan Cloudflare, otros Vercel y otros los servidores de la propia Name.com.
Ningún proyecto ha publicado una cifra de víctimas. FluxBeam dijo no tener reportes de usuarios afectados y StonkFun, que mudó su sitio a infraestructura nueva durante la noche, tampoco conoce afectados. Kintsu, Origami, FluxBeam y StonkFun coinciden en un punto: sus contratos en cadena quedaron intactos. Falta el análisis de causa raíz que Origami espera de Vercel y de Name.com: ese informe dirá si la puerta fue el registrador, un revendedor o una cuenta mal cerrada.
Fuente: The Block
