Name.comのドメイン15件乗っ取り DeFiサイト訪問者のウォレット狙う

分散型金融（DeFi）のウェブサイト10件余りのドメインが一斉に乗っ取られ、訪問者は暗号資産ウォレットから資産を抜き取る偽ページに誘導された。被害を受けたサイトはいずれもドメイン登録業者Name.com（ネームドットコム）に登録されていた。Name.comは韓国時間11月1日未明、公式Xアカウントで「金曜夜遅く、name.comの複数のドメインが訪問者の暗号資産ウォレットにアクセスする計画の一環として不正にリダイレクトされた」と投稿し、影響を受けたドメインはすべて復旧したと明らかにした。

ウェブホスティング企業のVercel（バーセル）は10月31日のセキュリティ告知で、同社に関連するドメイン10件が影響を受けたと明らかにした。米暗号資産メディアのThe Blockは、Name.comが被害を受けた顧客ドメインを15件と確認したと報じた。

金曜夜、サイトのアドレスが別の場所へ

攻撃は米東部時間の金曜（30日）夜に始まった。ドメインが本来のサーバーではなく攻撃者のサーバーを指すよう書き換えられ、正しいアドレスを入力しても偽の画面が表示された。経緯は以下の通り（韓国時間）。

1. 10月31日10時10分ごろトークン発行プラットフォームFlap（flap.sh）のサイトが最初に乗っ取られたとThe Blockが把握
2. 10月31日11時13分Flap、「公式サイトがDNSハイジャックの被害を受け、未承認のサイトにリダイレクトされている」として、アクセス・ウォレット接続・署名の停止を要請
3. 10月31日11時54分セキュリティ企業Blockaid、FlapとKintsuのサイトに対するフロントエンドへの攻撃について警告
4. 10月31日12時16分Blockaid、同じ攻撃を受けたサイト10件を追加公表 — Pickle Finance・Origami・FluxBeam・Echelonなど
5. 10月31日15時53分Origami、自社のボールト（金庫）をすべて一時停止
6. 11月1日2時13分Name.com、公式Xで被害ドメインの復旧を公表

Blockaidは、追加で確認したサイトが「Step Drainer」を配信していると明らかにした。ドレイナーは、訪問者がウォレットを接続して署名するとトークンの使用権限を奪い、資産を抜き取る悪意のあるプログラム（マルウェア）だ。

スマートコントラクトは無事、変わったのは画面だけ

被害を受けたプロジェクトは、ブロックチェーン上のスマートコントラクト（自動実行プログラム）は攻撃を受けていないと口をそろえた。Origamiは「ボールトのスマートコントラクトと資金は影響を受けておらず、ウェブサイトがリダイレクトされただけだ」と説明した。ソラナ基盤の取引所FluxBeamも「オンチェーンでは通常通り稼働しており、被害はウェブサイトに限られる」とした。ミームコイン発行プラットフォームのStonkFunは、サイトを停止して新たなインフラに移し、復旧したと告知した。

被害規模の公式集計はまだない。The Blockが攻撃者のウォレット3件を追跡した結果、流出額は約13万8000ドルで、流出資産の大半はモナド（MON）とRobinhood Chain上のイーサリアムだった。この数字にはソラナ・アプトス側の被害は含まれておらず、被害者数も明らかになっていない。MONは韓国の取引所アップビットのウォン建て市場に上場しており、1日午後0時30分（韓国時間）ごろ、アップビットで26.3ウォンで取引された。

Vercelか、Name.comか

原因をめぐっては主張が食い違っている。Kintsuは「Vercel側で起きたことで、我々には制御できなかった」と主張し、Origamiも「Vercelに関連するネームサーバー（ドメインの行き先を案内するサーバー）への攻撃」と告知した。Vercelは告知で「Name.comが暗号資産（DeFi）企業を狙ったドメイン乗っ取りキャンペーンを調査している」とし、同社の顧客側で追加の対応を取る必要はなく、調査に協力していると明らかにした。

一方、FluxBeamの開発会社Cloakdは、Name.comの担当者と話したとして「Name.comは自社ではなく第三者の問題だという立場だ」と伝えた。Name.comはThe Blockへの声明で「影響を受けたドメインをすべて復旧し、name.comのアカウント保有者と直接連携している」とだけ述べた。Origamiは原因分析が終わるまでボールトの停止を続けるとしている。

署名したなら、まず承認の取り消しを