Dodici siti legati a progetti crypto sono stati associati a una campagna che reindirizzava i visitatori verso pagine costruite per sottrarre asset digitali. L’elemento comune osservato dai ricercatori è la presenza del toolkit Step Drainer sulle interfacce web; almeno due progetti hanno descritto pubblicamente un dirottamento DNS o del dominio. Al 31 ottobre la causa tecnica complessiva non era stata accertata: le informazioni disponibili indicavano la gestione dei domini come punto critico, senza dimostrare una compromissione generalizzata di un registrar o del provider cloud.
Leggi anche: Registrar, i nuovi controlli di sicurezza annunciati da SK-NIC
Dodici front-end, un toolkit dannoso
Secondo CircleID, che ha ricostruito gli aggiornamenti dei progetti e dei ricercatori, Blockaid ha segnalato inizialmente Flap e Kintsu, per poi aggiungere altri dieci siti: StonkFun, Pickle Finance, Echelon, Origami, FluxBeam, StakePoint, SupSwap, Longbow, Shprd Finance e APEX. Il codice associato a Step Drainer è progettato per indurre l’utente a collegare il proprio wallet e autorizzare operazioni che possono trasferire fondi verso portafogli controllati dagli attaccanti. La compromissione descritta riguarda quindi il percorso che porta al sito e i contenuti presentati nel browser, non prova che i contratti blockchain dei progetti siano stati alterati.
La distinzione è operativamente rilevante. Un’applicazione decentralizzata può continuare ad avere contratti intatti, ma una pagina raggiunta tramite il suo indirizzo abituale può essere sostituita o modificata. Se l’interfaccia fraudolenta appare credibile, il visitatore rischia di autorizzare una transazione che non avrebbe approvato sul sito legittimo. La fiducia nel codice on-chain, da sola, non verifica che il dominio stia ancora puntando all’infrastruttura corretta.
Che cosa è stato ricondotto alla gestione dei domini
Kintsu ha dichiarato che kintsu.xyz era stato dirottato a livello del registrar; il progetto ha poi comunicato il ripristino del sito e ha avvertito che le cache DNS avrebbero potuto conservare temporaneamente la destinazione precedente. Anche Flap ha segnalato un incidente DNS che coinvolgeva flap.sh, invitando gli utenti a non collegare wallet né approvare transazioni durante la risposta iniziale. Queste sono attribuzioni rese dai progetti coinvolti e non una relazione forense completa sul metodo d’accesso.
Il quotidiano specializzato The Block ha inoltre riferito che i dodici domini identificati risultavano registrati presso Name.com, sulla base dei dati di registro esaminati dalla testata; dieci erano stati messi in stato clientHold al momento della sua pubblicazione. Il dato del registrar comune è un indizio utile per ricostruire la superficie d’attacco, ma non equivale a prova che l’intera piattaforma Name.com sia stata violata. La stessa ricostruzione segnala che i siti non condividevano un unico fornitore DNS e che il registrar non aveva ancora reso pubblica una spiegazione tecnica completa.
Le ipotesi restano aperte: un accesso non autorizzato agli account, una debolezza nei flussi di gestione oppure un’altra compromissione a monte richiederebbero evidenze diverse. Fino a una root-cause analysis, attribuire la campagna a credenziali rubate, a una falla interna o a un singolo servizio sarebbe prematuro. Anche il rapporto tra questo episodio e altri incidenti recenti non è stato stabilito.
Leggi anche: Domain shadowing: quando il controllo DNS espone siti legittimi · DNS hijacking e Registry Lock: proteggere il dominio a livello registry
Il dominio è un controllo di sicurezza, non solo un indirizzo
L’episodio mostra perché la gestione dei nomi di dominio appartenga al modello di sicurezza di un servizio online. Il registrar governa operazioni come aggiornamenti di contatto e delega; il provider DNS pubblica i record che indirizzano il traffico; il gestore del sito controlla l’applicazione e il codice servito. Questi livelli possono appartenere a soggetti diversi. Un attacco o un errore in uno di essi può compromettere l’esperienza dell’utente anche quando gli altri restano integri.
Per chi amministra un progetto digitale, la risposta non si esaurisce nel ripristino del server. Occorre verificare chi può modificare la delega, proteggere gli account con autenticazione forte e accessi nominativi, limitare i privilegi, predisporre avvisi per cambi di DNS e mantenere procedure rapide per bloccare o ripristinare un dominio. In caso di incidente, comunicazioni chiare su indirizzi alternativi e sullo stato delle approvazioni aiutano a ridurre il rischio che gli utenti seguano link o interfacce ancora compromessi.
La misura tecnica precisa dipende dall’architettura: DNSSEC può rilevare alcune alterazioni delle risposte DNS, ma non impedisce necessariamente un cambiamento autorizzato o fraudolento della delega presso il registrar. Non è quindi un sostituto dei controlli sull’account e sui processi di modifica. Le organizzazioni devono valutare insieme protezione del registrar, gestione delle chiavi, monitoraggio dei record e canali di recupero.
Impatto economico ancora da quantificare
Le stime diffuse nelle prime ore non costituiscono un bilancio completo. The Block ha tracciato circa 138.000 dollari verso tre wallet su reti compatibili con EVM, precisando che il calcolo non includeva eventuali perdite su Solana o Aptos; non risultava un conteggio consolidato delle persone colpite. Alcuni progetti hanno riferito di non avere segnalazioni di utenti danneggiati, mentre altri hanno chiesto di non interagire con le pagine interessate. Importi e stato dei domini sono dunque fotografie temporanee, non il consuntivo definitivo della campagna.
La lettura Webinvest
Il caso rende visibile una dipendenza spesso trascurata: il dominio è una credenziale d’accesso alla relazione con utenti e clienti. Dodici front-end associati allo stesso codice malevolo e un insieme di domini ricondotti a un registrar comune giustificano un’indagine coordinata, ma non autorizzano a dichiarare compromessa l’intera infrastruttura del fornitore. La lezione per imprese, registrar e piattaforme è tenere separati gli indicatori osservati dalle cause ancora da provare e trattare ogni modifica della delega come un evento di sicurezza. L’esito più importante da seguire sarà una ricostruzione tecnica verificabile: chiarirà se il punto debole è stato un account, una procedura o un componente condiviso e quali controlli ridurranno il rischio di recidiva.
Fonte: CircleID, “DNS Hijacking Campaign Targets 12 Cryptocurrency Sites as Registrar-Level Compromise Investigated”. Dettagli aggiuntivi e stime on-chain: The Block, ricostruzione del 31 ottobre 2026.
← Tutte le news