Meerdere DeFi-apps getroffen door domeinregisteraanval

Op 11 juli zijn meerdere gedecentraliseerde financiële (DeFi) apps het doelwit geworden van een domeinregisteraanval, zo meldt blockchainbeveiligingsplatform Blockaid.

De aanvaller wist de controle over het DNS-register van Compound Finance te bemachtigen en probeerde hetzelfde te doen bij Celer Network, maar faalde daarin.

Focus op domeinnamen van Squarespace

Uit een voorlopig onderzoek van Blockaid blijkt dat de aanvaller zich richtte op domeinnamen die via Squarespace worden verstrekt. Hierdoor kunnen alle DeFi-apps met een Squarespace-domein in gevaar zijn.

De aanval werd voor het eerst opgemerkt toen de interface van Compound op compound.finance gebruikers doorverwees naar een kwaadaardige website. Deze site bevatte een drainer-app die erop gericht was tokens van gebruikers te stelen.

Om 1:38 uur UTC meldde Celer Network dat ook zij het doelwit waren geweest van een aanval. Hun domeinbewakingssysteem had de overname echter gedetecteerd en onderschept voordat deze kon slagen.

Blockaid kondigde om 15:38 UTC aan dat “meerdere DeFi-frontends het risico lopen om te worden gekaapt, en dat er al een paar incidenten hebben plaatsgevonden.” Volgens het bedrijf blijkt uit een eerste beoordeling dat de aanvallers DNS-records van op SquareSpace gehoste projecten kapen.

Lijst met mogelijke slachtoffers gepubliceerd

0xngmi, een ontwikkelaar bij het blockchain-analyseplatform DefiLlama, publiceerde op zijn beurt een lijst met domeinen die mogelijk door de aanval zijn getroffen. Deze lijst bevat meer dan 100 DeFi-protocollen, waaronder Pendle Finance, dYdX, Polymarket, Satoshi Protocol, Nirvana, LooksRare en vele anderen.

Web3-wallet MetaMask heeft aangekondigd gebruikers te waarschuwen voor mogelijk gecompromitteerde apps die verband houden met de aanval. “Voor degenen onder u die MetaMask gebruiken, u zult een waarschuwing zien van @blockaid_ als u probeert transacties uit te voeren op een bekende site die bij deze huidige aanval is betrokken,” aldus het bedrijf.

Het kapen van domeinnamen is een van de vele aanvallen op de Web3-industrie in het afgelopen jaar. In december injecteerde een aanvaller schadelijke code in de Ledger Connect-bibliotheek, die door de meeste Web3-apps wordt gebruikt voor walletverbindingen. Hierdoor werd bijna het gehele Ethereum Virtual Machine-ecosysteem getroffen.