这轮劫持的实际情况
10月31日，Flap协议前端率先出现解析异动。数小时内，Pickle Finance、Origami Finance、FluxBeam、Echelon、StonkFun、StakePoint、supswap.xyz、longbow.cash、shprd.finance、apexdefi.xyz、Kintsu等十余个项目的官方网站相继指向仿冒镜像站点。链上安全机构Blockaid在X平台发布预警，The Block调取公开Whois注册数据后确认，名单中12个涉事域名的解析托管服务全部挂在域名注册商Name.com名下。
Name.com于北京时间11月1日凌晨发布说明，承认部分托管域名在美国时间周五深夜遭遇非授权重定向，攻击意图指向访问者的钱包权限，已对受影响域名执行紧急复原。Flap方面直接将其定性为DNS劫持——攻击者篡改注册商层级的解析记录后，用户即便在浏览器输入完全正确的官方网址，流量仍会被强制导向攻击者架设的仿冒服务器。各受害项目在解析链条中使用了不同第三方服务（Cloudflare、Vercel或Name.com自有域名服务器），但在顶级注册商维度上高度统一，攻击的集中渗透源头由此暴露。
事前能对上的几组入口
DNS劫持的可怕之处在于它绕过了用户端的几乎所有常规判断。网址栏显示的是正确域名，HTTPS证书可能也由攻击者通过域名控制权正常签发，浏览器不会弹出任何警告。对普通用户来说，真正能提前对上的入口只有两处：一是钱包插件在连接站点时弹出的权限请求，二是签名页面里的合约地址和授权对象。
Step Drainer的运作方式正是钻这个空子。据Blockaid技术复盘，该套件在用户完成钱包连接后，会伪造正常的业务交互提示，诱导签署高风险代币转账或资产授权协议，随后清空持仓。LevelBlue SpiderLabs此前一份威胁研判显示，Step Drainer以恶意软件即服务模式在黑产市场分销，完整源代码买断价约750美元，租赁方案为150美元基础费加20%盗窃资金抽成。该套件宣称适配超过20条公链，能动态识别钱包协议并针对EVM系与非EVM系公链触发定向签名诱骗，内置的资产筛查机制可在数秒内完成高价值资产识别与梯次提权。
对用户而言，事件期间可执行的核对动作并不复杂。访问DeFi前端时，先在钱包插件中确认当前连接的域名与官方公布的一致；签名弹窗出现后，逐项查看授权对象是否为已知的协议合约地址，授权额度是否被改为无限。若签名请求中的合约地址与项目文档中列出的地址对不上，直接拒绝。这两个动作不依赖任何第三方工具，在DNS被劫持的情况下仍然有效。
结果出来后怎么读几组数据
事件发生后，基础设施服务商与应用方之间出现了明显的归因分歧。Name.com发言人称全平台累计15个客户域名受影响，已全面重置解析指针，正与项目方对接排查，并呼吁客户核验DNS解析日志、强制开启账户双重身份验证。其母公司Identity Digital未作官方置评。Vercel在通告中表示Name.com正在调查一起针对加密及DeFi机构的域名接管行动，涉及与Vercel绑定的10个受影响域名已由Name.com修复，Vercel客户无需在自身服务端额外操作。
但协议开发者不买账。Kintsu与Origami Finance直接把矛头指向托管平台，Kintsu称事故系“发生于Vercel服务端的不可抗力失控”。FluxBeam核心开发者Cloakd则披露，Name.com技术代表在沟通中声称故障根源不在Name.com核心网络，而源于外部第三方分发商的权限失守。北京时间周六20时32分，其中10个涉案域名在注册商根层级被执行暂停解析，直至当日临近正午才陆续解除，域名状态的反复加剧了用户访问混乱。
资金流向方面，链上分析师已捕获到攻击者标准化的分流路径。非法所得按15%、55%、30%的比例切割，汇入三个受控核心地址。截至目前，以太坊主网、Robinhood Chain以及Monad等兼容网络中已确认转移资金合计约13.8万美元，主要构成包括Robinhood Chain上的ETH及原生代币MON。其中一个关联地址穿透去中心化借贷协议Morpho，赎回了受害者质押的代币化英伟达与苹果股票，随后在去中心化交易所换回ETH；Monad测试网络上的受控钱包则对Kintsu协议名下的质押MON发起了解质押与提现清算。Solana网络上FluxBeam、StonkFun等项目的敞口尚未纳入统计。
读这组数据时需要注意两点。13.8万美元是已确认转移的部分，不是全部损失。三个洗钱地址的比例切割是攻击者的固定习惯，追踪时可以把这三个地址作为关联节点，观察后续是否出现新的分流。质押资产被强制解绑这件事说明攻击者的变现路径已经覆盖到RWA代币和流动性质押衍生品，不再局限于现货代币。
两个容易传错的判断
第一个误读是把DNS劫持等同于项目合约被攻破。这次出问题的是域名解析层，协议本身的智能合约、资金池、链上逻辑没有被触及。用户如果此前已经通过钱包完成了授权，且授权对象是正常的协议合约，那部分资产的安全性与本次事件无关。真正需要警惕的是在事件窗口期内访问过仿冒站点并签署了交易的用户。
第二个误读是认为用了Cloudflare或Vercel就与注册商风险无关。从这次的攻击路径看，攻击者拿到的是注册商层级的控制权，Cloudflare、Vercel或Name.com自有域名服务器只是解析链条上的不同环节，顶级注册商才是统一的渗透入口。Kintsu把责任推给Vercel、FluxBeam方面称问题出在第三方分发商，这些说法目前都只是单方陈述，Name.com的调查结论尚未公布。在归因明确之前，把责任完全归于某一方并不合适。
另一个值得留意的细节是Step Drainer的MaaS属性。750美元买断源码、150美元加20%抽成的租赁模式，意味着这类攻击套件的使用门槛已经很低。攻击者不需要自己开发盗币工具，只需要拿到域名解析权限，剩下的交给现成套件完成。这次十余家协议在同一时间段集中沦陷，说明攻击者在获取注册商底层控制权后，采取了自动化脚本批量部署。
现在可以做的两件事
如果你在10月31日至11月1日期间访问过上述任何协议的前端并连接了钱包，打开钱包插件，检查授权记录中是否存在不熟悉的合约地址或无限额度授权。发现异常授权，立即撤销。Revoke.cash或钱包自带的授权管理功能都可以完成这个操作。同时核对那段时间内的链上交易记录，确认没有未经自己发起的转账。
对于继续使用DeFi前端的用户，把项目官方文档中列出的合约地址加入钱包地址簿。下次签名时如果弹出的授权对象不在地址簿中，先停下来确认，不要直接点确认。这个习惯不依赖任何安全插件，也不受DNS解析状态影响。域名注册商层面的安全，普通用户无法控制，但签名环节的确认权始终在自己手里。
