Doce proyectos de finanzas descentralizadas (DeFi) han visto cómo sus webs legítimas se convertían en trampas para sus propios usuarios. El vector no fue un contrato vulnerable ni una clave privada filtrada, sino el sistema de nombres de dominio (DNS), la guía telefónica que traduce un nombre como flap en la dirección donde vive la web. Un atacante manipuló esa guía y desvió el tráfico de doce dominios registrados en Name.com hacia páginas con código malicioso. Las pérdidas confirmadas por el rastreo on-chain ascienden por ahora a 138.000 dólares.
La firma de seguridad Blockaid ha identificado compromisos en Flap, Kintsu, Pickle Finance y Origami Finance, cuatro de los doce afectados. Los demás no han sido confirmados públicamente. La intrusión arrancó en la noche del 30 de octubre y a las 8:32 del día 31 ya había diez dominios suspendidos; todos volvieron a funcionar esa misma mañana.
Doce webs, un registrador y una misma campaña
El detalle que convierte doce incidentes separados en una sola campaña es el proveedor. Los doce sitios tenían el dominio registrado a través de Name.com. Ese punto de control compartido amplía el radio de daño: quien entra ahí no necesita atacar uno por uno a los proyectos.
Los atacantes tampoco levantaron webs falsas con nombres parecidos. Plantaron código en los sitios legítimos, de modo que el visitante que conectaba su cartera veía exactamente la interfaz que esperaba. Lo que firmaba era otra cosa: una aprobación de transferencia de activos generada por un drainer —un drenador, el programa que vacía la cartera en cuanto el usuario autoriza el movimiento de fondos— bautizado como Step Drainer.
Las víctimas han subrayado un punto que conviene retener: sus contratos inteligentes (el código que vive en la blockchain y ejecuta las reglas del protocolo) nunca fueron comprometidos. Todo el robo ocurrió en la capa de firma del navegador. Eso explica que el daño sea individual, cartera a cartera, y no un vaciado de las reservas del protocolo.
El contrato estaba intacto. Lo que falló fue la puerta de entrada: el dominio que el usuario tecleaba y la firma que aprobaba sin leer.
Step Drainer, el kit de phishing de 750 dólares
LevelBlue SpiderLabs ha puesto precio a la herramienta. El código fuente completo de Step Drainer se vendía por unos 750 dólares; una variante que entrega al desarrollador el 20% de lo robado en concepto de comisión cambiaba de manos por 150 dólares. Son cifras de catálogo, no de mercado negro sofisticado. Con ese umbral, cualquier operador con nociones básicas puede montar la infraestructura. Phishing sin web clonada, en toda regla.
El dinero tampoco se quedó quieto. Los registros on-chain muestran que los fondos drenados en Ethereum, BNB Chain, Monad y Robinhood Chain se consolidaron en tres carteras, con un reparto del 15%, 55% y 30%. El rastreo que sostiene la cifra de 138.000 dólares sigue justamente ese recorrido.
Quedan dos agujeros en el relato. El recuento no incluye las pérdidas en Solana ni en Aptos, redes que quedan fuera de ese rastreo, así que el daño final sigue abierto. Y nadie ha dicho cuántos usuarios han resultado afectados. Ni fondos recuperados, ni cifra de víctimas.
La atribución, por ahora, es un pulso. Los doce sitios corrían sobre servicios DNS distintos aunque compartieran registrador, de modo que la toma de control pudo arrancar dentro de los propios sistemas de Name.com o en un tercero como la plataforma cloud Vercel, que aloja las interfaces. Kintsu y Origami Finance han señalado públicamente la infraestructura de Vercel, pero es la afirmación de las partes afectadas, no una conclusión establecida. Name.com habría trasladado a algunos equipos que la culpa es de un tercero y no de sus sistemas.
Origami Finance mantendrá suspendido su servicio de custodia de activos hasta que ambos proveedores cierren el análisis de causa raíz. Es la respuesta más contundente que ha dado ninguna de las partes.
El punto débil que DeFi arrastra desde siempre
Este tipo de asalto no es nuevo, aunque sí revela un patrón que se repite. A finales de 2021, el ataque a BadgerDAO utilizó un script inyectado en la web del protocolo para que los usuarios firmaran permisos que vaciaron más de 100 millones de dólares en carteras. La lección fue la misma que ahora: el contrato puede estar auditado y el dominio ser el eslabón blando. La diferencia es de escala económica. Entonces hacía falta colarse en un proyecto grande; hoy basta con comprar un drainer por 150 dólares y encontrar un registrador mal configurado.
La capa que casi nadie audita es la de distribución. El sector paga auditorías de contratos, recompensas por errores y revisiones de código, y dedica bastante menos a la web, al DNS y al alojamiento. Sin embargo, es ahí donde el usuario medio toma la única decisión que importa: firmar o no firmar. Una aprobación mal concedida sobrevive al incidente y puede vaciarse meses después, cuando el visitante ya no recuerda aquel día.
El control del DNS vive en la cuenta del registrador, un intermediario centralizado. Los nombres on-chain de ENS, el sistema de dominios que vive en Ethereum, eliminan esa dependencia: el dominio se resuelve contra la blockchain y nadie puede redirigirlo desde un panel de administración. No es una solución completa, porque la interfaz sigue alojada en algún servidor, pero cierra una de las puertas.
La conclusión incómoda es que el ecosistema tiene un problema de concentración en la capa que menos examina. Un puñado de registradores y de plataformas de alojamiento sostiene las puertas de entrada de buena parte de DeFi. Cuando uno falla, falla para muchos a la vez. La pregunta pendiente no es si habrá otro episodio así, sino si el informe de causa raíz se publica y sirve para que el resto de proyectos revise su propio dominio antes de la próxima temporada de incentivos.
