Dominios de Name.com secuestrados: un drainer en doce webs DeFi y las autorizaciones del 31 de octubre, a revocar

Quien visitara en la noche del 30 al 31 de octubre de 2026 alguna de las al menos doce webs DeFi registradas en el registrador estadounidense Name.com quizá no llegó a la web auténtica. Los atacantes habían desviado los registros DNS de esos dominios y enviaban a los visitantes a copias con un drainer de carteras. La dirección del navegador parecía totalmente normal. Según el análisis de Bitquery, 32 carteras perdieron en conjunto 202.386 dólares; The Block calcula unos 138.000 dólares. La consecuencia más importante para ti: si el 30 o el 31 de octubre confirmaste una transacción o una firma en alguna de las webs afectadas, debes revocar las autorizaciones que concediste.

Los contratos inteligentes de los proyectos no se vieron afectados, según Kintsu, Origami Finance, FluxBeam y StonkFun. El ataque no se dirigió contra la blockchain, sino contra el camino hacia ella: la web a través de la cual los usuarios conectan su cartera. Precisamente por eso un ataque así golpea de lleno a los inversores particulares, y precisamente por eso ninguna auditoría del protocolo te sirve aquí.

Secuestro en Name.com: qué ocurrió en la noche del 31 de octubre

Según la reconstrucción de The Block, la web de la plataforma Flap en BNB Chain se detectó como comprometida el viernes 30 de octubre a las 21:10, hora de la costa este, es decir, a la 01:10 UTC del sábado. Unos 100 minutos después, la empresa de seguridad Blockaid alertó sobre Flap y sobre el servicio de staking de Monad Kintsu, y atribuyó ambas webs al kit de drainer Step Drainer. Más tarde, Blockaid citó otras diez webs. Las doce solo tenían una cosa en común: estaban registradas en Name.com, un registrador que pertenece al grupo Identity Digital.

Los primeros en dar con ese denominador común fueron usuarios de X. Poco antes de la medianoche, hora de la costa este, un usuario escribió que Name.com parecía estar comprometido. Name.com respondió algo más de media hora después y pidió a los afectados que rellenaran el formulario de abusos del registrador. El sábado a las 8:32, hora de la costa este, el registrador suspendió diez de los dominios; según The Block, Flap y Kintsu no estaban entre ellos. A media mañana se habían levantado las suspensiones y los dominios volvían a resolverse con normalidad.

Bitquery recontó los cargos en la blockchain. Según sus datos, se produjeron el 31 de octubre entre aproximadamente las 00:00 y las 06:00 UTC, la mayoría antes de las 04:00 UTC. Para los lectores en Alemania, eso significa que la ventana cayó en la noche del viernes al sábado, entre la 1 y las 7, hora alemana, a una hora en la que muchos no operan, pero los usuarios de Asia y EE. UU. sí.

Secuestro DNS: cómo funciona el desvío a webs DeFi falsas

El Domain Name System, o DNS, es la guía de direcciones de internet: traduce un nombre como kintsu.xyz en la dirección del servidor donde está la web. Quien pueda modificar esos registros en el registrador o en el proveedor de DNS envía a cada visitante al servidor que elija. Este tipo de ataque se llama secuestro DNS (DNS hijacking) o secuestro de dominio.

Un registrador es la empresa en la que se registra y gestiona un dominio. Según el desglose de Bitquery, seis de los doce dominios de Name.com funcionaban con el servicio DNS de Vercel, un servicio de alojamiento a través del cual muchos proyectos Web3 sirven sus interfaces. Tres usaban NS1, dos Cloudflare y uno el propio Name.com. Que el desvío funcionara con distintos proveedores de DNS sugiere que la intrusión se produjo un nivel por encima. Cómo lograron los atacantes modificar los registros sigue sin aclararse.

Lo traicionero de este método: la barra de direcciones muestra el nombre real, y a menudo también aparece el candado de la conexión cifrada. La web falsa parece la original porque es una copia. La única diferencia está en lo que la web le pide firmar a tu cartera.

Por qué los marcadores no protegen en este caso

Un consejo habitual contra el phishing es abrir las webs solo desde los marcadores. Frente a anuncios falsos en buscadores y dominios con erratas, es correcto. Pero en un secuestro DNS, el marcador también lleva al servidor de los atacantes, porque el propio nombre apunta allí. En este caso, la única protección está en lo que ocurre en la cartera: leer la firma, atender la advertencia de la cartera y separar el dinero con el que usas DeFi del resto.

Step Drainer: el kit detrás de los cargos

Un drainer de carteras es un software malicioso alojado en una web que lleva a los visitantes, tras conectar su cartera, a confirmar transferencias o autorizaciones con las que los atacantes se llevan los fondos. Según The Block, LevelBlue SpiderLabs ya describió Step Drainer en abril como una oferta del tipo «malware-as-a-service»: el código fuente completo costaría unos 750 dólares, y una versión de alquiler, 150 dólares más el 20 % de cada botín. Según su propia publicidad, el kit admite más de 20 redes.

En su análisis, Bitquery distingue cuatro vías por las que salió el dinero:

• transferencias directas a un contrato de los atacantes,
• autorizaciones de tokens con las que los atacantes podían retirar saldos más tarde por su cuenta,
• firmas agrupadas que movían varios tokens en una sola transacción,
• un permiso en la plataforma de préstamos Morpho con el que un contrato de los atacantes podía gestionar la cuenta de un usuario.

Una autorización de token (approval) es un permiso que concedes a un contrato inteligente para que pueda mover tokens de tu cartera. Sigue vigente hasta que la revoques, aunque hayas cerrado la web hace tiempo. Según Bitquery, las víctimas confirmaron solicitudes que parecían rutinarias, como un depósito o el cobro de una recompensa. Después, un contrato recolector repartió el botín entre tres carteras en una proporción del 55, el 30 y el 15 %.

Daños: entre 138.000 y 202.000 dólares, según el método de cálculo

Las dos cifras de daños publicadas no se contradicen: miden cosas distintas. The Block siguió unos 138.000 dólares en tres carteras de blockchains EVM, es decir, Ethereum y redes compatibles, sobre todo en MON y en ETH en Robinhood Chain. No incluye las pérdidas en Solana y Aptos. Bitquery valora cada cargo en el momento de la salida y cuenta también los fondos que siguen en una cola de espera. Así resultan 202.386 dólares de 32 carteras en seis blockchains. Según Bitquery, el saldo de las carteras de los atacantes la tarde del 31 de octubre, unos 139.000 dólares, coincide en gran medida con la cifra de The Block.

Los daños están repartidos de forma muy desigual. Un único staker de Kintsu en Monad perdió 160.531 dólares según Bitquery, casi el 80 % del total. Más de la mitad de las víctimas, en cambio, perdió menos de 100 dólares. Eso muestra cómo trabaja un drainer: se lleva lo que da la cartera. Quien mantiene una posición grande en la misma cartera con la que prueba webs nuevas lo expone todo de golpe si algo sale mal.

Parte del dinero quizá no esté perdido aún. Unos 56.600 dólares en forma de 2,64 millones de sMON estaban, según los datos de Bitquery del 31 de octubre a las 18:30 UTC, en la cola de retiros de Kintsu. Que el equipo pueda detener esas solicitudes depende de los contratos del proyecto. Según las observaciones de Bitquery, los fondos no habían llegado hasta entonces a ningún exchange ni puente.

Webs afectadas: Flap, Kintsu, Pickle Finance y otras nueve

The Block cita ocho de los doce proyectos detectados por Blockaid: Flap, Kintsu, Pickle Finance, Origami Finance, FluxBeam, Echelon, StonkFun y StakePoint. Bitquery añade longbow.cash, apexdefi.xyz, shprd.finance y supswap.xyz. El propio Name.com habló de 15 dominios de clientes afectados; los tres restantes no se han nombrado públicamente.

Los proyectos se reparten en varias redes. Flap funciona en BNB Chain, Kintsu en Monad, Echelon en Aptos, FluxBeam, StakePoint y StonkFun en Solana, y Pickle Finance y Origami Finance en Ethereum y otras redes EVM. FluxBeam y StonkFun declararon no tener constancia de usuarios perjudicados. Origami Finance afirmó mantener sus vaults en pausa hasta que se aclare la causa. Según Bitquery, Kintsu aconsejó a sus usuarios revocar todo lo que hubieran firmado desde la medianoche UTC del 31 de octubre.

Bitquery observó además bots que intentaban imitar los cargos con tokens falsos desde direcciones de aspecto similar. Este envenenamiento de direcciones es un truco en sí mismo: confía en que las víctimas copien más tarde una dirección equivocada de su historial de transacciones.

Name.com y Vercel: lo que han dicho las empresas hasta ahora

Según The Block, Name.com declaró el 31 de octubre que había restablecido todos los dominios afectados y que trabajaba directamente con los titulares de las cuentas. En X, el registrador escribió que los dominios se habían redirigido de forma indebida a última hora del viernes para llegar a las carteras de los visitantes. Name.com aconsejó a sus clientes revisar servidores de nombres y registros DNS en busca de cambios no autorizados y activar la autenticación en dos pasos.

Según The Block, Vercel confirmó en un aviso de seguridad que diez de los dominios afectados estaban conectados a su plataforma, que Name.com los había restablecido y que Vercel apoyaba la investigación. Vercel eligió en 2025 a Name.com como registrador de su nuevo servicio de dominios. Kintsu escribió en X que el incidente se había producido del lado de Vercel y escapaba a su control. Es la versión de un proyecto afectado, no una causa establecida. Ni Name.com ni Vercel han explicado públicamente hasta ahora cómo pudieron los atacantes modificar los registros.

DeFi en Alemania: por qué nadie responde del daño en los ataques a la interfaz

Para los inversores en Alemania, el caso resulta instructivo también porque muestra dónde termina la protección de la supervisión. Si compras y custodias criptoactivos en un proveedor autorizado conforme a MiCA, responde una empresa con sede, licencia e interlocutor. Si, en cambio, usas una aplicación DeFi con tu propia cartera, por lo general no hay nadie que responda de una pérdida: la firma la diste tú, y el contrato ejecutó correctamente lo que autorizaste. Qué exchanges tienen licencia lo muestra nuestro resumen de exchanges cripto regulados.

No es un argumento contra DeFi, pero sí a favor de una separación clara. Quien usa una cartera propia solo para probar aplicaciones nuevas y guarda allí un importe pequeño limita el daño de un ataque así a ese importe. Qué carteras de software simulan las transacciones antes de firmar y avisan de drainers conocidos lo compara nuestra comparativa de carteras de software. El resto debe estar en un dispositivo que solo firme con tu confirmación expresa.

Cómo protegerte del secuestro DNS y de los drainers de carteras

Qué pasó: el 31 de octubre de 2026, entre aproximadamente las 00:00 y las 06:00 UTC, los atacantes redirigieron mediante cambios DNS al menos doce dominios DeFi registrados en Name.com a copias con Step Drainer. Los daños ascienden a unos 138.000 dólares según The Block y a 202.386 dólares de 32 carteras según Bitquery (a 31 de octubre). Name.com afirma haber restablecido los dominios.

¿Estás afectado? Puede estarlo quien, en la noche del 30 al 31 de octubre, abrió alguna de las webs citadas, como Flap, Kintsu, Pickle Finance, Origami Finance, FluxBeam, Echelon, StonkFun, StakePoint, longbow.cash, apexdefi.xyz, shprd.finance o supswap.xyz, conectó allí una cartera y confirmó algo. Quien no usó esas webs en ese periodo, o solo las miró sin firmar, no ha perdido nada según lo que se sabe hoy. Tres de los 15 dominios no se han nombrado públicamente; por eso, revisa también otras webs DeFi que usaras esa noche.

1. Retirar autorizaciones: abre un revisor de autorizaciones como Revoke.cash, conecta la cartera afectada y revoca cada autorización de token del 30 y el 31 de octubre en cada blockchain que usaras allí.
2. Revisar los permisos de Morpho: si usas Morpho, comprueba en los ajustes de la cuenta qué direcciones pueden gestionar tu cuenta y elimina cualquiera que no conozcas.
3. Leer las firmas: cancela cualquier firma que pida una autorización ilimitada, una transferencia a una dirección ajena o un permiso sobre la cuenta cuando solo querías depositar o cobrar algo.
4. Tomarte en serio las advertencias de la cartera: si al conectar aparece un aviso sobre una web maliciosa, cierra la pestaña aunque la barra de direcciones sea correcta, y consulta la cuenta oficial de X del proyecto por si hay un aviso de que el peligro ha pasado.
5. Separar la cartera para DeFi: crea una cartera propia con un importe pequeño para aplicaciones nuevas y guarda las tenencias mayores en una cartera de hardware que nunca conectes a webs desconocidas.

Los fundamentos de la custodia segura los explica nuestra guía sobre cómo guardar criptomonedas de forma segura, y los dispositivos adecuados se comparan en la comparativa de carteras de hardware.

Causa sin aclarar: las preguntas que aún deben responder Name.com y Vercel

Sobre todo sigue abierto en qué punto los atacantes se hicieron con el control de los dominios. Las posibilidades son una intrusión en el registrador, un acceso a través de la interfaz de un socio como Vercel o cuentas de clientes comprometidas. Ninguna de estas variantes está demostrada, y sería poco serio presentar una de ellas como un hecho. En abril, Vercel notificó un incidente de seguridad que la empresa atribuyó a una herramienta comprometida de un tercero. No se sabe si existe relación.

El patrón no es nuevo. The Block recuerda ataques DNS similares contra las plataformas de negociación Aerodrome y Velodrome en noviembre de 2025 y contra Galxe en octubre de 2023. Lo nuevo es el alcance: una intrusión a nivel de registrador golpea de una vez a proyectos de seis blockchains que, por lo demás, no tienen nada en común. En cuanto Name.com o Vercel identifiquen la causa, se podrá valorar mejor si otros clientes de los mismos proveedores corren peligro.

Secuestro en Name.com: las autorizaciones del 30 y el 31 de octubre siguen siendo el riesgo

Los dominios se han restablecido, pero una autorización concedida no se extingue por ello. Bastan tres pasos para cerrar el riesgo restante:

1. Revisa y revoca todas las autorizaciones del 30 y el 31 de octubre. De cara al futuro, ayuda una cartera que simule las transacciones antes de firmar; la comparativa de carteras de software muestra candidatas.
2. Traslada las tenencias que no necesites activamente en DeFi a un dispositivo de la comparativa de carteras de hardware y no lo conectes nunca a webs que no conozcas.
3. Compra y custodia tu patrimonio básico en un proveedor autorizado; qué plataformas tienen licencia MiCA lo muestra la lista de exchanges cripto regulados.

(2 de noviembre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)