Name.com-domeinen gekaapt: drainer op twaalf DeFi-sites, goedkeuringen van 31 oktober intrekken

Wie in de nacht naar 31 oktober 2026 een van minstens twaalf DeFi-sites bezocht die bij de Amerikaanse registrar Name.com zijn geregistreerd, is mogelijk niet op de echte site beland. Aanvallers hadden de DNS-records van die domeinen omgeleid en bezoekers naar kopieën met een wallet-drainer gestuurd. Het adres in de browser zag er volkomen normaal uit. Volgens de analyse van Bitquery verloren 32 wallets samen 202.386 dollar; The Block komt uit op zo'n 138.000 dollar. Het belangrijkste gevolg voor jou: heb je op 30 of 31 oktober op een van de getroffen sites een transactie of handtekening bevestigd, trek dan de daarbij verleende goedkeuringen in.

De smart contracts van de projecten zelf bleven volgens Kintsu, Origami Finance, FluxBeam en StonkFun onaangetast. Aangevallen werd niet de blockchain, maar de weg ernaartoe: de website waarlangs gebruikers hun wallet koppelen. Juist daarom treft zo'n aanval particuliere beleggers direct, en juist daarom helpt een audit van het protocol je hier niet.

Name.com-kaping: wat er in de nacht naar 31 oktober gebeurde

Volgens de reconstructie van The Block werd de site van het platform Flap op BNB Chain op vrijdagavond 30 oktober om 21.10 uur, tijd aan de Amerikaanse oostkust, als gecompromitteerd opgemerkt. Dat komt overeen met 01.10 uur UTC op zaterdag. Zo'n 100 minuten later waarschuwde beveiligingsbedrijf Blockaid voor Flap en de Monad-stakingdienst Kintsu en schreef het beide sites toe aan de drainer-bouwdoos Step Drainer. Later noemde Blockaid nog tien sites. Alle twaalf hadden maar één ding gemeen: ze waren geregistreerd bij Name.com, een registrar die deel uitmaakt van de Identity Digital-groep.

Op die gemeenschappelijke noemer kwamen als eersten gebruikers op X. Een gebruiker schreef daar kort voor middernacht oostkusttijd dat Name.com gecompromitteerd leek. Name.com reageerde ruim een half uur later en vroeg getroffenen het misbruikformulier van de registrar in te vullen. Op zaterdagochtend om 8.32 uur oostkusttijd blokkeerde de registrar tien van de domeinen; Flap en Kintsu hoorden daar volgens The Block niet bij. Tegen het einde van de ochtend waren de blokkades weer opgeheven en werkten de domeinen weer normaal.

Bitquery heeft de afschrijvingen op de blockchain nageteld. Volgens die telling vonden ze op 31 oktober plaats tussen ongeveer 00.00 en 06.00 uur UTC, het grootste deel voor 04.00 uur UTC. Voor lezers in Nederland betekent dat: het tijdvenster lag in de nacht van vrijdag op zaterdag tussen 1 en 7 uur Nederlandse tijd, een uur waarop velen niet handelen, maar gebruikers in Azië en de VS wel degelijk.

DNS-hijacking: zo werkt de omleiding naar valse DeFi-sites

Het Domain Name System, kortweg DNS, is het adresboek van het internet: het vertaalt een naam als kintsu.xyz naar het serveradres waarop de site staat. Wie die records bij de registrar of de DNS-aanbieder kan wijzigen, stuurt elke bezoeker naar een server naar keuze. Dit type aanval heet DNS-hijacking of domeinkaping.

Een registrar is het bedrijf waarbij een domein wordt geregistreerd en beheerd. Bij Name.com liepen volgens het overzicht van Bitquery zes van de twaalf domeinen via de DNS-dienst van Vercel, een hostingdienst waarlangs veel Web3-projecten hun interfaces aanbieden. Drie gebruikten NS1, twee Cloudflare en één Name.com zelf. Dat de omleiding bij verschillende DNS-aanbieders lukte, wijst erop dat de ingreep een niveau hoger plaatsvond. Hoe de aanvallers de records konden wijzigen, is nog altijd niet opgehelderd.

Het verraderlijke aan deze methode: de adresbalk toont de echte naam, en het slotje voor de versleutelde verbinding is vaak ook aanwezig. De valse site ziet eruit als het origineel, omdat het een kopie is. Het enige verschil zit in wat de site je wallet ter ondertekening voorlegt.

Waarom bladwijzers hier niet beschermen

Een veelgehoord advies tegen phishing is sites alleen via bladwijzers te openen. Tegen valse zoekadvertenties en tikfoutdomeinen klopt dat. Bij een DNS-kaping leidt ook de bladwijzer naar de server van de aanvallers, want de naam zelf wijst daarheen. Bescherming biedt in dit geval alleen wat er in de wallet gebeurt: het lezen van de handtekening, de waarschuwing van de wallet en een scheiding tussen het geld waarmee je DeFi gebruikt en de rest.

Step Drainer: het bouwpakket achter de afschrijvingen

Een wallet-drainer is schadelijke software op een website die bezoekers ertoe brengt na het koppelen van hun wallet overboekingen of goedkeuringen te bevestigen waarmee aanvallers de middelen wegsluizen. Step Drainer werd volgens The Block in april al door LevelBlue SpiderLabs beschreven als aanbod volgens het model “malware-as-a-service”: de volledige broncode zou zo'n 750 dollar kosten, een huurversie 150 dollar plus 20 procent van elke buit. Het pakket ondersteunt volgens eigen reclame meer dan 20 netwerken.

Bitquery onderscheidt in zijn analyse vier routes waarlangs het geld wegvloeide:

• directe overboekingen naar een contract van de aanvallers,
• tokengoedkeuringen waarmee de aanvallers saldi later zelf konden opnemen,
• gebundelde handtekeningen die meerdere tokens in één transactie verplaatsten,
• een machtiging in het leenplatform Morpho waarmee een contract van de aanvallers het account van een gebruiker mocht beheren.

Een tokengoedkeuring, in het Engels approval, is een toestemming die je een smart contract geeft om tokens uit je wallet te verplaatsen. Ze blijft bestaan tot je haar intrekt, ook als je de site allang hebt gesloten. De slachtoffers bevestigden volgens Bitquery verzoeken die er routinematig uitzagen, zoals een storting of het ophalen van een beloning. Een verzamelcontract verdeelde de buit vervolgens in een verhouding van 55, 30 en 15 procent over drie wallets.

Schade: 138.000 tot 202.000 dollar, afhankelijk van de telling

De twee gepubliceerde schadecijfers spreken elkaar niet tegen, ze meten verschillende dingen. The Block volgde zo'n 138.000 dollar via drie wallets op EVM-blockchains, dus op Ethereum en compatibele netwerken, grotendeels in MON en in ETH op Robinhood Chain. Verliezen op Solana en Aptos zitten daar niet in. Bitquery waardeert elke afschrijving op het moment van uitstroom en telt ook middelen mee die nog in een wachtrij staan. Zo komt het uit op 202.386 dollar uit 32 wallets op zes blockchains. Volgens Bitquery komt het saldo van de aanvallerswallets op de avond van 31 oktober, zo'n 139.000 dollar, grotendeels overeen met het cijfer van The Block.

De schade is extreem ongelijk verdeeld. Eén enkele Kintsu-staker op Monad verloor volgens Bitquery 160.531 dollar, bijna 80 procent van het totaal. Meer dan de helft van de slachtoffers verloor daarentegen minder dan 100 dollar. Dat laat zien hoe een drainer werkt: hij neemt wat de wallet te bieden heeft. Wie een grote positie aanhoudt in dezelfde wallet waarmee hij nieuwe sites uitprobeert, zet in het ergste geval alles tegelijk op het spel.

Een deel van het geld is mogelijk nog niet verloren. Zo'n 56.600 dollar in de vorm van 2,64 miljoen sMON stond volgens de stand van Bitquery van 31 oktober, 18.30 uur UTC, in de opnamewachtrij van Kintsu. Of het team die verzoeken kan tegenhouden, hangt af van de contracten van het project. Een exchange of bridge hadden de middelen volgens de waarneming van Bitquery tot dan toe niet bereikt.

Getroffen sites: Flap, Kintsu, Pickle Finance en negen andere

The Block noemt acht van de twaalf door Blockaid gevonden projecten: Flap, Kintsu, Pickle Finance, Origami Finance, FluxBeam, Echelon, StonkFun en StakePoint. Bitquery voegt daar longbow.cash, apexdefi.xyz, shprd.finance en supswap.xyz aan toe. Name.com zelf sprak van 15 getroffen klantdomeinen; de overige drie zijn niet openbaar genoemd.

De projecten zijn verspreid over meerdere netwerken. Flap draait op BNB Chain, Kintsu op Monad, Echelon op Aptos, FluxBeam, StakePoint en StonkFun op Solana, Pickle Finance en Origami Finance op Ethereum en andere EVM-netwerken. FluxBeam en StonkFun verklaarden dat hun geen gedupeerde gebruikers bekend zijn. Origami Finance hield zijn vaults naar eigen zeggen gepauzeerd tot de oorzaak is opgehelderd. Kintsu raadde zijn gebruikers volgens Bitquery aan alles in te trekken wat ze sinds middernacht UTC op 31 oktober hadden ondertekend.

Bitquery zag bovendien bots die met valse tokens vanaf gelijkend ogende adressen probeerden de afschrijvingen na te bootsen. Deze adresvergiftiging is een truc op zich: ze rekent erop dat slachtoffers later een verkeerd adres uit hun transactiegeschiedenis kopiëren.

Name.com en Vercel: wat de bedrijven tot nu toe zeggen

Name.com verklaarde volgens The Block op 31 oktober dat alle getroffen domeinen waren hersteld en dat het rechtstreeks met de accounthouders samenwerkt. Op X schreef de registrar dat de domeinen laat op vrijdag onrechtmatig waren omgeleid om bij de wallets van bezoekers te komen. Name.com raadde klanten aan nameservers en DNS-records te controleren op ongeautoriseerde wijzigingen en tweefactorauthenticatie in te schakelen.

Vercel bevestigde volgens The Block in een beveiligingsmelding dat tien van de getroffen domeinen met zijn platform verbonden waren, dat Name.com ze had hersteld en dat Vercel het onderzoek ondersteunt. Vercel had Name.com in 2025 gekozen als registrar voor zijn nieuw opgebouwde domeindienst. Kintsu schreef op X dat het incident aan de kant van Vercel had plaatsgevonden en buiten zijn controle lag. Dat is de lezing van een getroffen project, geen vastgestelde oorzaak. Noch Name.com noch Vercel heeft tot nu toe publiekelijk uitgelegd hoe de aanvallers de records konden wijzigen.

DeFi in de EU: waarom bij frontend-aanvallen niemand voor de schade opdraait

Voor beleggers is de zaak ook leerzaam omdat ze laat zien waar de bescherming door toezicht ophoudt. Koop en bewaar je cryptoactiva bij een aanbieder met een MiCA-vergunning, dan is een bedrijf met vestiging, vergunning en aanspreekpunt aansprakelijk. Gebruik je daarentegen een DeFi-toepassing via je eigen wallet, dan is er doorgaans niemand die voor een verlies opdraait: de handtekening heb je zelf gegeven, het contract heeft correct uitgevoerd wat je hebt goedgekeurd. Aanbieders vind je op een rij in onze vergelijking van platforms om crypto te kopen.

Dat is geen argument tegen DeFi, wel een voor een duidelijke scheiding. Wie een eigen wallet alleen gebruikt voor nieuwe toepassingen en daar een klein bedrag op houdt, beperkt de schade van zo'n aanval tot precies dat bedrag. Kies daarvoor een software wallet die transacties voor het ondertekenen simuleert en voor bekende drainers waarschuwt. De rest hoort op een apparaat dat alleen op je uitdrukkelijke bevestiging ondertekent.

Zo bescherm je je tegen DNS-kaping en wallet-drainers

Wat er gebeurde: op 31 oktober 2026 leidden aanvallers tussen ongeveer 00.00 en 06.00 uur UTC minstens twaalf bij Name.com geregistreerde DeFi-domeinen via een DNS-wijziging om naar kopieën met de Step Drainer. De schade bedraagt volgens The Block zo'n 138.000 dollar, volgens Bitquery 202.386 dollar uit 32 wallets (stand 31 oktober). Name.com heeft de domeinen naar eigen zeggen hersteld.

Ben je getroffen? Getroffen kan zijn wie in de nacht van 30 op 31 oktober een van de genoemde sites zoals Flap, Kintsu, Pickle Finance, Origami Finance, FluxBeam, Echelon, StonkFun, StakePoint, longbow.cash, apexdefi.xyz, shprd.finance of supswap.xyz heeft geopend en daar een wallet heeft gekoppeld en iets heeft bevestigd. Wie de sites in die tijd niet heeft gebruikt of alleen heeft bekeken zonder te ondertekenen, heeft volgens de huidige stand niets verloren. Drie van de 15 domeinen zijn niet openbaar genoemd; controleer daarom ook andere DeFi-sites die je die nacht hebt gebruikt.

1. Goedkeuringen intrekken: open een goedkeuringscontrole zoals Revoke.cash, koppel de getroffen wallet en trek elke tokengoedkeuring van 30 en 31 oktober in, op elke blockchain die je daar hebt gebruikt.
2. Morpho-machtigingen controleren: gebruik je Morpho, controleer dan in de accountinstellingen welke adressen je account mogen beheren en verwijder elk onbekend adres.
3. Handtekeningen lezen: breek elke handtekening af die om een onbeperkte goedkeuring, een overboeking naar een vreemd adres of een accountmachtiging vraagt terwijl je alleen wilde storten of iets ophalen.
4. Walletwaarschuwingen serieus nemen: verschijnt bij het koppelen een waarschuwing voor een kwaadaardige site, sluit dan het tabblad, ook als de adresbalk klopt, en kijk op het officiële X-kanaal van het project of het sein veilig is gegeven.
5. DeFi-wallet scheiden: richt voor nieuwe toepassingen een eigen wallet met een klein bedrag in en bewaar grotere posities op een hardware wallet die je nooit met onbekende sites verbindt.

De basis van veilig bewaren legt onze gids crypto veilig bewaren uit, de passende apparaten vergelijkt de vergelijking van hardware wallets.

Oorzaak onbekend: welke vragen Name.com en Vercel nog moeten beantwoorden

Onduidelijk is vooral op welk punt de aanvallers de controle over de domeinen kregen. Mogelijk zijn een inbraak bij de registrar, toegang via de interface van een partner zoals Vercel of gecompromitteerde klantaccounts. Geen van deze varianten is tot nu toe bewezen, en het zou onzorgvuldig zijn er een als feit te behandelen. Vercel meldde in april een beveiligingsincident dat het bedrijf terugvoerde op een gecompromitteerd hulpmiddel van een externe leverancier. Of er een verband is, is niet bekend.

Nieuw is het patroon niet. The Block herinnert aan vergelijkbare DNS-aanvallen op de handelsplatforms Aerodrome en Velodrome in november 2025 en op Galxe in oktober 2023. Nieuw is de breedte: een ingreep op het niveau van een registrar treft in één klap projecten op zes blockchains die verder niets met elkaar gemeen hebben. Zodra Name.com of Vercel de oorzaak noemt, valt beter in te schatten of andere klanten van dezelfde aanbieders gevaar lopen.

Name.com-kaping: goedkeuringen van 30 en 31 oktober blijven het risico

De domeinen zijn hersteld, maar een verleende goedkeuring vervalt daardoor niet. Drie stappen volstaan om het restrisico af te dekken:

1. Controleer en trek alle goedkeuringen van 30 en 31 oktober in. Voor de toekomst helpt een wallet die transacties voor het ondertekenen simuleert.
2. Zet posities die je niet actief in DeFi nodig hebt op een apparaat uit de vergelijking van hardware wallets en verbind dat nooit met sites die je niet kent.
3. Koop en bewaar je basispositie bij een aanbieder met vergunning; aanbieders vind je in de vergelijking van platforms.

(Per 2 november 2026. Dit artikel is geen beleggingsadvies. Koersen en tarieven veranderen; controleer de voorwaarden bij de aanbieder voordat je koopt.)