《12個網站，一夜被劫》

10月30日深夜，12個DeFi網站同時出事。Flap、Kintsu、Pickle Finance、Origami
Finance，橫跨EVM、Solana和Aptos。沒有任何一個協議的合約程式碼出問題，出問題的是瀏覽器找到它們的那一層。攻擊者沒有碰區塊鏈，直接劫持了域名，把使用者導向裝了Step
Drainer盜幣程式的假站。

數字不大，至少目前看起來不大。The
Block追蹤到的損失約13.8萬美元，而且只算了EVM鏈上的部分，Solana和Aptos的損失還沒量化。但數字的大小不是這件事的重點，重點是12個網站有一個共同點，全部註冊在同一家註冊商Name.com。10個域名在10月31日早上8時32分被註冊商以clientHold狀態停用，等於從全球DNS系統裡直接拔掉。

DeFi每年花幾百萬美元做形式化驗證、經濟壓力測試和合約審計，防的是有人操縱鏈上邏輯。結果攻擊者根本不走鏈上，走的是Web2。你的合約再安全，使用者點開的網址是假的，簽下去的那一筆授權就是真的。Step
Drainer是商業化的盜幣工具包，支援20多條鏈，攻擊者把贓款按15%、55%、30%分進三個錢包，這不是一次性犯案，是一條產業鏈。

最值得寫的是結尾。最後救場的不是去中心化機制，是註冊商手裡那個集中式的停用開關。Name.com一聲令下，10個域名瞬間從網路上消失，攻擊就停了。去中心化花了十年把記帳權從銀行手裡拿走，卻把你點開的是不是真網站交給一家公司。而這家公司手裡的開關，恰恰是那天唯一有效的防線。

這不是要否定去中心化，而是要把帳算清楚。去中心化解決的是誰記帳，沒解決誰指路。前端、域名、註冊商，這一整條指路的鏈條到今天還是中心化的。前例早就有了，Curve
Finance在2022年被同一招偷走57萬美元，Aerodrome和Velodrome在2025年11月也被劫過。四年過去，同一招還能一次打中12個網站，說明產業學到的教訓只停在口頭上。

對使用者來說，能做的事不多，但每一件都具體。第一，把常用協議的網址存成書籤，不要每次都用搜尋引擎找。第二，連錢包之前先看網址列，拼錯一個字母的域名就是假站。第三，簽授權之前先看清楚授權的對象和額度，硬體錢包的盲簽不是免死金牌。第四，Flap和Kintsu的域名到截稿時還沒被停用，如果你這兩天連過這兩個站，先去檢查授權紀錄。

12個網站一夜被劫，丟掉的錢不多，丟掉的藉口卻不少。下一次再有人說去中心化已經解決了信任問題，可以請他先回答一個問題。當你點開的那個網站，連它自己是不是真的都無法證明，你的資產到底是去中心化的，還是只不過換了一個你沒見過面的中間人。如果你認同這種把話說破的寫法，請用LikeCoin為這篇文章拍手，讓更多人看到前端這一層的裂縫。