Ang gateway ng Ethereum Name Service na eth.limo ay sandaling na-hijack sa domain registrar nito noong Biyernes ng gabi sa pamamagitan ng social engineering attack, sinabi ng proyekto sa isang post-mortem na inilathala noong Sabado.

Noong 7:07 p.m. EDT noong Abril 17, nagpanggap ang isang attacker bilang miyembro ng eth.limo team upang dayain ang registrar na EasyDNS na magpatakbo ng account recovery process, ayon sa post-mortem at isang hiwalay na blog post mula kay EasyDNS CEO Mark Jeftovic.

Inilipat ng attacker ang mga nameserver ng eth.limo sa Cloudflare noong 2:23 a.m. EDT noong Abril 18, na nag-trigger ng mga awtomatikong alerto sa downtime na gumising sa eth.limo team. Pagkatapos ay inilipat muli ang mga nameserver sa Namecheap noong 3:57 a.m. EDT bago ibalik ng EasyDNS ang access sa account ng team noong 7:49 a.m. EDT, ayon sa timeline.

Ang eth.limo ay isang libre at open-source na reverse proxy na nagbibigay-daan sa mga user na maabot ang nilalamang naka-link sa ENS na naka-host sa IPFS, Arweave, o Swarm sa pamamagitan ng isang standard na browser sa pamamagitan ng pagdagdag ng ".limo" sa anumang .eth na pangalan. Ang wildcard DNS record nito sa *.eth.limo ay sumasaklaw sa humigit-kumulang 2 milyong .eth domain na nakarehistro sa pamamagitan ng ENS, ayon sa mga bilang na binanggit ng EasyDNS.

Ang isang matagumpay na pag-hijack ng wildcard na iyon ay magbibigay-daan sa attacker na i-redirect ang trapiko para sa anumang .eth na pahinang na-access sa pamamagitan ng gateway, kabilang ang personal na blog ng co-founder ng Ethereum na si Vitalik Buterin sa vitalik.eth.limo, patungo sa infrastructure ng phishing.

"Sa ngalan ng lahat dito, humihingi ako ng paumanhin sa eth.limo team at sa mas malawak na komunidad ng Ethereum," isinulat ni Jeftovic. "Ang ENS ay palaging may espesyal na lugar sa aming puso bilang ang unang registrar na nagbigay-daan sa pag-link ng ENS sa mga domain ng web2 at kami ay kasangkot sa espasyo mula pa noong 2017."

DNSSEC bilang panangga

Ang nakapigil sa kinalabasan na iyon, ayon sa parehong team, ay ang DNSSEC. Ang pamantayan ay cryptographically na pumipirma sa mga DNS record upang ang mga validating resolver ay makatanggi sa mga unsigned o maling pinirmahang tugon.

Dahil hindi nakuha ng attacker ang mga signing key ng eth.limo, naputol ang chain of trust nang suriin ng mga resolver ang mga bagong tugon ng nameserver ng attacker laban sa lehitimong DS record na naka-cache pa rin mula sa parent zone. Nagbalik ang mga resolver ng mga error sa SERVFAIL sa halip na ang mapanlinlang na mga sagot, ayon sa eth.limo.

"Malamang na nabawasan ng DNSSEC ang epekto ng pag-hijack. Wala kaming nalalaman na anumang epekto sa user sa kasalukuyan," isinulat ng eth.limo team.

Si Buterin, na nagbabala sa mga user noong Biyernes na iwasan ang lahat ng eth.limo URL at itinuro sila nang direkta sa IPFS, kinumpirma noong Sabado na "nalutas na ang lahat" ng sitwasyon.

Ang mea culpa ng EasyDNS

Sa kanyang blog post, na pinamagatang "Nagkamali Kami at Pananagutan Namin," sinabi ni Jeftovic na ang insidente ay ang unang matagumpay na social engineering attack laban sa isang customer ng EasyDNS sa 28 taong kasaysayan ng kumpanya, at walang ibang customer ang naapektuhan.

Sinabi ni Jeftovic na ililipat ang eth.limo sa Domainsure, isang serbisyong kaakibat ng EasyDNS na naglalayon sa mga kliyente ng enterprise at fintech na hindi nag-aalok ng anumang mekanismo sa pagbawi ng account. Tumanggi siyang idetalye kung paano nilinlang ng attacker ang proseso ng suporta, binanggit ang patuloy na internal na post-mortem.

Pagtaas ng mga pag-hijack ng domain

Ang insidente ay ang pinakabago sa sunud-sunod na pagkompromiso sa antas ng registrar na nagta-target sa mga crypto front-end na ang mga pinagbabatayan na smart contract ay desentralisado ngunit ang mga domain na nakikita ng user ay hindi.

Noong Nobyembre, ang mga pag-hijack ng DNS ng mga desentralisadong palitan na Aerodrome at Velodrome ay nag-drain ng higit sa $700,000 mula sa mga user matapos ikompromiso ng mga attacker ang isang account sa registrar na NameSilo at tanggalin ang DNSSEC mula sa mga apektadong domain.

Ang protocol na nakatuon sa stablecoin na Steakhouse Financial ay nagpahayag ng katulad na insidente noong Marso 30 matapos dayain ang support staff ng OVH na tanggalin ang two-factor authentication mula sa account nito, na sandaling nagpahintulot sa isang wallet drainer na maihatid mula sa isang cloned site. Ang yield platform na Neutrl ay nakaranas din ng katulad na insidente noong Marso.

Sa isang kabalintunaan, nagbigay ang eth.limo ng "whiteglove" na suporta sa Aerodrome team noong pag-hijack noong Nobyembre, ayon sa isang update ng ENS DAO Q4 2025, kung saan ang gateway nito ay madalas na itinuturing bilang ang desentralisadong fallback na pinili kapag nagdilim ang isang DeFi front-end.

Matagal nang pinagtatalunan ni Buterin na ang pagdepende ng Ethereum sa sentralisadong resolusyon ng DNS ay isang anyo ng pagbaba ng tiwala, at noong Enero ay idineklara ang 2026 bilang taon na dapat itong baligtarin ng mga developer sa pamamagitan ng pagtulak sa mga user patungo sa direktang IPFS access paths. Iyan ang parehong workaround na itinuro niya noong insidente noong Biyernes, sinasabi sa mga tagasunod na maaari nilang "suriin ang aking blog sa pamamagitan ng direktang IPFS" habang offline ang gateway.

Ang serbisyo ng eth.limo ay online na muli sa ilalim ng kontrol ng orihinal nitong team, ayon sa proyekto.