Шлюз Ethereum Name Service eth.limo був ненадовго захоплений у свого реєстратора доменів у п'ятницю ввечері через атаку соціальної інженерії, повідомив проєкт у післяопераційному звіті, опублікованому в суботу.

О 19:07 за східноамериканським часом 17 квітня зловмисник видав себе за члена команди eth.limo, щоб обманом змусити реєстратора EasyDNS запустити процес відновлення облікового запису, згідно з післяопераційним звітом і окремою публікацією в блозі від генерального директора EasyDNS Марка Єфтовича.

Зловмисник перемкнув сервери імен eth.limo на Cloudflare о 2:23 за східноамериканським часом 18 квітня, що спричинило автоматичні сповіщення про простої, які розбудили команду eth.limo. Потім сервери імен були знову перемкнуті на Namecheap о 3:57 за східноамериканським часом, перш ніж EasyDNS відновив доступ команди до облікового запису о 7:49 за східноамериканським часом, згідно з хронологією.

eth.limo — це безкоштовний реверсний проксі з відкритим вихідним кодом, який дозволяє користувачам отримувати доступ до вмісту, пов'язаного з ENS, розміщеного на IPFS, Arweave або Swarm, через стандартний браузер, додаючи ".limo" до будь-якого імені .eth. Його підстановочний запис DNS за адресою *.eth.limo охоплює приблизно 2 мільйони доменів .eth, зареєстрованих через ENS, згідно з даними, наведеними EasyDNS.

Успішне захоплення цього підстановочного запису дозволило б зловмиснику перенаправляти трафік для будь-якої сторінки .eth, доступ до якої здійснюється через шлюз, включаючи особистий блог співзасновника Ethereum Віталіка Бутеріна за адресою vitalik.eth.limo, на фішингову інфраструктуру.

"Від імені всіх присутніх я приношу вибачення команді eth.limo та ширшій спільноті Ethereum", — написав Єфтович. "ENS завжди займав особливе місце в нашому серці як перший реєстратор, який увімкнув зв'язування ENS з доменами web2, і ми працюємо в цьому просторі з 2017 року."

DNSSEC як заслін

За словами обох команд, запобіг цьому результату DNSSEC. Цей стандарт криптографічно підписує записи DNS, щоб валідуючі резолвери могли відхиляти непідписані або неправильно підписані відповіді.

Оскільки зловмисник ніколи не отримував ключі підпису eth.limo, ланцюжок довіри розірвався, коли резолвери перевіряли нові відповіді зловмисника від сервера імен на відповідність легітимному запису DS, який все ще кешувався з батьківської зони. Резолвери повертали помилки SERVFAIL, а не шкідливі відповіді, згідно з eth.limo.

"DNSSEC, ймовірно, зменшив радіус ураження від захоплення. Наразі нам не відомо про будь-який вплив на користувачів", — написала команда eth.limo.

Бутерін, який у п'ятницю попереджав користувачів уникати всіх URL-адрес eth.limo і вказував їм безпосередньо на IPFS, у суботу підтвердив, що ситуація "повністю вирішена".

mea culpa EasyDNS

У своєму дописі в блозі під назвою "Ми облажалися, і ми це визнаємо" Єфтович сказав, що цей інцидент став першою успішною атакою соціальної інженерії проти клієнта EasyDNS за 28-річну історію фірми, і що жодні інші клієнти не постраждали.

Єфтович повідомив, що eth.limo буде перенесено на Domainsure, афілійований з EasyDNS сервіс, орієнтований на корпоративних клієнтів та клієнтів фінтех-сектору, який не пропонує жодного механізму відновлення облікового запису. Він відмовився деталізувати, як саме зловмисник обдурив процес підтримки, посилаючись на поточний внутрішній післяопераційний аналіз.

Зростання кількості викрадень доменів

Цей інцидент є останнім у низці компрометацій на рівні реєстраторів, що націлені на крипто-фронтенди, чиї базові смартконтракти децентралізовані, але чиї домени, що звернені до користувача, — ні.

У листопаді викрадення DNS децентралізованих бірж Aerodrome та Velodrome призвели до втрати понад 700 000 доларів США користувачами після того, як зловмисники скомпрометували обліковий запис у реєстратора NameSilo та видалили DNSSEC з постраждалих доменів.

Протокол Steakhouse Financial, орієнтований на стейблкоїни, розкрив подібний інцидент 30 березня після того, як персонал підтримки OVH був соціально інженерований, щоб видалити двофакторну автентифікацію з його облікового запису, що ненадовго дозволило викачувачу гаманців працювати зі клонованого сайту. Платформа прибутковості Neutrl також постраждала від подібного інциденту в березні.

За іронією долі, eth.limo надавала "whiteglove" підтримку команді Aerodrome під час викрадення в листопаді, згідно з оновленням ENS DAO за 4 квартал 2025 року, при цьому її шлюз часто вважається децентралізованим запасним варіантом, коли фронтенд DeFi стає недоступним.

Бутерін давно стверджував, що залежність Ethereum від централізованого вирішення DNS є формою відкату довіри, і в січні оголосив 2026 рік роком, коли розробники повинні змінити це, підштовхуючи користувачів до прямих шляхів доступу до IPFS. Це той самий обхідний шлях, на який він вказав під час п'ятничного інциденту, сказавши підписникам, що вони можуть "перевірити мій блог безпосередньо через IPFS", поки шлюз був недоступний.

Сервіс eth.limo знову працює під контролем своєї початкової команди, згідно з проєктом.