Flap 官网域名遭劫持与仿站风险 · 话题榜 · TwKit

@_FORAB

最近黑客怎么都那么猛？此前获 YZi Labs 投资，并被币安创始人 CZ 多次互动的 Flap，今中午突发公告，表示自家官网域名被劫持，目前团队成员呼吁大家访问新域名 flap[.]cool。 而背后原因是，黑客偷偷把之前的官网地址，指向了一个仿冒的假官网，即使用户输的网址完全正确，但打开的却是钓鱼页面。 如果使用者，在当时连上钱包，完成链上签名授权，钱包里的 BNB 代币，就会被黑客秒转走。 据 Flap 团队称，黑客蹲他们的前端，蹲了一个多月，是通过上游域名服务商下的手，高度怀疑是一个有组织有计划的专业团队。 目前他们承诺，对在此期间受损的用户，全额赔偿。

@BidaoOfficial

🚨 复盘｜Flap 官网（http://flap.sh）被劫持全过程：提前 33 天像素级克隆、16 分钟打穿 HTTPS 安全锁 今天上午，代币发射平台 @flapdotsh@flapdotsh @flapdotsh 紧急发推预警官网遭遇 DNS 劫持。 很多人第一反应以为只是普通的前端被挂马，或者 CDN 解析记录被改。但我们在官方切流恢复前后的几十秒窗口内，直接从 .sh 顶级域注册局、CT 证书透明度日志、Name[.]com 权威节点残留区域以及黑客的荷兰源站上，完整抓到了还没来得及销毁的第一手犯罪现场。 结论非常明确，也足够给整个 Web3 敲响警钟： 这不是智能合约漏洞，不是 Vercel 源站沦陷，也不是 Cloudflare 被攻破——而是一场潜伏超过一个月、直击域名注册商底层控制权的精准猎杀。 下面用真实抓包的链下与网络取证数据，逐秒还原黑客到底是怎么做到的 👇 ━━━━━━━━━━━━━━ ▍一、 破除误区：到底哪一层失守了？ 在攻击发生前，flap[.]sh 的正常架构非常清晰： • 域名注册商：Name[.]com（IANA ID: 625） • 权威 DNS 与防护层：Cloudflare（wren / memphis.ns.cloudflare[.]com） • 真实业务源站：Vercel（216.150.x.x） 事件爆发后，我们第一时间直连探测了原 Cloudflare 权威节点。结果显示：无论是主站、docs / abi / beta / blinks 等十余个业务子域名，还是企业邮 MX 记录与后端的 Vercel 部署，全部完好无损、零篡改。 真正沦陷的，是最底层却最容易被忽视的命门——【域名注册商后台】。 我们在官方切走解析后仅 12 分钟，对 Name[.]com 自身的权威服务器（ns1 ~ ns4）进行了残留区域探测，当场抓到了黑客来不及清理的作案铁证： 攻击者拿下了域名在注册商后台的控制权，强行把 .sh 顶级域的 NS 委派从 Cloudflare 切到了注册商自带默认 DNS（ns1crv / ns2kqz / ns3jkl / http://ns4jnz.name.com），并将主站与 www 的 A 记录直接指向了黑客位于荷兰的恶意服务器：31.56.52.52。 只要控制了顶级域 NS 委派，哪怕你的 Cloudflare 防火墙配得固若金汤、智能合约审计了十遍，所有用户流量都会在踏入大门前被直接拐进黑客的屠宰场。 ━━━━━━━━━━━━━━ 二、 提前 33 天的暗中踩点：连下拉菜单都写了专属伪装代码 把时间线拉回黑客服务器（31.56.52.52，归属荷兰 Snowcore Inc，运行 Ubuntu nginx/1.18.0）的静态样本上，你会发现这绝不是临时起意的盲打，而是蓄谋超过一个月的定点狙击： 1️⃣ 9 月 28 日（提前 33 天）：手写 UI 交互胶水层 直接把动态 React / Next.js 网站扒成静态 HTML 有一个通病——原本基于 Radix UI 的顶部公链切换框（BSC / Base / Monad / XLayer）、中英文切换和“CREATE TOKEN”下拉菜单会全部点不动，老玩家一点就会察觉不对劲。 为了消除这个破绽，黑客早在北京时间 9 月 29 日 01:43（UTC 9月28日 17:43）就专门编写了一个名为 /flap.sh/_clone/flap-menus.js（18.5 KB）的伪装脚本。甚至在黑客服务器返回的源码头部，还明晃晃留着当时的英文开发注释： "restores the Radix dropdown menus (chain / language / CREATE TOKEN) on the static clone. Markup is the exact HTML captured from the live site." （在静态克隆站上恢复链切换、语言与创建代币下拉菜单，标记取自线上真实站点。） 2️⃣ 10 月 24 日（提前 7 天）：同步新版前端与封装盗币器 北京时间 10 月 24 日 23:11，黑客重新抓取了 Flap 当时的线上前端版本（dpl_HbZmYLVY...），生成了 169 KB 的高仿真暗黑风主页，剥离了官方全部 Next.js 业务脚本，只留下了上面的菜单伪装层和核心盗币载荷。 3️⃣ 10 月 30 日（提前 28 小时）：肉鸡就位 北京时间 10 月 30 日 04:07:23，黑客开通荷兰 VPS 31.56.52[.]52（该服务器默认自签名证书 CN=localhost 的生成时间精确停留在这一秒），万事俱备，只等动手。 ━━━━━━━━━━━━━━ ▍三、 清晨 08:35 闪电夺权：仅用 16 分钟打穿 HTTPS 绿锁 为什么受害者打开被劫持的官网时，浏览器没有弹出任何“连接不安全 / 证书无效”的红屏警告？ 答案就藏在两个精确到秒的取证时间戳里： • 08:35:23（北京时间 10月31日）—— 篡改权威 NS 残留恶意区域的 SOA 序列号为 1793406923，换算成 Unix 时间戳正是 2026-10-31 00:35:23 UTC（北京时间早 08:35:23）。黑客选择在亚洲清晨、欧美深夜的交界窗口准时切走域名解析。 • 08:51:30（仅隔 16 分钟）—— 签发合法 HTTPS 证书 因为该域名既没有开启 DNSSEC（注册局状态为 unsigned），也没有配置限制发证机构的 CAA 记录。解析生效后仅 16 分钟，黑客就在荷兰服务器上跑通了 ACME 域名控制权验证，从 Let's Encrypt（YR1）顺利拿到了一张受全球所有浏览器信任的双域名合法 TLS 证书（CT 预证书 SCT 记录精确到 00:51:30.568 UTC）。 至此，从域名解析、HTTPS 加密握手到页面 UI 菜单交互，整条信任链被黑客完美闭环接管。 ━━━━━━━━━━━━━━ ▍四、 藏在 1.95 MB 文件里的“生僻汉字混淆”盗币引擎 在黑客克隆页里，真正致命的是第二个脚本：/flap.sh/assets/quiet-ember-one.js（体积高达 1,948,931 字节）。 对其进行静态拆解后可以看到典型的成熟商业级 Drainer-as-a-Service（DaaS）架构特征： ▸ 高熵生僻汉字虚拟机壳： 代码外层并非普通的十六进制混淆，而是利用大量生僻汉字构造动态 Function 执行环境（如：Function("昞穼垚譎暋楳", "var 纥爘迳輘替唟,贀寑臧烡扄舯媈...")），配合 LZString 压缩与浏览器原生 WebCrypto（crypto.subtle）在内存中动态解密真实恶意逻辑，极大增加静态查杀难度。 ▸ 基于 Irys（Arweave 生态）的去中心化抗封禁 C2： 样本内部集成了 irys[.]xyz 去中心化存储网关引用与 /assets/init 初始化逻辑。这也是近年顶级加密钓鱼团伙的惯用伎俩——将控制端（C2）配置存放在不可篡改、无法被传统安全厂商轻易拔线或 Sinkhole 的去中心化网关上。 一旦受害者在页面点击连接钱包或尝试发币/交易，脚本就会接管 Web3 Provider，根据钱包资产净值动态诱导签署恶意无限额 Approve、Permit2 离线签名或伪造转账交易，瞬间搬空高价值资产。 ━━━━━━━━━━━━━━ ▍五、 82 分钟真空期与紧急切流——但我们发现了 3 个残余暗雷！ 从 08:51:30 恶意 HTTPS 全量生效，到 10:13:28 官方推特发出警报，中间存在整整 82 分钟的无预警黄金暴露窗口；随后在 10:27:34，团队将 .sh 注册局的权威 NS 紧急切回了早期的 Vercel DNS（ns1 / ns2.vercel-dns[.]com），并在 10:40 左右清除了恶意解析区。 看起来已经恢复了？别急，实时底层取证显示目前仍有 3 个不可忽视的风险点： ⚠️ 暗雷 1：域名仍处于危险的“pending transfer（转移处理中）”状态！ 查询 .sh 注册局实时 RDAP 数据可以发现，原有的 clientTransferProhibited（禁止转移锁）已被解除，且当前注册局状态赫然显示为【pending transfer】！ 这只有两种可能：要么是官方夺回账号后正在主动发起跨注册商紧急搬家；要么是黑客在劫持 NS 的同时，偷偷提取了 EPP 转移密码发起了恶意转出！如果是后者且未及时联系注册商人工拦截（NACK），5 天窗口期一过，域名所有权将面临被彻底转走的风险。 ⚠️ 暗雷 2：递归 DNS 缓存长尾 + 黑客服务器仍在线 由于恶意区域设置了缓存 TTL，部分地区公共递归 DNS（例如实测国内 114.114.114.114 就出现了明显滞后）不会立刻刷新；同时黑客的荷兰服务器 31.56.52[.]52 此时此刻仍在正常响应钓鱼页面。 ⚠️ 暗雷 3：恶意证书尚未吊销 & www 子域旧证书过期 黑客签发的那张 Let's Encrypt 证书有效期直到 2027 年 1 月 28 日，目前在 CT 状态中仍为未吊销（revoked: false）；而官方紧急切回的 Vercel DNS 用的是今年 8 月前的旧区配置，导致直接访问 www 子域会命中一张今年 7 月 6 日就已过期的旧证书。 ━━━━━━━━━━━━━━ ▍六、 交易员紧急自救指南 & 给所有项目方的警钟 【如果你是普通用户 / 交易员】 1. 在 @flapdotsh 官方宣布彻底排除隐患并恢复前，切勿打开官网，不要连接钱包，不要签署任何弹窗！ 2. 如果你在【北京时间 10 月 31 日 08:35 至 10:45】期间访问过该网站： ├─ 立即在钱包扩展中断开对应站点连接会话； ├─ 立即前往 http://revoke.cash 检查 BSC、Base 等链上近期的代币授权（重点排查无限额 Approve 与 Permit2 合约授权）并全部撤销； └─ 若期间签署过任何不明离线消息或交易，最稳妥的做法是立刻将主力资产转移至全新的钱包地址。 【给所有 Web3 项目方的血泪教训】 过去两年，从头部 DeFi 协议到热门 Launchpad，类似的注册商/DNS 劫持一再重演。很多团队愿意花十几万美金做三轮智能合约审计，却把承载全部用户流量的域名放在普通注册商账号里“裸奔”。 请所有项目方立刻自查四件事： • 核心域名必须开启【Registry Lock（注册局级人工锁）】，杜绝后台被盗后秒改 NS 或偷转域名； • 注册商与 Cloudflare 账号强制绑定硬件安全密钥（YubiKey / Passkey），废除短信与邮箱验证码 2FA； • 立即开启【DNSSEC】； • 配置严格的【CAA 记录】（限定唯一发证 CA 并绑定具体 accounturi），让黑客就算改了解析也签不出合法 HTTPS 证书。 在 Web3 世界里，决定木桶水位的往往不是链上不可篡改的合约，而是链下最脆弱的那个 Web2 登录框。 ━━━━━━━━━━━━━━ 附：本次攻击完整威胁情报指标（IOCs，供钱包与安全团队直接拉黑拦截） • 恶意源站 IP：31.56.52[.]52（Snowcore Inc, NL, 31.56.52.0/23, nginx/1.18.0） • 劫持期权威 NS：ns1crv / ns2kqz / ns3jkl / http://ns4jnz.name.com • 恶意区域 SOA 序列号：1793406923（2026-10-31T00:35:23Z） • 恶意 TLS 证书序列号：05:94:B0:1F:B2:4D:5E:30:46:B3:1B:3C:FD:B4:21:30:DE:3C（Let's Encrypt YR1） • 恶意证书 SHA-256：932f8d8361148ce77a576d88753f1b8601260b581bf4b9be92b8ba9d1942b257 • 钓鱼主页 HTML SHA-256：76ab2f6f409dd38b7bd0c7185da1ba70078365fc3d39b4e7fdd6a73e64384b86 • 恶意脚本特征路径： ├─ /flap.sh/assets/quiet-ember-one.js（1,948,931 bytes, ETag: "6adcca9f-1dbd03"） └─ /flap.sh/_clone/flap-menus.js（18,502 bytes, ETag: "6abaa729-4846"） Stay SAFU. 🛡️