O protocolo Cow Protocol foi alvo de sequestro de DNS; os utilizadores devem revogar imediatamente as autorizações

A plataforma de agregação DEX Cow Swap, construída com base no Cow Protocol, confirmou a 14 de abril que o seu front-end principal swap.cow.fi foi alvo de sequestro de DNS. O atacante redirecionou o tráfego dos utilizadores para um website falso através da adulteração dos registos de domínio e implementou um programa de esvaziamento de carteiras. De imediato, a Cow DAO suspendeu as APIs do protocolo e os serviços de back-end; os utilizadores devem revogar imediatamente as autorizações relevantes.

Linha temporal completa do evento

UTC 14:54：Os registos de DNS de swap.cow.fi foram adulterados; o atacante começou a encaminhar o tráfego para uma interface de negociação falsa

UTC 15:41：A Cow DAO publicou um aviso público na plataforma X, recomendando que os utilizadores interrompam completamente a interação com o website durante a investigação

UTC 16:24：A confirmação oficial do sequestro de DNS; é indicado de forma clara que o back-end e a API do protocolo em si não foram comprometidos, e que a suspensão do serviço é uma medida preventiva

UTC 16:33：A Cow DAO divulgou orientações específicas, exigindo que os utilizadores que interagiram com o front-end afetado após as UTC 14:54 revoguem imediatamente as autorizações

UTC 18:15：A equipa continua a monitorizar e solicita que os utilizadores de transações suspeitas submetam os valores de hash das transações para análise

Até ao momento da publicação, o protocolo continua em estado de pausa. A Cow DAO ainda não anunciou uma recuperação total do serviço, nem publicou um relatório completo de análise pós-evento.

Mecanismo de ataque do sequestro de DNS: porque é que o front-end DeFi continua a ser uma porta de entrada de alto risco

O sequestro de DNS não requer invasão do código de contratos inteligentes. Em vez disso, o ataque é lançado ao nível da infraestrutura de domínios. O atacante, ao adulterar os registos de DNS do domínio-alvo, redireciona o tráfego para um servidor falso e, em seguida, implementa no interface falso um programa de esvaziamento de carteiras (Wallet Drainer). Assim que um utilizador liga a carteira na interface falsa ou assina uma autorização, o procedimento malicioso é acionado para transferências automáticas.

A porta técnica deste tipo de ataque normalmente não está no código do protocolo, mas sim na camada de gestão dos serviços de domínios — incluindo ataques de engenharia social aos agentes de apoio ao cliente, o uso de credenciais de 2FA (autenticação multifator) de domínio que foram expostas, ou uma invasão direta da conta de gestão do domínio. Nos últimos meses, vários protocolos DeFi foram alvo de ataques semelhantes ao DNS do front-end, um após o outro.

O próprio Cow Protocol é um protocolo não-custodial e não detém quaisquer fundos dos utilizadores. Este risco limita-se apenas aos utilizadores que assinam ativamente transações no front-end afetado. A comunidade reportou algumas transações suspeitas, mas até ao momento não foi confirmado que exista uma extração sistemática de fundos que afete todo o protocolo.

Lista de ações imediatas para utilizadores afetados

Se visitou swap.cow.fi ou cow.fi após as UTC 14:54 e ligou a carteira ou assinou qualquer transação, deve tomar imediatamente os seguintes passos：

Guia de ação urgente

Aceda a revoke.cash：Revogue imediatamente todas as autorizações de contratos relacionadas concedidas após os momentos acima

Verifique o histórico de transações da carteira：Confirme se houve quaisquer transferências não autorizadas ou operações de autorização pouco usuais

Pare de aceder aos domínios relevantes：Antes da confirmação oficial da Cow DAO de que “o website está seguro e disponível”, evite aceder a swap.cow.fi e cow.fi

Submeta o hash da transação：Se detetar uma transação suspeita, submeta o valor de hash de acordo com as orientações da Cow DAO para uma revisão de segurança

Perguntas frequentes

Como é que ocorre o sequestro de DNS no Cow Protocol?

O atacante redireciona o tráfego de utilizadores legítimos para um website falso que implementou um programa de esvaziamento de carteiras ao adulterar os registos de DNS de swap.cow.fi. Este tipo de ataque normalmente é realizado através de engenharia social dirigida ao apoio ao cliente do fornecedor de domínios, ou através do uso de credenciais 2FA do domínio que foram expostas, não envolvendo vulnerabilidades ao nível de contratos inteligentes do protocolo.

Este ataque afetou os contratos inteligentes do Cow Protocol?

Não. A Cow DAO confirmou de forma explícita que os contratos inteligentes e a infraestrutura on-chain não foram afetados em absoluto neste incidente. O back-end do protocolo e a API também não foram comprometidos. A suspensão do serviço é apenas uma medida preventiva, destinada a impedir que mais utilizadores acedam ao front-end afetado durante a investigação.

Como posso saber se fui afetado?

Se acedeu a swap.cow.fi ou cow.fi após as UTC 14:54 e ligou a carteira, ou assinou quaisquer transações, existe um risco potencial. Deve revogar as autorizações imediatamente em revoke.cash e verificar cuidadosamente o histórico recente de transações da sua carteira. Continue a acompanhar a conta oficial da Cow DAO no X, aguardando a notificação formal de que o serviço foi restabelecido com segurança.