今天这波不是合约漏洞，是更上游的东西：域名。
10:13（北京时间），BNB Chain 上的发射台 Flap 官方发帖，称 flap.sh 遭遇 DNS 劫持，页面被导向未授权网站，提醒别访问、别连钱包、别签名。
随后安全公司 Blockaid 把 Flap 和 Kintsu 一起列进前端攻击告警，接着又补了一串名单，包括 stonkfun、pickle.finance、echelon.market、origami.finance、fluxbeam 等，称这些站点正在挂 Step Drainer 钓鱼盗币套件。
关键细节来自受害项目自己：Kintsu 和 Longbow 都说，域名是在注册商 Vercel Domains 层面被劫持的，同一时间多家 DeFi 协议一起中招，Kintsu 直接称之为「供应链攻击」。目前这是项目方说法，Vercel 还没有公开确认。
截至 12 点多，Kintsu 和 Longbow 已表示域名恢复指向自家服务器，但提醒 DNS 缓存可能还要一阵才清干净，所以在官方说「安全」之前，照样别连。
我的筛选结论就一句：DNS 劫持时地址栏还是那个真域名，书签也救不了你。真正的防线是钱包签名前看清楚在授权什么。
如果北京时间今天早上 8 点之后在这些站点连过钱包或签过名，Kintsu 的建议是去 revoke.cash 撤销授权并转移资金。链上合约本身目前没有被攻破的报告。