Un ataque DNS de DeFi afecta a 12 sitios mientras Blockaid señala Step Drainer

Un ataque de Halloween ha dirigido su objetivo a al menos 12 sitios web de DeFi, con Blockaid identificando el kit de herramientas Step Drainer en las páginas afectadas y equipos advirtiendo a los usuarios que no conecten billeteras ni firmen transacciones.

Resumen

• Blockaid identificó Flap, Kintsu y 10 sitios más en alertas sobre el ataque al frontend.
• Flap confirmó un secuestro de DNS que redirigió su dominio oficial a un sitio no autorizado.
• StonkFun restauró su sitio web después de mover su infraestructura y dijo que no tenía conocimiento de usuarios afectados.
• Las alertas identifican sitios web comprometidos, mientras que el número de víctimas y cualquier pérdida permanecen sin establecer.

La advertencia inicial de Blockaid nombró a Flap y Kintsu como objetivos de un posible ataque al frontend el 31 de octubre. En una alerta posterior, la empresa de seguridad blockchain enumeró 10 dominios adicionales que, según dijo, estaban sirviendo activamente a Step Drainer.

Los equipos afectados comenzaron a emitir sus propias advertencias a medida que se desarrollaba el incidente. Flap confirmó que los visitantes de su dirección oficial estaban siendo redirigidos a otro lugar, mientras que StonkFun informó más tarde que había restaurado su sitio web después de sacarlo de línea y moverlo a una nueva infraestructura.

Blockaid identifica Step Drainer en 12 sitios DeFi

En su alerta inicial, Blockaid pidió a los usuarios que evitaran interacciones con Flap y Kintsu hasta que se resolviera el problema. Su lista ampliada nombró a StonkFun, Pickle Finance, Echelon, Origami Finance y FluxBeam.

Los proyectos restantes fueron StakePoint, SupSwap, Longbow, Shprd Finance y APEX. Junto con Flap y Kintsu, la lista cubría 12 sitios web distintos.

Además de nuestra alerta anterior, el mismo ataque ha sido identificado ahora en sitios adicionales. Estos están sirviendo activamente a Step Drainer:

• stonkfun[.]xyz

• pickle[.]finance

• echelon[.]market

• origami[.]finance

• fluxbeam[.]xyz

• stakepoint[.]app

• supswap[.]xyz

•...
--- Blockaid (@blockaid_) 31 de octubre de 2026

Blockaid describió los sitios adicionales como sirviendo al mismo drenador y dijo que su investigación continuaba. Las alertas no identificaron a un atacante confirmado, no revelaron un conteo de víctimas ni proporcionaron una cifra de pérdidas agregadas.

Una advertencia anterior circulada por el investigador de seguridad Ogle describió un script inyectado que enviaba a los visitantes que hacían clic en el botón de conexión de billetera a una página de drenador malicioso. Su publicación instó a los usuarios a evitar conectar billeteras a los sitios nombrados.

Copias de esa advertencia anterior incluían stonkbrokers[.]cash. La posterior alerta pública de Blockaid nombró a Flap y Kintsu antes de su expansión separada a 10 dominios más, por lo que las capturas de pantalla circulantes no contenían todas una lista idéntica.

Flap confirma que su dominio oficial redirigió a los visitantes

Flap confirmó que su sitio web oficial había sido afectado por un secuestro de DNS. El equipo dijo que su sitio web estaba redirigiendo a los visitantes a un destino no autorizado y pidió a los usuarios que no visitaran, conectaran billeteras ni firmaran transacciones hasta nuevo aviso.

En el momento de la advertencia, Flap dijo que estaba trabajando para restaurar el sitio web y anunciaría cuando fuera seguro usarlo nuevamente. Su aviso en chino acompañante pidió a los usuarios que confiaran en los anuncios de las cuentas sociales oficiales del proyecto.

Los registros de DNS dirigen a los navegadores desde un nombre de dominio a la infraestructura que sirve su sitio web. En el relato de Flap sobre el incidente, la dirección legítima en sí estaba enviando a los visitantes a un sitio no autorizado.

Por lo tanto, la advertencia cubría a las personas que navegaban hacia el dominio familiar del proyecto, sin requerir que siguieran una dirección mal escrita o un enlace promocional no solicitado. El aviso de Flap no identificó al proveedor responsable de los registros comprometidos ni explicó cómo el atacante obtuvo acceso.

StonkFun restaura su sitio web después de mover la infraestructura

StonkFun confirmó que su sitio web había sido afectado por el ataque de dominio señalado por Blockaid. Su primer aviso pidió a los usuarios que se mantuvieran alejados y evitaran conectar billeteras mientras el equipo trabajaba en la restauración.

El proyecto dijo que el incidente afectó su sitio web y que todo en cadena estaba funcionando normalmente. No tenía conocimiento de nadie afectado, según el aviso.

En una actualización posterior, StonkFun dijo que había sacado el sitio web de línea y lo había movido a una nueva infraestructura. Aunque el sitio había sido restaurado, el equipo pidió a los usuarios que esperaran una hora antes de conectar una billetera porque algunas redes podrían tardar ese tiempo en reconocer el cambio.

El aviso de restauración repitió que las operaciones en cadena estaban funcionando normalmente y que el equipo no tenía conocimiento de usuarios afectados. Ninguna de las declaraciones de StonkFun proporcionó una estimación de pérdidas ni anunció un proceso de compensación.

Ataques DNS anteriores llevaron a migraciones de dominio

Compromisos similares de sitios web han obligado anteriormente a los equipos de DeFi a cambiar la forma en que los usuarios acceden a sus servicios. En mayo de 2025, crypto.news informó que Curve Finance había migrado a un nuevo dominio después de que los atacantes redirigieran su sitio web original a un clon que drenaba billeteras.

Curve involucró a socios de seguridad y a su registrador durante la respuesta. El equipo dijo que los retrasos en la respuesta del registrador contribuyeron a su decisión de abandonar el antiguo dominio.

El registrador posteriormente congeló Curve.fi, deshabilitando el drenador malicioso. Curve luego confirmó planes para introducir una dirección de Ethereum Name Service como otra opción de acceso.