Une attaque DNS DeFi touche 12 sites alors que Blockaid signale Step Drainer

Une attaque d'Halloween a ciblé au moins 12 sites Web DeFi, Blockaid identifiant l'outil Step Drainer sur les pages affectées et les équipes avertissant les utilisateurs de ne pas connecter leurs portefeuilles ou signer des transactions.

Résumé

• Blockaid a identifié Flap, Kintsu et 10 autres sites dans des alertes concernant l'attaque de l'interface.
• Flap a confirmé un détournement DNS qui a redirigé son domaine officiel vers un site non autorisé.
• StonkFun a restauré son site Web après avoir déplacé son infrastructure et a déclaré qu'il n'était pas au courant des utilisateurs affectés.
• Les alertes identifient les sites compromis, tandis que le nombre de victimes et les pertes éventuelles restent indéterminés.

L'avertissement initial de Blockaid a nommé Flap et Kintsu comme cibles d'une potentielle attaque de l'interface le 31 octobre. Dans une alerte ultérieure, la société de sécurité blockchain a listé 10 domaines supplémentaires qu'elle a dit servir activement Step Drainer.

Les équipes affectées ont commencé à émettre leurs propres avertissements alors que l'incident se déroulait. Flap a confirmé que les visiteurs de son adresse officielle étaient redirigés ailleurs, tandis que StonkFun a ensuite rapporté qu'il avait restauré son site Web après l'avoir mis hors ligne et déplacé vers une nouvelle infrastructure.

Blockaid identifie Step Drainer sur 12 sites DeFi

Dans son alerte initiale, Blockaid a demandé aux utilisateurs d'éviter les interactions avec Flap et Kintsu jusqu'à ce que le problème soit résolu. Sa liste élargie a nommé StonkFun, Pickle Finance, Echelon, Origami Finance et FluxBeam.

Les projets restants étaient StakePoint, SupSwap, Longbow, Shprd Finance et APEX. Avec Flap et Kintsu, la liste couvrait 12 sites Web distincts.

En plus de notre alerte précédente, la même attaque a maintenant été identifiée sur d'autres sites. Ceux-ci servent activement le Step Drainer :

• stonkfun[.]xyz

• pickle[.]finance

• echelon[.]market

• origami[.]finance

• fluxbeam[.]xyz

• stakepoint[.]app

• supswap[.]xyz

•...
--- Blockaid (@blockaid_) 31 octobre 2026

Blockaid a décrit les sites supplémentaires comme servant le même draineur et a déclaré que son enquête se poursuivait. Les alertes n'ont pas identifié d'attaquant confirmé, divulgué un nombre de victimes ou fourni un chiffre de pertes globales.

Un avertissement antérieur diffusé par le chercheur en sécurité Ogle décrivait un script injecté qui envoyait les visiteurs ayant cliqué sur le bouton de connexion du portefeuille vers une page de draineur malveillante. Son message a exhorté les utilisateurs à éviter de connecter leurs portefeuilles aux sites nommés.

Des copies de cet avertissement antérieur incluaient stonkbrokers[.]cash. L'alerte publique ultérieure de Blockaid a nommé Flap et Kintsu avant son expansion séparée à 10 autres domaines, donc les captures d'écran circulant n'incluaient pas toutes une liste identique.

Flap confirme que son domaine officiel a redirigé les visiteurs

Flap a confirmé que son site Web officiel avait été affecté par un détournement DNS. L'équipe a déclaré que son site Web redirigeait les visiteurs vers une destination non autorisée et a demandé aux utilisateurs de ne pas visiter, de ne pas connecter leurs portefeuilles ou de signer des transactions jusqu'à nouvel ordre.

Au moment de l'avertissement, Flap a déclaré qu'il travaillait à la restauration du site Web et annoncerait quand il serait à nouveau sûr de l'utiliser. Son avis en langue chinoise accompagnant a demandé aux utilisateurs de se fier aux annonces des comptes sociaux officiels du projet.

Les enregistrements DNS dirigent les navigateurs d'un nom de domaine vers l'infrastructure servant son site Web. Dans le récit de Flap sur l'incident, l'adresse légitime elle-même envoyait les visiteurs vers un site non autorisé.

L'avertissement couvrait donc les personnes naviguant vers le domaine familier du projet, sans exiger qu'elles suivent une adresse mal orthographiée ou un lien promotionnel non sollicité. L'avis de Flap n'a pas identifié le fournisseur responsable des enregistrements compromis ni expliqué comment l'attaquant avait obtenu l'accès.

StonkFun restaure son site Web après un déménagement d'infrastructure

StonkFun a confirmé que son site Web avait été affecté par l'attaque de domaine signalée par Blockaid. Son premier avis a demandé aux utilisateurs de rester à l'écart et d'éviter de connecter leurs portefeuilles pendant que l'équipe travaillait à la restauration.

Le projet a déclaré que l'incident avait affecté son site Web et que tout sur la chaîne fonctionnait normalement. Il n'était pas au courant de personnes affectées, selon l'avis.

Dans une mise à jour ultérieure, StonkFun a déclaré qu'il avait mis le site Web hors ligne et l'avait déplacé vers une nouvelle infrastructure. Bien que le site ait été restauré, l'équipe a demandé aux utilisateurs d'attendre une heure avant de connecter un portefeuille car certains réseaux pourraient prendre ce temps pour reconnaître le changement.

L'avis de restauration a répété que les opérations sur la chaîne fonctionnaient normalement et que l'équipe n'était pas au courant des utilisateurs affectés. Aucune des déclarations de StonkFun n'a fourni d'estimation de perte ou annoncé un processus de compensation.

Des attaques DNS antérieures ont poussé à des migrations de domaine

Des compromis de sites Web similaires ont précédemment contraint les équipes DeFi à changer la manière dont les utilisateurs accédaient à leurs services. En mai 2025, crypto.news a rapporté que Curve Finance avait migré vers un nouveau domaine après que des attaquants aient redirigé son site Web original vers un clone drainant des portefeuilles.

Curve a engagé des partenaires de sécurité et son registraire pendant la réponse. L'équipe a déclaré que les retards dans la réponse du registraire avaient contribué à sa décision d'abandonner l'ancien domaine.

Le registraire a ensuite gelé Curve.fi, désactivant le draineur malveillant. Curve a ensuite confirmé des plans pour introduire une adresse de service de nom Ethereum comme autre option d'accès.