Atak DNS DeFi dotyka 12 stron, gdy Blockaid ostrzega przed Step Drainer

Atak Halloweenowy zaatakował co najmniej 12 stron internetowych DeFi, a Blockaid zidentyfikował zestaw narzędzi Step Drainer na dotkniętych stronach, ostrzegając zespoły użytkowników przed łączeniem portfeli lub podpisywaniem transakcji.

Podsumowanie

• Blockaid zidentyfikował Flap, Kintsu i 10 innych stron w ostrzeżeniach dotyczących ataku frontendowego.
• Flap potwierdził przejęcie DNS, które przekierowało jego oficjalną domenę na nieautoryzowaną stronę.
• StonkFun przywrócił swoją stronę internetową po przeniesieniu infrastruktury i powiedział, że nie był świadomy dotkniętych użytkowników.
• Ostrzeżenia identyfikują skompromitowane strony internetowe, podczas gdy liczba ofiar i jakiekolwiek straty pozostają nieustalone.

Początkowe ostrzeżenie Blockaid wymieniło Flap i Kintsu jako cele potencjalnego ataku frontendowego 31 października. W kolejnym ostrzeżeniu firma zajmująca się bezpieczeństwem blockchain wymieniła 10 dodatkowych domen, które, jak powiedziała, aktywnie obsługiwały Step Drainer.

Dotknięte zespoły zaczęły wydawać własne ostrzeżenia w miarę rozwoju incydentu. Flap potwierdził, że odwiedzający jego oficjalny adres byli przekierowywani gdzie indziej, podczas gdy StonkFun później zgłosił, że przywrócił swoją stronę internetową po jej wyłączeniu i przeniesieniu na nową infrastrukturę.

Blockaid identyfikuje Step Drainer na 12 stronach DeFi

W swoim początkowym ostrzeżeniu Blockaid poprosił użytkowników o unikanie interakcji z Flap i Kintsu, aż problem zostanie rozwiązany. Jego rozszerzona lista wymieniła StonkFun, Pickle Finance, Echelon, Origami Finance i FluxBeam.

Pozostałe projekty to StakePoint, SupSwap, Longbow, Shprd Finance i APEX. Razem z Flap i Kintsu lista obejmowała 12 odrębnych stron internetowych.

Oprócz naszego wcześniejszego ostrzeżenia, ten sam atak został teraz zidentyfikowany na dodatkowych stronach. Te aktywnie obsługują Step Drainer:

• stonkfun[.]xyz

• pickle[.]finance

• echelon[.]market

• origami[.]finance

• fluxbeam[.]xyz

• stakepoint[.]app

• supswap[.]xyz

•...
--- Blockaid (@blockaid_) 31 października 2026

Blockaid opisał dodatkowe strony jako obsługujące ten sam drainer i powiedział, że jego dochodzenie trwa. Ostrzeżenia nie zidentyfikowały potwierdzonego napastnika, nie ujawniono liczby ofiar ani nie podano łącznej kwoty strat.

Wcześniejsze ostrzeżenie rozpowszechniane przez badacza bezpieczeństwa Ogle opisało wstrzyknięty skrypt, który wysyłał odwiedzających, którzy kliknęli przycisk połączenia portfela, na złośliwą stronę drainer. Jego post wzywał użytkowników do unikania łączenia portfeli z wymienionymi stronami.

Kopie tego wcześniejszego ostrzeżenia zawierały stonkbrokers[.]cash. Późniejsze publiczne ostrzeżenie Blockaid wymieniło Flap i Kintsu przed osobnym rozszerzeniem do 10 dodatkowych domen, więc krążące zrzuty ekranu nie zawierały wszystkich identycznych list.

Flap potwierdza, że jego oficjalna domena przekierowuje odwiedzających

Flap potwierdził, że jego oficjalna strona internetowa została dotknięta przez przejęcie DNS. Zespół powiedział, że jego strona internetowa przekierowuje odwiedzających na nieautoryzowane miejsce i poprosił użytkowników o nieodwiedzanie, niełączenie portfeli ani podpisywanie transakcji do odwołania.

W momencie ostrzeżenia Flap powiedział, że pracuje nad przywróceniem strony internetowej i ogłosi, kiedy będzie można z niej ponownie korzystać. Jego towarzyszące ogłoszenie w języku chińskim poprosiło użytkowników o poleganie na ogłoszeniach z oficjalnych kont społecznościowych projektu.

Rekordy DNS kierują przeglądarki z nazwy domeny do infrastruktury obsługującej jej stronę internetową. W relacji Flap o incydencie, sama legalna adres wysyłała odwiedzających na nieautoryzowaną stronę.

Ostrzeżenie obejmowało zatem osoby nawigujące do znanej domeny projektu, nie wymagając od nich podążania za błędnie napisanym adresem lub niezamówionym linkiem promocyjnym. Ogłoszenie Flap nie zidentyfikowało dostawcy odpowiedzialnego za skompromitowane rekordy ani nie wyjaśniło, jak napastnik uzyskał dostęp.

StonkFun przywraca swoją stronę internetową po przeniesieniu infrastruktury

StonkFun potwierdził, że jego strona internetowa została dotknięta przez atak domenowy zgłoszony przez Blockaid. Jego pierwsze ostrzeżenie poprosiło użytkowników o trzymanie się z dala i unikanie łączenia portfeli, podczas gdy zespół pracował nad przywróceniem.

Projekt powiedział, że incydent dotknął jego strony internetowej i że wszystko na łańcuchu działało normalnie. Nie był świadomy nikogo dotkniętego, zgodnie z ogłoszeniem.

W kolejnej aktualizacji StonkFun powiedział, że wyłączył stronę internetową i przeniósł ją na nową infrastrukturę. Chociaż strona została przywrócona, zespół poprosił użytkowników o odczekanie godziny przed połączeniem portfela, ponieważ niektóre sieci mogą potrzebować tyle czasu, aby rozpoznać zmianę.

Ogłoszenie o przywróceniu powtórzyło, że operacje na łańcuchu działają normalnie i że zespół nie był świadomy dotkniętych użytkowników. Żadne z oświadczeń StonkFun nie dostarczyło oszacowania strat ani nie ogłosiło procesu rekompensaty.

Wcześniejsze ataki DNS skłoniły do migracji domen

Podobne kompromitacje stron internetowych wcześniej zmusiły zespoły DeFi do zmiany sposobu, w jaki użytkownicy uzyskują dostęp do ich usług. W maju 2025 roku crypto.news doniósł, że Curve Finance przeniosło się na nową domenę po tym, jak napastnicy przekierowali jego oryginalną stronę internetową na klon wyciągający portfel.

Curve zaangażowało partnerów ds. bezpieczeństwa i swojego rejestratora podczas odpowiedzi. Zespół powiedział, że opóźnienia w odpowiedzi rejestratora przyczyniły się do decyzji o porzuceniu starej domeny.

Rejestrator następnie zablokował Curve.fi, dezaktywując złośliwego drainera. Curve następnie potwierdziło plany wprowadzenia adresu Ethereum Name Service jako innej opcji dostępu.