Атака на DeFi DNS вразила 12 сайтів, оскільки Blockaid виявив Step Drainer

Атака на Хелловін націлилася на принаймні 12 веб-сайтів DeFi, при цьому Blockaid виявив інструмент Step Drainer на постраждалих сторінках, а команди попереджають користувачів про небезпеку підключення гаманців або підписання транзакцій.

Резюме

• Blockaid виявив Flap, Kintsu та ще 10 веб-сайтів у попередженнях про атаку на фронтенд.
• Flap підтвердив захоплення DNS, яке перенаправило його офіційний домен на несанкціонований веб-сайт.
• StonkFun відновив свій веб-сайт після переміщення інфраструктури та заявив, що не знає про постраждалих користувачів.
• Попередження вказують на скомпрометовані веб-сайти, тоді як кількість жертв та будь-які втрати залишаються невстановленими.

Початкове попередження Blockaid називало Flap і Kintsu як цілі потенційної атаки на фронтенд 31 жовтня. У наступному попередженні компанія з безпеки блокчейнів перерахувала 10 додаткових доменів, які, за її словами, активно обслуговували Step Drainer.

Постраждалі команди почали видавати свої власні попередження, коли інцидент розвивався. Flap підтвердив, що відвідувачі його офіційної адреси перенаправлялися кудись ще, тоді як StonkFun пізніше повідомив, що відновив свій веб-сайт після того, як він був виведений з експлуатації та переміщений на нову інфраструктуру.

Blockaid виявляє Step Drainer на 12 сайтах DeFi

У своєму початковому попередженні Blockaid попросив користувачів уникати взаємодії з Flap і Kintsu, поки проблема не буде вирішена. Його розширений список назвав StonkFun, Pickle Finance, Echelon, Origami Finance та FluxBeam.

Інші проекти включали StakePoint, SupSwap, Longbow, Shprd Finance та APEX. Разом з Flap і Kintsu, список охоплював 12 різних веб-сайтів.

На додаток до нашого попереднього попередження, та сама атака тепер була виявлена на додаткових сайтах. Ці сайти активно обслуговують Step Drainer:

• stonkfun[.]xyz

• pickle[.]finance

• echelon[.]market

• origami[.]finance

• fluxbeam[.]xyz

• stakepoint[.]app

• supswap[.]xyz

•...
--- Blockaid (@blockaid_) 31 жовтня 2026 року

Blockaid описав додаткові сайти як такі, що обслуговують той самий дренаж, і сказав, що його розслідування триває. Попередження не вказали підтвердженого нападника, не розкрили кількість жертв або не надали загальну суму втрат.

Раніше попередження, розповсюджене дослідником безпеки Ogle, описувало інжектований скрипт, який перенаправляв відвідувачів, які натискали кнопку підключення гаманця, на зловмисну сторінку дренажу. Його пост закликав користувачів уникати підключення гаманців до названих сайтів.

Копії цього раннього попередження включали stonkbrokers[.]cash. Пізніше публічне попередження Blockaid називало Flap і Kintsu перед його окремим розширенням до 10 додаткових доменів, тому обігові скріншоти не містили однакового списку.

Flap підтверджує, що його офіційний домен перенаправляв відвідувачів

Flap підтвердив, що його офіційний веб-сайт був під впливом захоплення DNS. Команда заявила, що її веб-сайт перенаправляв відвідувачів на несанкціоноване місце призначення і попросила користувачів не відвідувати, не підключати гаманці або підписувати транзакції до подальшого повідомлення.

На момент попередження Flap заявив, що працює над відновленням веб-сайту і оголосить, коли його можна буде знову безпечно використовувати. Його супутнє повідомлення китайською мовою закликало користувачів покладатися на оголошення з офіційних соціальних акаунтів проекту.

Записи DNS направляють браузери з доменного імені на інфраструктуру, що обслуговує його веб-сайт. У звіті Flap про інцидент, легітимна адреса сама по собі перенаправляла відвідувачів на несанкціонований сайт.

Отже, попередження охоплювало людей, які переходили на знайомий домен проекту, без необхідності слідувати за неправильно написаною адресою або непроханим рекламним посиланням. Повідомлення Flap не вказувало постачальника, відповідального за скомпрометовані записи, або пояснювало, як нападник отримав доступ.

StonkFun відновлює свій веб-сайт після переміщення інфраструктури

StonkFun підтвердив, що його веб-сайт постраждав від атаки на домен, вказаної Blockaid. Його перше повідомлення попросило користувачів триматися подалі та уникати підключення гаманців, поки команда працювала над відновленням.

Проект заявив, що інцидент вплинув на його веб-сайт і що все в ланцюзі працювало нормально. Він не знав про постраждалих, згідно з повідомленням.

У наступному оновленні StonkFun заявив, що він вивів веб-сайт з експлуатації та перемістив його на нову інфраструктуру. Хоча сайт був відновлений, команда попросила користувачів почекати годину перед підключенням гаманця, оскільки деякі мережі можуть зайняти стільки часу, щоб визнати зміну.

Повідомлення про відновлення повторило, що операції в ланцюзі функціонують нормально і що команда не знала про постраждалих користувачів. Жодне з повідомлень StonkFun не надало оцінки втрат або не оголосило про процес компенсації.

Раніші атаки DNS спонукали до міграції доменів

Подібні компрометації веб-сайтів раніше змусили команди DeFi змінити спосіб доступу користувачів до своїх послуг. У травні 2025 року crypto.news повідомив, що Curve Finance мігрував на новий домен після того, як зловмисники перенаправили його оригінальний веб-сайт на клон, що зливає гаманці.

Curve залучив партнерів з безпеки та свого реєстратора під час реагування. Команда заявила, що затримки у відповіді реєстратора сприяли її рішенню відмовитися від старого домену.

Реєстратор пізніше заморозив Curve.fi, відключивши зловмисний дренаж. Curve потім підтвердив плани ввести адресу Ethereum Name Service як ще один варіант доступу.