هجوم Step Drainer على الواجهة الأمامية يصيب 12 موقعاً في DeFi

نقل CoinDesk عن شركة الأمن البلوكشين Blockaid أن 12 موقعاً على الأقل في قطاع التمويل اللامركزي (DeFi) استُهدفت في هجوم على الواجهة الأمامية تزامن مع الهالوين، وظهرت أداة Step Drainer على الصفحات المتأثرة. وحذرت الشركة المستخدمين من ربط المحافظ أو توقيع المعاملات، فيما أكدت Flap تعرض DNS للاختراق وإعادة توجيه نطاقها الرسمي إلى موقع غير مصرح به. وقالت StonkFun إنها استعادت موقعها بعد نقله إلى بنية تحتية جديدة، وإنها لا تعرف حتى الآن ما إذا كان أي مستخدم قد تأثر. ولم يتأكد عدد الضحايا أو الخسائر المرتبطة. أشار التنبيه الأول من Blockaid في 31 أكتوبر إلى Flap وKintsu كهدفين محتملين لهجوم على الواجهة الأمامية. وفي تنبيه لاحق أدرجت 10 نطاقات إضافية قالت إنها توزع Step Drainer فعلياً. وشملت القائمة الممتدة StonkFun وPickle Finance وEchelon وOrigami Finance وFluxBeam وStakePoint وSupSwap وLongbow وShprd Finance وAPEX، ليصبح الإجمالي مع Flap وKintsu 12 موقعاً. وقالت Blockaid إن المواقع المضافة تقدم الأداة نفسها وإن التحقيق مستمر، من دون تأكيد هوية المهاجمين أو عدد الضحايا أو حجم الخسائر. بدأت الفرق المتأثرة بإصدار تحذيراتها. أكدت Flap أن زوار عنوانها الرسمي يعاد توجيههم إلى وجهة أخرى، ثم أعلنت StonkFun استعادة موقعها بعد إخراجه من الخدمة والانتقال إلى بنية تحتية جديدة. وسبق أن حذر الباحث الأمني Ogle من أن سكريبتاً محقوناً يعيد توجيه الزوار الذين ينقرون زر ربط المحفظة إلى صفحة سحب خبيثة، ودعا إلى تجنب ربط المحافظ بهذه المواقع. وتضمنت لقطة شاشة متداولة للتحذير المبكر النطاق stonkbrokers[.]cash. وبما أن التنبيه العلني اللاحق من Blockaid سمى Flap وKintsu أولاً ثم توسع إلى 10 نطاقات إضافية، فإن القائمة في اللقطة المتداولة لا تطابق القائمة النهائية تماماً. أكدت Flap أن موقعها الرسمي تعرض لاختطاف DNS، وأن الموقع يعيد الزوار إلى وجهة غير مصرح بها. وطلبت من المستخدمين عدم الوصول إلى الموقع أو ربط المحافظ أو توقيع المعاملات حتى إشعار آخر، وقالت إنها تعمل على الاستعادة وستعلن السلامة لاحقاً. وأشار إعلان صيني مرافق إلى ضرورة الاعتماد على معلومات الحسابات الرسمية للمشروع. سجلات DNS توجه المتصفحات من النطاق إلى البنية التحتية المستضيفة للموقع. وبحسب وصف Flap، كان العنوان الشرعي نفسه يوجه الزوار إلى موقع غير مصرح به، ما يعني أن التحذير يستهدف من يدخلون النطاق المعتاد مباشرة من دون الحاجة إلى رابط مكتوب خطأ أو إعلان غير مرغوب. ولم يحدد الإعلان مزود الخدمة المسؤول عن السجلات المخترقة أو طريقة وصول المهاجمين. أكدت StonkFun أن موقعها استُهدف بهجوم نطاق أشار إليه Blockaid. ودعا إعلانها الأول المستخدمين إلى تجنب الموقع وعدم ربط المحافظ أثناء المعالجة، وقالت إن الحادث اقتصر على الموقع بينما بقيت الوظائف على السلسلة تعمل بالكامل، وإنه لا يعرف من تأثر. وفي تحديث لاحق، قالت إن الموقع أُخرج من الخدمة ونُقل إلى بنية تحتية جديدة. ورغم استعادته، طلبت من المستخدمين الانتظار ساعة قبل ربط المحافظ لأن بعض الشبكات قد تحتاج هذه المدة لالتقاط التغيير. وأكدت مجدداً أن العمليات على السلسلة تعمل طبيعياً وإن الفريق لا يعلم بأي مستخدمين متأثرين. ولم يتضمن بيانا StonkFun تقديراً للخسائر أو إعلاناً عن تعويضات. وسبق أن دفعت هجمات DNS مماثلة مشاريع DeFi إلى تغيير طريقة وصول المستخدمين. في مايو 2025، ذكر crypto.news أن Curve Finance انتقلت إلى نطاق جديد بعد أن أعاد المهاجمون توجيه موقعها الأصلي إلى موقع مستنسخ لسرقة المحافظ. وتواصلت Curve مع شركائها الأمنيين ومسجل النطاق، وقالت إن تأخر المسجل كان أحد أسباب التخلي عن النطاق القديم. ثم جمد المسجل Curve.fi وعطّل أداة السحب الخبيثة. وأكدت Curve لاحقاً خططاً لإضافة عنوان Ethereum Name Service كخيار وصول بديل.