12 sitios DeFi afectados por un ataque frontend de Step Drainer

CoinDesk informa de que Blockaid reportó al menos 12 webs DeFi atacadas en Halloween. En las páginas afectadas apareció el kit Step Drainer y el equipo advirtió a los usuarios de que no conectaran sus carteras ni firmaran transacciones. Blockaid señaló a Flap, Kintsu y otras diez webs en su alerta sobre ataques al frontend. Flap confirmó que su DNS fue comprometido y que su dominio oficial redirigía a una web no autorizada. StonkFun restauró su sitio tras migrar su infraestructura y afirmó que no está claro si algún usuario resultó afectado. Las alertas enumeran webs comprometidas, pero no se han confirmado el número de víctimas ni las pérdidas asociadas. La primera alerta de Blockaid identificó a Flap y Kintsu como posibles objetivos de un ataque frontend el 31 de octubre. En una alerta posterior, la firma de seguridad blockchain añadió otros diez dominios y afirmó que estas webs estaban distribuyendo Step Drainer de forma activa. A medida que avanzaba la situación, los equipos afectados empezaron a emitir sus propias advertencias. Flap confirmó que los usuarios que accedían a su dirección oficial eran redirigidos a otro sitio. Más tarde, StonkFun indicó que su web había sido restaurada después de retirarla y migrar a una nueva infraestructura. Blockaid informa de que 12 webs DeFi están afectadas por Step Drainer. En la alerta inicial, recomendó no interactuar con Flap y Kintsu hasta que se resolviera el problema. Su lista ampliada incluye StonkFun, Pickle Finance, Echelon, Origami Finance y FluxBeam. Los demás proyectos son StakePoint, SupSwap, Longbow, Shprd Finance y APEX. Junto con Flap y Kintsu, la lista suma 12 webs distintas. Blockaid afirmó que las webs añadidas ofrecen el mismo drenador y que la investigación sigue en curso. La alerta no confirmó la identidad de los atacantes ni divulgó el número de víctimas o el importe total de las pérdidas. Antes, el investigador de seguridad Ogle había advertido de que un script inyectado redirige a los visitantes que pulsan el botón de conexión de cartera a una página de drenaje maliciosa. En su publicación, instó a los usuarios a no conectar sus carteras a esas webs. La captura de pantalla de la advertencia temprana que circuló también incluía stonkbrokers[.]cash. La alerta pública posterior de Blockaid nombró primero a Flap y Kintsu y después amplió la lista a otros diez dominios, por lo que la captura difundida no contiene exactamente la misma lista. Flap confirmó que su dominio oficial redirigía a los visitantes. El equipo afirmó que su web estaba enviando a los usuarios a un destino no autorizado y pidió que no se accediera al sitio, no se conectaran carteras ni se firmaran transacciones hasta nuevo aviso. Al emitir la advertencia, Flap indicó que trabajaba para restaurar la web y que avisaría cuando fuera seguro utilizarla. El anuncio en chino pidió a los usuarios que se guiaran por la información publicada en las cuentas oficiales del proyecto en redes sociales. Los registros DNS dirigen los navegadores desde un dominio a la infraestructura que aloja la web. Según la descripción de Flap, la dirección legítima estaba dirigiendo a los visitantes a una web no autorizada. La advertencia se dirige a quienes acceden directamente al dominio conocido del proyecto, sin necesidad de pulsar direcciones mal escritas o enlaces promocionales no solicitados. El anuncio de Flap no especificó qué proveedor de servicios era responsable de los registros comprometidos ni cómo obtuvieron acceso los atacantes. StonkFun restauró su web tras migrar su infraestructura. La firma confirmó que su sitio fue objetivo de un ataque de dominio señalado por Blockaid. En su primer anuncio, pidió a los usuarios evitar el sitio y no conectar sus carteras mientras el equipo trabajaba en la recuperación. El proyecto señaló que el incidente afectó solo a la web y que las funciones onchain seguían plenamente operativas. El anuncio indicó que por ahora se desconoce si algún usuario se ha visto afectado. En una actualización posterior, StonkFun informó de que la web se había retirado y migrado a una nueva infraestructura. Aunque el sitio ha vuelto a funcionar, el equipo pide esperar una hora antes de conectar carteras, ya que algunas redes pueden tardar ese tiempo en reconocer el cambio. El anuncio de recuperación volvió a subrayar que las operaciones onchain funcionan con normalidad y que el equipo no tiene conocimiento de usuarios afectados. Ninguna de las dos declaraciones de StonkFun ofreció una estimación de pérdidas ni anunció un proceso de compensación. Ataques DNS previos ya habían obligado a equipos DeFi a migrar sus dominios. En mayo de 2025, crypto.news informó de que Curve Finance migró a un nuevo dominio después de que los atacantes redirigieran su web original a un sitio clonado diseñado para robar carteras. Curve contactó con sus socios de seguridad y con el registrador de dominios durante la respuesta. El equipo afirmó que la respuesta tardía del registrador fue uno de los motivos para abandonar el dominio antiguo. Posteriormente, el registrador congeló Curve.fi y desactivó el drenador malicioso. Curve confirmó más tarde que planea introducir una dirección del Ethereum Name Service como opción de acceso alternativa.