Step Drainerのフロントエンド攻撃でDeFiサイト12件が被害

CoinDeskによると、ブロックチェーンセキュリティ企業のBlockaidは、ハロウィーンに少なくとも12のDeFiサイトが攻撃対象となり、影響を受けたページに「Step Drainer」ツールキットが出現したと報告した。Blockaidはフロントエンド攻撃に関する警告で、FlapとKintsu、さらに10サイトを挙げ、利用者にウォレット接続や取引署名をしないよう呼びかけた。FlapはDNSが侵害され、公式ドメインが不正なサイトへリダイレクトされたことを確認。StonkFunはインフラを移行してウェブサイトを復旧したとし、利用者への影響は不明としている。警告には侵害されたサイトが列挙されているが、被害者数や損失額は現時点で確認されていない。 Blockaidは10月31日の最初の警告で、FlapとKintsuがフロントエンド攻撃の標的となった可能性を指摘。続く警告で新たに10ドメインを追加し、これらのサイトがStep Drainerを活発に配布していると説明した。追加されたのはStonkFun、Pickle Finance、Echelon、Origami Finance、FluxBeam、StakePoint、SupSwap、Longbow、Shprd Finance、APEX。FlapとKintsuを合わせて12サイトになる。Blockaidは追加サイトが同一のドレイナーを配布しているとし、調査を続けている。攻撃者の特定、被害者数、損失総額は明らかにしていない。 セキュリティ研究者のOgle氏は以前、注入されたスクリプトにより、ウォレット接続ボタンをクリックした訪問者が悪意あるドレイナーページへ転送されると警告。ウォレットを接続しないよう促した。初期警告のスクリーンショットにはstonkbrokers[.]cashも含まれていた。Blockaidの公開警告はFlapとKintsuを最初に挙げ、その後10ドメインに拡大したため、拡散したスクリーンショットのリストとは完全には一致しない。 Flapは公式サイトがDNSハイジャックを受けたと確認。公式ドメインが訪問者を不正な宛先へ転送しているとして、通知があるまでサイトへのアクセス、ウォレット接続、取引署名を控えるよう求めた。Flapは復旧作業中で、安全が確認でき次第改めて通知すると説明。中国語の告知では、プロジェクト公式SNSの情報を参照するよう利用者に指示した。DNSレコードはドメインからウェブサイトをホストするインフラへブラウザを誘導する。Flapの説明では、正規アドレス自体が不正サイトへ転送していた。誤綴りのアドレスや不審な宣伝リンクをクリックさせる必要はなく、通常のドメインに直接アクセスした利用者も警告の対象になる。Flapは侵害されたレコードのサービス提供者や、攻撃者のアクセス経路を明らかにしていない。 StonkFunは、Blockaidが警告したドメイン攻撃の標的になったことを確認。初期告知で、復旧作業中はサイトを避け、ウォレットを接続しないよう求めた。影響はウェブサイトのみで、オンチェーン機能は通常通り稼働していると説明。影響を受けた利用者の有無は不明とした。その後、サイトをオフラインにして新インフラへ移行したと更新。復旧後も、一部ネットワークが変更を認識するのに時間がかかるため、ウォレット接続前に1時間待つよう利用者に求めている。復旧告知でもオンチェーン業務は正常で、影響を受けた利用者は把握していないと強調した。2度の声明はいずれも損失見積もりや補償手続きに触れていない。 過去にも同様のサイト侵害で、DeFiチームは利用者のアクセス方法の変更を迫られている。2025年5月、crypto.newsは、Curve Financeが攻撃者に元のウェブサイトをウォレット窃取用のクローンサイトへリダイレクトされた後、新ドメインへ移行したと報じた。Curveは対応過程でセキュリティパートナーとドメインレジストラに連絡。レジストラの対応遅れが旧ドメインを放棄する決定の一因になったと説明した。その後、レジストラはCurve.fiを凍結し、悪意あるドレイナーを無効化。Curveは代替アクセス手段としてEthereum Name Serviceアドレスを導入する計画を後日確認した。