Step Drainer atinge 12 sites DeFi em ataque de frontend

O CoinDesk informa que a Blockaid relatou um ataque de Halloween contra ao menos 12 sites DeFi. O kit Step Drainer apareceu nas páginas afetadas, e a equipe alertou usuários a não conectar carteiras nem assinar transações. No primeiro aviso, a Blockaid apontou Flap e Kintsu como alvos potenciais de um ataque de frontend em 31 de outubro. Em alerta posterior, a empresa de segurança blockchain listou mais 10 domínios e afirmou que os sites distribuíam ativamente o Step Drainer. A Flap confirmou comprometimento de DNS e redirecionamento do domínio oficial para um site não autorizado. A StonkFun restaurou o site após migrar a infraestrutura e disse não saber se houve usuários afetados. Os alertas relacionam os sites comprometidos; o número de vítimas e eventuais perdas seguem não confirmados. A lista ampliada inclui StonkFun, Pickle Finance, Echelon, Origami Finance e FluxBeam. Os demais projetos são StakePoint, SupSwap, Longbow, Shprd Finance e APEX. Com Flap e Kintsu, a relação chega a 12 sites. A Blockaid afirmou que os sites recém-incluídos ofereciam o mesmo drainer e que a investigação segue em curso. O alerta não confirmou a identidade dos atacantes nem divulgou o número de vítimas ou o total de perdas. Antes dos alertas da Blockaid, o pesquisador de segurança Ogle avisou que um script injetado redirecionava visitantes que clicassem no botão de conectar carteira para uma página maliciosa do drainer. Em publicação, pediu que usuários evitassem conectar suas carteiras a esses sites. A captura de tela do aviso inicial que circulou também incluía stonkbrokers[.]cash. O alerta público posterior da Blockaid nomeou primeiro Flap e Kintsu e depois ampliou a lista para 10 domínios adicionais, o que indica que a imagem não traz exatamente a mesma relação. A Flap confirmou que seu site oficial sofreu sequestro de DNS. A equipe afirmou que o endereço redirecionava visitantes para um destino não autorizado e pediu que ninguém acessasse o site, conectasse carteiras ou assinasse transações até novo aviso. O comunicado diz que a equipe trabalha para restaurar a página e avisará quando o uso for seguro. Um anúncio em chinês publicado junto orientou usuários a acompanhar as informações nas contas oficiais do projeto nas redes sociais. Registros DNS levam navegadores de um domínio à infraestrutura que hospeda o site. Segundo a descrição da Flap, o endereço legítimo direcionava visitantes a um site não autorizado. O aviso atinge, assim, quem acessa diretamente o domínio conhecido do projeto, sem precisar clicar em endereços com erros de grafia ou links promocionais não solicitados. O comunicado da Flap não informou qual provedor de serviços era responsável pelos registros comprometidos nem explicou como os atacantes obtiveram acesso. A StonkFun confirmou que seu site foi alvo de um ataque de domínio sinalizado pela Blockaid. No primeiro comunicado, pediu que usuários evitassem o site e não conectassem carteiras enquanto a equipe trabalhava na recuperação. O projeto afirmou que o incidente afetou apenas o site e que as funções on-chain seguem totalmente operacionais. O texto disse que não se sabia quem, se alguém, havia sido impactado. Em atualização posterior, a StonkFun informou que tirou o site do ar e migrou para nova infraestrutura. Com a restauração, a equipe pediu que usuários esperassem uma hora antes de conectar carteiras, porque algumas redes podem levar esse tempo para reconhecer a mudança. O anúncio de recuperação voltou a destacar que as operações on-chain funcionam normalmente e que a equipe não tem conhecimento de usuários afetados. Nenhuma das duas declarações estimou perdas ou anunciou processo de compensação. Ataques de DNS anteriores já haviam levado projetos DeFi a migrar de domínio. Violações semelhantes de sites forçaram equipes DeFi a mudar a forma como usuários acessam seus serviços. Em maio de 2025, o crypto.news noticiou que a Curve Finance migrou para um novo domínio depois que atacantes redirecionaram o site original para uma página clonada destinada a roubar carteiras. A Curve contatou parceiros de segurança e o registrador de domínio durante a resposta. A equipe afirmou que a demora do registrador foi um dos motivos para abandonar o domínio antigo. Na sequência, o registrador congelou o Curve.fi e desativou o drainer malicioso. A Curve confirmou depois que planeja adotar um endereço do Ethereum Name Service como opção alternativa de acesso.