12 site-uri DeFi, afectate de atacul frontend Step Drainer

CoinDesk relatează că Blockaid a raportat că cel puțin 12 site-uri DeFi au fost vizate într-un atac de Halloween, iar kitul Step Drainer a apărut pe paginile afectate. Compania le-a îndemnat pe utilizatori să nu își conecteze portofelele și să nu semneze tranzacții. În alerta privind atacurile frontend, Blockaid a indicat Flap, Kintsu și alte zece site-uri. Flap a confirmat că DNS-ul i-a fost compromis, iar domeniul oficial a fost redirecționat către un site neautorizat. StonkFun și-a restaurat site-ul după migrarea infrastructurii și a precizat că nu se știe dacă vreun utilizator a fost afectat. Alertele enumeră site-urile compromise, dar numărul victimelor și eventualele pierderi rămân neconfirmate. Prima alertă Blockaid, din 31 octombrie, a identificat Flap și Kintsu ca posibile ținte ale unui atac frontend. Într-o alertă ulterioară, firma de securitate blockchain a adăugat alte zece domenii, precizând că aceste site-uri distribuie activ Step Drainer. Pe măsură ce situația a evoluat, echipele afectate au început să emită propriile avertizări. Flap a confirmat că utilizatorii care accesau adresa oficială erau redirecționați în altă parte. Ulterior, StonkFun a anunțat că site-ul a fost restaurat după ce a fost scos online și mutat pe o infrastructură nouă. Blockaid raportează că 12 site-uri DeFi sunt afectate de Step Drainer. În alerta inițială, compania a sfătuit utilizatorii să nu interacționeze cu Flap și Kintsu până la rezolvarea problemei. Lista extinsă include StonkFun, Pickle Finance, Echelon, Origami Finance și FluxBeam. Celelalte proiecte sunt StakePoint, SupSwap, Longbow, Shprd Finance și APEX. Împreună cu Flap și Kintsu, lista acoperă 12 site-uri diferite. Blockaid a declarat că noile site-uri adăugate oferă același drainer, iar investigația continuă. Alerta nu a confirmat identitatea atacatorilor și nici nu a dezvăluit numărul victimelor sau valoarea totală a pierderilor. Anterior, cercetătorul de securitate Ogle a avertizat că un script injectat îi redirecționează pe vizitatorii care apasă butonul de conectare a portofelului către o pagină malițioasă de drainer. În postarea sa, el i-a îndemnat pe utilizatori să evite conectarea portofelelor la aceste site-uri. Captura de ecran a avertismentului timpuriu care circula includea și stonkbrokers[.]cash. Alerta publică ulterioară a Blockaid a numit mai întâi Flap și Kintsu, apoi a fost extinsă cu alte zece domenii, ceea ce înseamnă că lista din captura de ecran nu este identică. Flap a confirmat că domeniul său oficial redirecționează vizitatorii. Site-ul oficial a fost victima unei deturnări DNS. Echipa a declarat că site-ul îi redirecționează pe vizitatori către o destinație neautorizată și a cerut utilizatorilor să nu acceseze site-ul, să nu își conecteze portofelele și să nu semneze tranzacții până la noi instrucțiuni. În momentul avertizării, Flap a precizat că lucrează la restabilirea site-ului și va anunța când utilizarea acestuia va fi sigură. Anunțul însoțitor, în limba chineză, le cerea utilizatorilor să se bazeze pe informațiile publicate pe conturile oficiale de social media ale proiectului. Înregistrările DNS direcționează browserele de la un domeniu către infrastructura care găzduiește site-ul. Potrivit descrierii Flap, adresa legitimă redirecționa vizitatorii către un site neautorizat. Avertismentul se adresează astfel celor care accesează direct domeniul cunoscut al proiectului, fără a fi nevoie să apese pe adrese scrise greșit sau pe linkuri promoționale nesolicitate. Anunțul Flap nu a precizat ce furnizor de servicii răspundea de înregistrările compromise și nici cum au obținut atacatorii accesul. StonkFun și-a restaurat site-ul după migrarea infrastructurii. Proiectul a confirmat că site-ul a fost ținta unui atac asupra domeniului semnalat de Blockaid. Primul anunț i-a îndemnat pe utilizatori să evite site-ul și să nu își conecteze portofelele cât timp echipa lucrează la recuperare. Incidentul a afectat doar site-ul, funcțiile onchain rămânând complet operaționale. Anunțul a menționat că nu se știe deocamdată cine, dacă cineva, a fost afectat. Într-o actualizare ulterioară, StonkFun a declarat că site-ul a fost scos offline și mutat pe o infrastructură nouă. Deși site-ul a fost restaurat, echipa le cere utilizatorilor să aștepte o oră înainte de a-și conecta portofelele, deoarece unele rețele pot avea nevoie de acest timp pentru a recunoaște schimbarea. Anunțul de recuperare a subliniat din nou că operațiunile onchain funcționează normal și că echipa nu are cunoștință de utilizatori afectați. Niciuna dintre cele două declarații ale StonkFun nu a oferit o estimare a pierderilor sau nu a anunțat un proces de compensare. Atacuri DNS anterioare au determinat proiectul să își migreze domeniul. Incidente similare au forțat echipele DeFi să schimbe modul în care utilizatorii accesează serviciile. În mai 2025, crypto.news a relatat că Curve Finance a migrat pe un domeniu nou după ce atacatorii au redirecționat site-ul original către un site clonat conceput să fure portofele. Curve a contactat partenerii de securitate și registrarul de domenii în timpul răspunsului. Echipa a declarat că răspunsul întârziat al registrarului a fost unul dintre motivele deciziei de a abandona vechiul domeniu. Ulterior, registrarul a înghețat Curve.fi, dezactivând drainerul malițios. Curve a confirmat apoi că intenționează să introducă o adresă Ethereum Name Service ca opțiune alternativă de acces.