12 เว็บไซต์ DeFi ถูกโจมตีฟรอนต์เอนด์ด้วย Step Drainer

CoinDesk รายงานโดยอ้างข้อมูลจาก Blockaid ว่า มีเว็บไซต์ DeFi อย่างน้อย 12 แห่งตกเป็นเป้าหมายในการโจมตีช่วงฮาโลวีน โดยหน้าเว็บที่ได้รับผลกระทบพบชุดเครื่องมือ Step Drainer ทีมงานเตือนผู้ใช้ไม่ให้เชื่อมต่อกระเป๋าเงินหรือลงนามในธุรกรรม Blockaid ระบุชื่อ Flap, Kintsu และอีก 10 เว็บไซต์ในคำเตือนเกี่ยวกับการโจมตีฟรอนต์เอนด์ Flap ยืนยันว่า DNS ของตนถูกบุกรุก และโดเมนทางการถูกเปลี่ยนเส้นทางไปยังเว็บไซต์ที่ไม่ได้รับอนุญาต ขณะที่ StonkFun กลับมาเปิดเว็บไซต์ได้แล้วหลังย้ายโครงสร้างพื้นฐาน และระบุว่ายังไม่ชัดเจนว่ามีผู้ใช้ได้รับผลกระทบหรือไม่ คำเตือนเหล่านี้ระบุรายชื่อเว็บไซต์ที่ถูกบุกรุก แต่จำนวนผู้เสียหายและความสูญเสียที่เกี่ยวข้องยังไม่ได้รับการยืนยัน คำเตือนแรกของ Blockaid เมื่อวันที่ 31 ตุลาคม ระบุว่า Flap และ Kintsu เป็นเป้าหมายที่อาจถูกโจมตีฟรอนต์เอนด์ ต่อมาในคำเตือนอีกฉบับ บริษัทความปลอดภัยบล็อกเชนรายนี้ได้เพิ่มโดเมนอีก 10 แห่ง โดยระบุว่าเว็บไซต์เหล่านี้กำลังเผยแพร่ Step Drainer อยู่ ทีมที่เกี่ยวข้องเริ่มออกคำเตือนของตนเองเมื่อสถานการณ์คลี่คลาย Flap ยืนยันว่าผู้ใช้ที่เข้าถึงที่อยู่ทางการถูกเปลี่ยนเส้นทางไปที่อื่น ต่อมา StonkFun ระบุว่าเว็บไซต์กลับมาใช้งานได้แล้ว หลังนำออฟไลน์และย้ายไปยังโครงสร้างพื้นฐานใหม่ Blockaid รายงานว่ามีเว็บไซต์ DeFi 12 แห่งได้รับผลกระทบจาก Step Drainer ในคำเตือนแรก Blockaid แนะนำผู้ใช้ไม่ให้โต้ตอบกับ Flap และ Kintsu จนกว่าปัญหาจะได้รับการแก้ไข รายชื่อที่ขยายเพิ่มประกอบด้วย StonkFun, Pickle Finance, Echelon, Origami Finance และ FluxBeam ส่วนโครงการที่เหลือคือ StakePoint, SupSwap, Longbow, Shprd Finance และ APEX เมื่อรวมกับ Flap และ Kintsu รายชื่อนี้ครอบคลุมเว็บไซต์ 12 แห่ง Blockaid ระบุว่าเว็บไซต์ที่เพิ่มใหม่ทั้งหมดเสนอตัวดูดเงินตัวเดียวกัน และการสอบสวนยังดำเนินอยู่ คำเตือนไม่ได้ยืนยันตัวตนของผู้โจมตี หรือเปิดเผยจำนวนผู้เสียหายและมูลค่าความสูญเสียรวม ก่อนหน้านี้ นักวิจัยด้านความปลอดภัย Ogle ออกคำเตือนว่าสคริปต์ที่ถูกฝังไว้จะเปลี่ยนเส้นทางผู้เข้าชมที่คลิกปุ่มเชื่อมต่อกระเป๋าเงินไปยังหน้าเว็บดรีนเนอร์อันตราย ในโพสต์ของเขา เขาเรียกร้องให้ผู้ใช้หลีกเลี่ยงการเชื่อมต่อกระเป๋าเงินกับเว็บไซต์เหล่านี้ ภาพหน้าจอคำเตือนระยะแรกที่เผยแพร่ยังรวมถึง stonkbrokers[.]cash คำเตือนสาธารณะฉบับต่อมาของ Blockaid ระบุชื่อ Flap และ Kintsu ก่อน จากนั้นจึงขยายไปยังโดเมนอีก 10 แห่ง ซึ่งหมายความว่าภาพหน้าจอที่เผยแพร่ไม่มีรายชื่อเดียวกันทุกประการ Flap ยืนยันว่าโดเมนทางการของตนเปลี่ยนเส้นทางผู้เข้าชม ทีมงานระบุว่าเว็บไซต์กำลังส่งผู้เยี่ยมชมไปยังปลายทางที่ไม่ได้รับอนุญาต และขอให้ผู้ใช้หลีกเลี่ยงการเข้าถึงเว็บไซต์ เชื่อมต่อกระเป๋าเงิน หรือลงนามในธุรกรรมจนกว่าจะมีประกาศเพิ่มเติม ขณะออกคำเตือน Flap ระบุว่ากำลังดำเนินการกู้คืนเว็บไซต์ และจะแจ้งให้ทราบอีกครั้งเมื่อสามารถใช้งานได้อย่างปลอดภัย ประกาศภาษาจีนที่แนบมาสั่งให้ผู้ใช้อ้างอิงข้อมูลจากบัญชีโซเชียลมีเดียทางการของโครงการ ระเบียน DNS ทำหน้าที่นำเบราว์เซอร์จากโดเมนไปยังโครงสร้างพื้นฐานที่โฮสต์เว็บไซต์ จากคำอธิบายเหตุการณ์ของ Flap ที่อยู่ที่ถูกต้องตามกฎหมายเองเป็นตัวนำผู้เยี่ยมชมไปยังเว็บไซต์ที่ไม่ได้รับอนุญาต คำเตือนนี้จึงมุ่งเป้าไปที่ผู้ที่เข้าถึงโดเมนที่คุ้นเคยของโครงการโดยตรง โดยไม่ต้องคลิกที่อยู่ที่สะกดผิดหรือลิงก์โปรโมชันที่ไม่ได้ร้องขอ ประกาศของ Flap ไม่ได้ระบุผู้ให้บริการที่รับผิดชอบระเบียนที่ถูกบุกรุก หรืออธิบายว่าผู้โจมตีเข้าถึงได้อย่างไร StonkFun ยืนยันว่าเว็บไซต์ของตนตกเป็นเป้าหมายของการโจมตีโดเมนที่ Blockaid ตรวจพบ ประกาศแรกเรียกร้องให้ผู้ใช้หลีกเลี่ยงเว็บไซต์และไม่เชื่อมต่อกระเป๋าเงินระหว่างที่ทีมงานกู้คืนระบบ โครงการระบุว่าเหตุการณ์กระทบเฉพาะเว็บไซต์ ขณะที่ฟังก์ชันบนเชนยังทำงานได้เต็มรูปแบบ ประกาศระบุว่ายังไม่ทราบในขณะนี้ว่ามีใครได้รับผลกระทบหรือไม่ ในการอัปเดตครั้งถัดมา StonkFun ระบุว่าเว็บไซต์ถูกนำออฟไลน์และย้ายไปยังโครงสร้างพื้นฐานใหม่ แม้เว็บไซต์จะกลับมาใช้งานได้แล้ว ทีมงานยังขอให้ผู้ใช้รอหนึ่งชั่วโมงก่อนเชื่อมต่อกระเป๋าเงิน เนื่องจากบางเครือข่ายอาจต้องใช้เวลานานขนาดนี้ในการรับรู้การเปลี่ยนแปลง ประกาศกู้คืนย้ำว่าการดำเนินงานบนเชนเป็นปกติ และทีมงานไม่ทราบว่ามีผู้ใช้ได้รับผลกระทบ ประกาศทั้งสองฉบับของ StonkFun ไม่ได้ประเมินความสูญเสียหรือประกาศกระบวนการชดเชย การโจมตี DNS ก่อนหน้านี้เคยผลักดันให้โครงการย้ายโดเมน การบุกรุกเว็บไซต์ในลักษณะคล้ายกันเคยบังคับให้ทีม DeFi เปลี่ยนวิธีที่ผู้ใช้เข้าถึงบริการ ในเดือนพฤษภาคม 2025 crypto.news รายงานว่า Curve Finance ย้ายไปยังโดเมนใหม่ หลังจากผู้โจมตีเปลี่ยนเส้นทางเว็บไซต์เดิมไปยังเว็บไซต์โคลนที่ออกแบบมาเพื่อขโมยกระเป๋าเงิน Curve ติดต่อพันธมิตรด้านความปลอดภัยและผู้รับจดทะเบียนโดเมนระหว่างการรับมือ ทีมงานระบุว่าการตอบสนองที่ล่าช้าของผู้รับจดทะเบียนเป็นหนึ่งในเหตุผลที่ตัดสินใจทิ้งโดเมนเดิม ต่อมาผู้รับจดทะเบียนได้ระงับ Curve.fi ซึ่งปิดการทำงานของตัวดูดเงินอันตราย Curve ยืนยันในภายหลังว่าแผนจะแนะนำที่อยู่ Ethereum Name Service เป็นทางเลือกในการเข้าถึง