12 trang web DeFi bị tấn công frontend bằng Step Drainer

CoinDesk dẫn báo cáo của Blockaid cho biết ít nhất 12 trang web DeFi bị nhắm mục tiêu trong đợt tấn công dịp Halloween. Bộ công cụ Step Drainer xuất hiện trên các trang bị ảnh hưởng; Blockaid khuyến cáo người dùng không kết nối ví hoặc ký giao dịch. Công ty an ninh chuỗi khối này đã gắn cờ Flap, Kintsu và 10 trang web khác trong cảnh báo về tấn công frontend. Flap xác nhận DNS bị xâm phạm và tên miền chính thức bị chuyển hướng sang một trang web không được phép. StonkFun đã khôi phục trang web sau khi chuyển hạ tầng và cho biết chưa rõ có người dùng nào bị ảnh hưởng hay không. Các cảnh báo nêu tên những trang bị xâm phạm; số nạn nhân và thiệt hại liên quan vẫn chưa được xác nhận. Trong cảnh báo đầu tiên ngày 31/10, Blockaid xác định Flap và Kintsu là mục tiêu tiềm năng của một vụ tấn công frontend. Ở cảnh báo tiếp theo, công ty bổ sung 10 tên miền và nói rằng các trang này đang tích cực phát tán Step Drainer. Khi sự việc lan rộng, các nhóm bị ảnh hưởng bắt đầu đưa ra cảnh báo riêng. Flap xác nhận người truy cập địa chỉ chính thức đang bị chuyển hướng sang nơi khác; StonkFun sau đó cho biết đã đưa trang web xuống, chuyển sang hạ tầng mới rồi khôi phục. Blockaid cho biết 12 trang web DeFi bị ảnh hưởng bởi Step Drainer. Cảnh báo ban đầu khuyến cáo người dùng không tương tác với Flap và Kintsu cho đến khi sự cố được xử lý. Danh sách mở rộng gồm StonkFun, Pickle Finance, Echelon, Origami Finance, FluxBeam; các dự án còn lại là StakePoint, SupSwap, Longbow, Shprd Finance và APEX. Cùng với Flap và Kintsu, danh sách này bao gồm 12 trang web. Blockaid nói các trang mới được thêm đều phát tán cùng một loại drainer và cuộc điều tra vẫn đang tiếp diễn. Cảnh báo chưa xác định danh tính kẻ tấn công, số nạn nhân hay tổng thiệt hại. Trước đó, nhà nghiên cứu bảo mật Ogle cảnh báo một đoạn script bị chèn sẽ chuyển người truy cập bấm nút kết nối ví sang trang drainer độc hại. Bài đăng của ông kêu gọi người dùng tránh kết nối ví với các trang này. Ảnh chụp màn hình cảnh báo sớm được lan truyền có cả stonkbrokers[.]cash. Cảnh báo công khai sau đó của Blockaid ban đầu nêu Flap và Kintsu, rồi mở rộng thêm 10 tên miền; danh sách trong ảnh chụp màn hình không trùng hoàn toàn. Flap xác nhận tên miền chính thức bị chiếm quyền điều khiển DNS. Nhóm cho biết trang web đang chuyển người truy cập đến một đích không được phép và đề nghị người dùng không truy cập, không kết nối ví, không ký giao dịch cho đến khi có thông báo tiếp theo. Khi đưa ra cảnh báo, Flap nói đang khôi phục trang web và sẽ thông báo khi có thể sử dụng an toàn. Thông báo tiếng Trung kèm theo yêu cầu người dùng dựa vào thông tin từ các tài khoản mạng xã hội chính thức của dự án. Bản ghi DNS điều hướng trình duyệt từ một tên miền đến hạ tầng lưu trữ trang web. Theo mô tả của Flap, chính địa chỉ hợp pháp đã dẫn người truy cập đến một trang không được phép. Cảnh báo này nhắm đến những người truy cập trực tiếp tên miền quen thuộc của dự án, không cần bấm vào địa chỉ gõ sai hay liên kết quảng cáo không mong muốn. Thông báo của Flap không nêu nhà cung cấp dịch vụ nào chịu trách nhiệm về các bản ghi bị xâm phạm, cũng không giải thích cách kẻ tấn công giành được quyền truy cập. StonkFun xác nhận trang web của mình là mục tiêu của một vụ tấn công tên miền mà Blockaid đã gắn cờ. Thông báo đầu tiên kêu gọi người dùng tránh trang web và không kết nối ví trong lúc nhóm khắc phục. Dự án nói sự cố chỉ ảnh hưởng đến trang web; các chức năng trên chuỗi vẫn hoạt động đầy đủ. Thông báo cho biết hiện chưa rõ ai bị ảnh hưởng. Trong cập nhật sau, StonkFun cho biết đã đưa trang web xuống và chuyển sang hạ tầng mới. Trang web đã được khôi phục, nhóm vẫn đề nghị người dùng chờ một giờ trước khi kết nối ví vì một số mạng có thể cần khoảng thời gian này để nhận diện thay đổi. Thông báo khôi phục nhấn mạnh hoạt động trên chuỗi vẫn bình thường và nhóm chưa ghi nhận người dùng nào bị ảnh hưởng. Cả hai tuyên bố của StonkFun đều không đưa ra ước tính thiệt hại hay công bố quy trình bồi thường. Các vụ tấn công DNS trước đây từng buộc dự án phải chuyển tên miền. Các vụ xâm phạm trang web tương tự trước đây từng buộc các nhóm DeFi thay đổi cách người dùng truy cập dịch vụ. Tháng 5/2025, crypto.news đưa tin Curve Finance chuyển sang tên miền mới sau khi kẻ tấn công chuyển hướng trang web gốc đến một trang sao chép nhằm đánh cắp ví. Curve đã liên hệ các đối tác bảo mật và nhà đăng ký tên miền trong quá trình ứng phó. Nhóm cho biết phản hồi chậm của nhà đăng ký là một trong những lý do họ quyết định từ bỏ tên miền cũ. Sau đó, nhà đăng ký đóng băng Curve.fi, vô hiệu hóa drainer độc hại. Curve sau đó xác nhận kế hoạch đưa vào địa chỉ Ethereum Name Service như một lựa chọn truy cập thay thế.