أفاد Blockaid أن ما لا يقل عن 12 موقعًا DeFi تعرضت لهجوم بمناسبة عيد القديسين، حيث ظهرت أدوات Step Drainer على الصفحات المتأثرة، وحذرت الفريق المستخدمين من توصيل محافظهم أو التوقيع على المعاملات.
حذّرت Blockaid في تنبيهها حول الهجمات على الواجهة الأمامية من Flap و Kintsu و 10 مواقع أخرى.
- تأكد Flap أن DNS الخاص بها تم اختراقه، وأُعاد توجيه النطاق الرسمي إلى موقع غير مصرح به.
استعاد StonkFun موقعه بعد نقل البنية التحتية، وأفاد بأنه غير متأكد مما إذا كان أي مستخدمين قد تأثروا.
تسرد هذه التنبيهات المواقع التي تم اختراقها، لكن عدد الضحايا وأي خسائر لم تُحدد بعد.
ستُدرج أول تنبيه من Blockaid Flap و Kintsu كأهداف محتملة لهجوم أمامي في 31 أكتوبر. وفي تنبيه لاحق، أضافت شركة أمان البلوكشين هذه 10 نطاقات إضافية، قائلة إن هذه المواقع تقدم نشطًا Step Drainer.
مع تطور الأحداث، بدأت الفرق المتضررة أيضًا في نشر تحذيراتها الخاصة. تأكيد Flap أن المستخدمين الذين يزورون عنوانه الرسمي يتم إعادة توجيههم إلى أماكن أخرى؛ ثم أعلنت StonkFun أن الموقع استُعاد بعد إيقافه ونقله إلى بنية تحتية جديدة.
يُشير Blockaid إلى ظهور Step Drainer على 12 موقعًا DeFi
في التنبيه الأولي، طلبت Blockaid من المستخدمين عدم التفاعل مع Flap و Kintsu حتى يتم حل المشكلة. وتشمل قائمتها الموسعة StonkFun و Pickle Finance و Echelon و Origami Finance و FluxBeam.
المشاريع الأخرى هي StakePoint و SupSwap و Longbow و Shprd Finance و APEX. مع Flap و Kintsu، تغطي هذه القائمة ما مجموعه 12 موقعًا مختلفًا.
أشار Blockaid إلى أن المواقع الجديدة جميعها تقدم نفس أداة السرقة، وذكر أن التحقيق لا يزال جاريًا. لم تؤكد التنبيهات هوية المهاجمين، ولا كشفت عن عدد الضحايا أو مجموع الخسائر.
سابقًا، نشر الباحث الأمني Ogle تحذيرًا يفيد بأن نصًا مُحقَنًا يُعيد توجيه الزوار الذين ينقرون على زر توصيل的钱包 إلى صفحة سرقة ضارة. وحثّ في منشوره المستخدمين على تجنب توصيل محافظهم بهذه المواقع.
تضمنت لقطة الشاشة المُتداولة للتحذير المبكر أيضًا stonkbrokers[.]cash. وذكرت تحذيرات Blockaid العامة لاحقًا أولاً Flap و Kintsu، ثم وسّعتها لاحقًا لتشمل 10 نطاقات إضافية، لذا فإن لقطات الشاشة المُتداولة لا تحتوي جميعها على نفس القائمة بالضبط.
Flap تؤكد أن نطاقها الرسمي سيُعيد توجيه الزوار
تم تأكيد Flap أن موقعها الإلكتروني تعرض لاختراق DNS. أفاد الفريق أن الموقع يقوم بإعادة توجيه الزوار إلى وجهة غير مصرح بها، وطلب من المستخدمين عدم زيارة الموقع أو توصيل المحافظ أو توقيع المعاملات حتى إشعار آخر.
عند إصدار التحذير، أشار Flap إلى أنه يبذل جهودًا لاستعادة الموقع، وسيُبلغ المستخدمين مرة أخرى عندما يكون من الآمن استخدامه. وطالبت الإعلانات الصينية المرافقة المستخدمين بالاعتماد على المعلومات المنشورة من قبل الحسابات الرسمية للمشروع على وسائل التواصل الاجتماعي.
تُشرف سجلات DNS على توجيه المتصفح من النطاق إلى البنية التحتية التي تستضيف الموقع. وفقًا لوصف Flap لهذا الحدث، كان العنوان القانوني نفسه يوجه الزوار إلى مواقع غير مصرح بها.
لذلك، فإن هذا التحذير موجه للأشخاص الذين يزورون النطاقات المعروفة للمشروع مباشرة، دون الحاجة إلى النقر على عناوين مكتوبة بشكل خاطئ أو روابط ترويجية غير مرغوب فيها. ولم توضح إعلانات Flap مزود الخدمة المسؤول عن السجلات المتضررة، ولا شرحت كيف حصل المهاجمون على صلاحيات الوصول.
StonkFun استعاد موقعه بعد نقل البنية التحتية
تم تأكيد StonkFun أن موقعها الإلكتروني تعرض لهجوم من قبل Blockaid على النطاق. وقد طالبت أول إعلاناتها المستخدمين بتجنب الموقع وعدم ربط محافظهم أثناء قيام الفريق بالاستعادة.
أشار المشروع إلى أن الحدث أثر على الموقع الإلكتروني، بينما تعمل الوظائف على السلسلة بشكل طبيعي. وأفادت الإعلانات بأنه لا يُعرف حاليًا من تأثر.
في التحديثات القادمة، أفاد StonkFun بأن الموقع تم إيقافه ونقله إلى بنية تحتية جديدة. على الرغم من استعادة الموقع، لا يزال الفريق يطلب من المستخدمين الانتظار لمدة ساعة قبل توصيل المحافظ، حيث قد تحتاج بعض الشبكات هذا الوقت لتحديد هذا التغيير.
أعاد إعلان الاستعادة التأكيد على أن العمليات على السلسلة تعمل بشكل طبيعي، كما أن الفريق لا يعرف إذا كان أي مستخدم قد تأثر. لم تقدم كلا البيانين الصادرين عن StonkFun أي تقدير للخسائر، ولا أعلنتا عن أي إجراء للتعويض.
هجمات DNS السابقة دفعت المشروع إلى نقل نطاقه
كما أجبرت اختراقات مواقع مشابهة في السابق فرق DeFi على تغيير طريقة وصول المستخدمين إلى الخدمات. أفاد موقع crypto.news في مايو 2025 أن Curve Finance انتقلت إلى نطاق جديد بعد أن قام المهاجمون بإعادة توجيه الموقع الأصلي إلى موقع مزيف يسرق المحافظ.
اتصلت Curve بشركاء أمنيين ومشغل نطاق أثناء عملية الاستجابة. وأفاد الفريق أن التأخير في استجابة مشغل النطاق كان أحد الأسباب التي دفعتهم للاستغناء عن النطاق القديم.
بعد ذلك، قام مُسجّل النطاق بتعليق Curve.fi، مما أدى إلى تعطيل drainer الضار. وتأكّد Curve لاحقًا أن الخطة تشمل إدخال عنوان خدمة أسماء Ethereum كخيار وصول إضافي.