Blockaid indicó que al menos 12 sitios DeFi fueron atacados durante una campaña de Halloween, en la que las páginas afectadas mostraron el kit Step Drainer; el equipo advirtió a los usuarios que no conecten sus billeteras ni firmen transacciones.
Blockaid mencionó a Flap, Kintsu y otros 10 sitios web en una alerta sobre ataques frontales.
Flap confirma que su DNS fue secuestrado y su dominio oficial fue redirigido a un sitio no autorizado.
StonkFun recuperó su sitio web tras la migración de la infraestructura y indicó que no está claro si algún usuario ha sido afectado.
These alerts list compromised websites, but the number of victims and any losses remain unconfirmed.
La primera alerta de Blockaid identificó a Flap y Kintsu como objetivos potenciales de un ataque frontend el 31 de octubre. En una alerta posterior, esta empresa de seguridad blockchain enumeró otros 10 dominios, indicando que estos sitios web están activamente ofreciendo Step Drainer.
A medida que el evento avanzaba, los equipos afectados también comenzaron a publicar sus propias advertencias. Flap confirmó que los usuarios que accedían a su dirección oficial eran redirigidos a otro lugar; posteriormente, StonkFun indicó que el sitio web se había restaurado tras desconectarlo y migrarlo a una nueva infraestructura.
Blockaid informa que 12 sitios DeFi presentan Step Drainer
En la alerta inicial, Blockaid solicitó a los usuarios que no interactuaran con Flap y Kintsu hasta que se resolviera el problema. Su lista extendida incluye StonkFun, Pickle Finance, Echelon, Origami Finance y FluxBeam.
Los demás proyectos son StakePoint, SupSwap, Longbow, Shprd Finance y APEX. Junto con Flap y Kintsu, esta lista cubre un total de 12 sitios web diferentes.
Blockaid indicó que los nuevos sitios web ofrecen el mismo drainer y que la investigación continúa. La alerta no confirmó la identidad del atacante, ni reveló el número de víctimas ni el monto total de las pérdidas.
Anteriormente, el investigador de seguridad Ogle publicó una advertencia indicando que un script inyectado redirigía a los visitantes que hacían clic en el botón de conexión de billetera a una página maliciosa de drenaje. En su publicación, instó a los usuarios a evitar conectar sus billeteras a estos sitios web.
La captura de pantalla difundida que contenía la advertencia temprana también incluía stonkbrokers[.]cash. La alerta pública posterior de Blockaid primero mencionó a Flap y Kintsu, y luego amplió por separado a otros 10 dominios, por lo que las capturas de pantalla difundidas no contienen todas la misma lista.
Flap confirma que su dominio oficial redirigirá a los visitantes
Flap confirmó que su sitio web fue objeto de un ataque de secuestro de DNS. El equipo indicó que el sitio redirige a los visitantes a un destino no autorizado y pidió a los usuarios que, hasta nuevo aviso, no accedan, conecten sus billeteras ni firmen transacciones.
Al emitir la advertencia, Flap indicó que está trabajando para restaurar el sitio web y notificará por separado cuando sea seguro utilizarlo. El anuncio en chino asociado solicita a los usuarios que se atengan a la información publicada por las cuentas oficiales de redes sociales del proyecto.
Los registros DNS son responsables de redirigir al navegador desde el dominio hacia la infraestructura que aloja el sitio web. Según la descripción de Flap sobre este evento, la dirección legítima en sí misma estaba dirigiendo a los visitantes hacia sitios web no autorizados.
Por lo tanto, esta advertencia se dirige a quienes acceden directamente al dominio familiar del proyecto, sin necesidad de hacer clic en direcciones con errores ortográficos o en enlaces promocionales no solicitados. El anuncio de Flap no especifica qué proveedor de servicios es responsable de los registros comprometidos ni explica cómo los atacantes obtuvieron acceso.
StonkFun recupera su sitio web tras la migración de la infraestructura
StonkFun confirma que su sitio web sufrió un ataque de dominio marcado por Blockaid. Su primer anuncio pide a los usuarios que eviten el sitio y que no conecten sus billeteras mientras el equipo realiza la recuperación.
El proyecto indica que el incidente afectó al sitio web, mientras que las funciones en la cadena funcionan normalmente. El anuncio señala que actualmente no se conoce quién ha sido afectado.
En actualizaciones posteriores, StonkFun indicó que ha retirado el sitio web y lo ha migrado a una nueva infraestructura. Aunque el sitio ya se ha restaurado, el equipo solicita a los usuarios que esperen una hora antes de conectar su billetera, ya que algunos redes podrían necesitar este tiempo para reconocer el cambio.
El anuncio de recuperación vuelve a enfatizar que las operaciones en la cadena funcionan normalmente y que el equipo no sabe si algún usuario ha sido afectado. Ninguna de las dos declaraciones de StonkFun proporciona una estimación de pérdidas ni anuncia un proceso de compensación.
Anteriores ataques DNS obligaron al proyecto a cambiar de dominio.
Invasiones similares de sitios web han obligado previamente a equipos DeFi a cambiar la forma en que los usuarios acceden a sus servicios. Crypto.news informó en mayo de 2025 que Curve Finance migró a un nuevo dominio después de que los atacantes redirigieran su sitio web original a una página clonada diseñada para robar billeteras.
Curve se puso en contacto con socios de seguridad y el registrador de dominios durante el proceso de respuesta. El equipo indicó que el retraso en la respuesta del registrador fue uno de los factores que influyeron en su decisión de abandonar el antiguo dominio.
Posteriormente, el registrador congeló Curve.fi, deshabilitando así al drainer malicioso. Curve confirmó posteriormente que planea introducir una dirección de Ethereum Name Service como otra opción de acceso.