Sinabi ng Blockaid na hindi bababa sa 12 DeFi website ang nasakop ng isang Halloween attack, kung saan lumitaw ang Step Drainer toolkit sa mga nasakop na pahina, at nagbabaalang ang team na huwag magkonekta ng wallet o mag-sign ng transaksyon.
Nilista ng Blockaid ang Flap, Kintsu, at 10 pa pang website sa alerta tungkol sa frontend attack.
- Binigkas ng Flap na nasakop ang kanilang DNS, at ang opisyal na domain ay dinirekta sa isang hindi awtorisadong website.
- Binawi na ng StonkFun ang website nito pagkatapos ng pagmigrasyon ng infrastraktura at sinabi nito na hindi ito sigurado kung may mga user na naapektuhan.
- Ang mga alertong ito ay listahan ng mga website na na-hack, ngunit ang bilang ng mga biktima at anumang pagkawala ay hindi pa natutukoy.
Ang unang alerto ni Blockaid ay listahan ang Flap at Kintsu bilang mga layunin ng potensyal na front-end attack noong Oktubre 31. Sa isang susunod na alerto, idinagdag ng blockchain security company ang 10 karagdagang domain, na sinasabing aktibong nag-aalok ng Step Drainer.
Habang patuloy ang pangyayari, ang mga apektadong team ay nagsimulang maglabas ng kanilang sariling mga babala. Tiniyak ni Flap na ang mga gumagamit na nagpapunta sa kanilang opisyal na address ay idinudulot sa ibang lugar; pagkatapos, sinabi ni StonkFun na nabalik na ang website pagkatapos itong i-offline at ilipat sa bagong imprastruktura.
Sinabi ng Blockaid na may 12 DeFi website na may Step Drainer
Sa unang alerto, hinihingi ng Blockaid na huwag mag-interactive ang mga user sa Flap at Kintsu hanggang sa malutas ang problema. Kasama sa kanilang extended list ang StonkFun, Pickle Finance, Echelon, Origami Finance, at FluxBeam.
Ang mga proyektong iba pa ay StakePoint, SupSwap, Longbow, Shprd Finance, at APEX. Kasama ang Flap at Kintsu, ang listahang ito ay sumasakop sa 12 iba’t ibang website.
Sinabi ng Blockaid na ang lahat ng bagong website ay nag-aalok ng parehong drainer, at ang imbestigasyon ay patuloy. Hindi kinumpirma ng alerto ang pagkakakilanlan ng tagapag-atake, o ipinahayag ang bilang ng mga biktima o kabuuang halaga ng pagkawala.
Bago, ang security researcher na si Ogle ay naglabas ng isang babala na may isang injected script na nagdadala sa mga bisita na naka-click sa button ng wallet connection patungo sa isang masasamang drainer page. Sa kanyang post, tinulungan niya ang mga user na iwasan ang pagkonekta ng kanilang wallet sa mga website na ito.
Ang nai-post na screenshot ng maagang babala ay naglalaman din ng stonkbrokers[.]cash. Ang pampublikong babala ng Blockaid ay unang tinukoy ang Flap at Kintsu, at pagkatapos ay dinagdagan nang karagdagang 10 na domain, kaya hindi lahat ng nai-post na screenshot ay naglalaman ng parehong listahan.
Ang Flap ay nagpapatotoo na ang opisyal na domain nito ay magreredirect sa mga bisita
Napatunayan ng Flap na ang kanilang opisyal na website ay na-hijack sa pamamagitan ng DNS. Binigkas ng team na ang website ay nagreroute sa mga bisita patungo sa isang hindi awtorisadong destinasyon, at humihingi na huwag mag-access, mag-connect ng wallet, o mag-sign ng transaksyon hanggang sa may karagdagang abiso.
Sa paglabas ng babala, sinabi ni Flap na sila ay nagpapakapag-ayos ng website at magpapahayag nang hiwalay kapag ito ay maaari nang gamitin nang ligtas. Ang kasamang pahayag sa wikang Tsino ay hinihingi mula sa mga user na sundin ang impormasyon na ipinapahayag ng opisyal na social media account ng proyekto.
Ang DNS record ay responsable sa pagdirekta ng browser mula sa domain patungo sa imprastruktura na nagpapatakbo ng website. Ayon sa paglalarawan ni Flap sa pangyayaring ito, ang legal na address ay direktang nagpapadala ng mga bisita patungo sa hindi awtorisadong website.
Kaya ang babala na ito ay para sa mga direktang nag-a-access sa pamilyar na domain ng proyekto, nang hindi kailangang i-click ang may maling spelling na address o mga hindi hiniling na link sa pagpapalaganap. Wala pong sinabi ang pahayag ni Flap kung sino ang nagtataglay ng nasirang rekord o kung paano nakakuha ang mga hacker ng pag-access.
Nag-recove ang website ng StonkFun pagkatapos ng pag-migrate ng infrastruktura
Napatunayan ng StonkFun na ang kanilang website ay napatawag ng isang domain attack na tinutukoy ng Blockaid. Ang kanilang unang pahayag ay humiling sa mga user na iwasan ang website at huwag magkonekta ng wallet habang ang team ay nagpapalit.
Ipinahayag ng proyekto na ang insidente ay nakaaapekto lamang sa website, habang ang mga function sa chain ay nasa normal na kalagayan. Sinabi ng pahayag na kasalukuyang hindi alam kung sino ang naapektuhan.
Sa susunod na update, sinabi ng StonkFun na inilabas na ang website at nilipat sa bagong infrastructure. Bagaman nabalik na ang website, hinihingi pa rin ng team na maghintay ng isang oras bago magkonekta ng wallet, dahil maaaring kailanganin ng ilang network ng ganitong tagal upang makikilala ang pagbabagong ito.
Ang pagsasalaysay ng pagpapalit ay muli'y nagteklar na ang mga operasyon sa chain ay normal, at ang koponan ay hindi alam kung mayroong mga user na naapektuhan. Walang estima ng pagkawala at walang pahayag ng proseso ng kompensasyon sa dalawang pahayag ng StonkFun.
Ang mga dating DNS attack ay nagtulak sa proyekto na maglipat ng domain name
Kasalukuyang naging dahilan ng ganitong uri ng pag-atake ang pagpapalit ng paraan ng pag-access ng mga user sa serbisyo ng DeFi. Ibinahagi ng crypto.news noong Mayo 2025 na ang Curve Finance ay lumipat sa bagong domain matapos makarating ang mga attacker sa pag-redirect ng kanilang orihinal na website patungo sa isang klon na site na nagtatali ng mga wallet.
Nilapitan ng Curve ang kanilang security partner at domain registrar sa proseso. Sinabi ng team na ang pagkakaroon ng pagkaantala sa reaksyon ng registrar ay isa sa mga dahilan kung bakit sila nagpasya magpabaya sa dating domain.
Pagkatapos, hinold ng registrar ang Curve.fi, na nagpapahinto sa masasamang drainer. Kumpirmado ng Curve na plano nilang ipasok ang Ethereum Name Service address bilang alternatibong paraan ng pag-access.