Blockaid a indiqué qu'au moins 12 sites DeFi ont été ciblés par une attaque d'Halloween, pendant laquelle des pages affectées ont affiché le kit Step Drainer ; l'équipe a averti les utilisateurs de ne pas connecter leur portefeuille ni signer de transactions.
Blockaid a identifié Flap, Kintsu et 10 autres sites dans une alerte concernant les attaques frontales.
Flap confirme que son DNS a été compromis et que son domaine officiel a été redirigé vers un site non autorisé.
- StonkFun a rétabli son site après la migration de son infrastructure et a indiqué qu'il n'était pas certain que des utilisateurs aient été affectés.
Ces alertes répertorient les sites web compromis, mais le nombre de victimes et tout dommage subi restent inconnus.
La première alerte de Blockaid liste Flap et Kintsu comme cibles potentielles d'une attaque frontale le 31 octobre. Dans une alerte ultérieure, cette société de sécurité blockchain a identifié 10 autres domaines, affirmant que ces sites web offrent activement Step Drainer.
Au fur et à mesure que l'événement se déroulait, les équipes concernées ont également publié leurs propres avertissements. Flap a confirmé que les utilisateurs accédant à son adresse officielle étaient redirigés vers un autre site ; par la suite, StonkFun a indiqué que le site avait été rétabli après avoir été mis hors ligne et migré vers une nouvelle infrastructure.
Blockaid signale que 12 sites DeFi présentent Step Drainer
Dans l'alerte initiale, Blockaid a demandé aux utilisateurs de ne pas interagir avec Flap et Kintsu avant la résolution du problème. Sa liste d'extensions inclut StonkFun, Pickle Finance, Echelon, Origami Finance et FluxBeam.
Les autres projets sont StakePoint, SupSwap, Longbow, Shprd Finance et APEX. Ensemble avec Flap et Kintsu, cette liste couvre 12 sites web différents.
Blockaid indique que les nouveaux sites web proposent tous le même drainer et que l'enquête est toujours en cours. L'alerte ne confirme pas l'identité des attaquants, ni ne révèle le nombre de victimes ou le montant total des pertes.
Précédemment, le chercheur en sécurité Ogle a publié une alerte indiquant qu'un script injecté redirigeait les visiteurs cliquant sur le bouton de connexion au portefeuille vers une page malveillante de drainer. Il a exhorté les utilisateurs à éviter de connecter leur portefeuille à ces sites web.
La capture d'écran largement diffusée incluait également stonkbrokers[.]cash. L'avertissement public ultérieur de Blockaid a d'abord cité Flap et Kintsu, puis a ensuite étendu la liste à 10 autres domaines séparément ; par conséquent, les captures d'écran diffusées ne contiennent pas toutes exactement la même liste.
Flap confirme que son domaine officiel redirigera les visiteurs
Flap a confirmé que son site web a été victime d'un hijacking DNS. L'équipe a indiqué que le site redirige les visiteurs vers une destination non autorisée et demande aux utilisateurs de ne pas accéder au site, de ne pas connecter leur portefeuille ni signer de transactions jusqu'à nouvel ordre.
Lors de l'émission de l'avertissement, Flap a indiqué qu'elle s'efforçait de rétablir le site et qu'elle informerait les utilisateurs séparément lorsqu'il serait à nouveau sûr à utiliser. L'annonce associée en chinois demande aux utilisateurs de se fier aux informations publiées par les comptes officiels de projet sur les réseaux sociaux.
Les enregistrements DNS sont responsables de rediriger le navigateur depuis le nom de domaine vers l'infrastructure hébergeant le site web. Selon la description de Flap concernant cet événement, l'adresse légale elle-même redirigeait les visiteurs vers un site non autorisé.
Ainsi, cet avertissement s'adresse aux personnes qui accèdent directement au domaine familier du projet, sans avoir à cliquer sur des adresses mal orthographiées ou des liens promotionnels non sollicités. L'annonce de Flap ne précise pas quel fournisseur de services est responsable de l'enregistrement compromis, ni comment les attaquants ont obtenu l'accès.
StonkFun relance son site après la migration de son infrastructure
StonkFun confirme que son site web a été ciblé par une attaque de domaine signalée par Blockaid. Sa première annonce demande aux utilisateurs d'éviter le site et de ne pas connecter leur portefeuille pendant que l'équipe effectue les réparations.
Le projet indique que cet incident n'affecte que le site web, tandis que les fonctionnalités sur chaîne fonctionnent normalement. Le communiqué précise qu'il n'est pour l'instant pas connu qui est concerné.
Dans une mise à jour ultérieure, StonkFun a indiqué avoir mis hors ligne le site et migré vers une nouvelle infrastructure. Bien que le site soit à nouveau accessible, l'équipe demande aux utilisateurs d'attendre une heure avant de connecter leur portefeuille, car certains réseaux pourraient nécessiter ce délai pour reconnaître ce changement.
L'annonce de restauration réitère que les opérations sur la chaîne se déroulent normalement et que l'équipe n'est pas au courant d'utilisateurs affectés. Aucune des deux déclarations de StonkFun ne fournit d'estimation des pertes ni n'annonce un processus de compensation.
Les attaques DNS précédentes ont poussé le projet à changer de domaine.
Des intrusions similaires ont déjà forcé les équipes DeFi à modifier la manière dont les utilisateurs accèdent aux services. Crypto.news a rapporté en mai 2025 que Curve Finance avait migré vers un nouveau domaine après qu’un attaquant ait redirigé son site original vers un site cloné conçu pour voler les portefeuilles.
Curve a contacté ses partenaires de sécurité et son registrant de domaine pendant le processus de réponse. L'équipe a indiqué que le retard de réponse du registrant a été l'un des facteurs ayant motivé sa décision d'abandonner l'ancien domaine.
Ensuite, le registraire a gelé Curve.fi, désactivant ainsi le drainer malveillant. Curve a ensuite confirmé qu'il prévoyait d'introduire une adresse Ethereum Name Service comme autre option d'accès.