Blockaid menyatakan bahwa setidaknya 12 situs DeFi menjadi sasaran serangan Halloween, di mana halaman yang terdampak menampilkan toolkit Step Drainer, dan tim tersebut memperingatkan pengguna untuk tidak menghubungkan dompet atau menandatangani transaksi.
Blockaid dalam peringatan tentang serangan frontend menyebut Flap, Kintsu, dan 10 situs lainnya.
- Flap mengonfirmasi DNS-nya diretas, domain resmi dialihkan ke situs yang tidak berwenang.
- StonkFun telah memulihkan situs webnya setelah migrasi infrastruktur dan menyatakan bahwa mereka tidak mengetahui apakah ada pengguna yang terdampak.
Peringatan ini mencantumkan situs yang diserang, tetapi jumlah korban dan kerugian apa pun belum diketahui.
Peringatan pertama Blockaid mencantumkan Flap dan Kintsu sebagai target potensial serangan frontend pada 31 Oktober. Dalam peringatan berikutnya, perusahaan keamanan blockchain ini mencantumkan 10 domain tambahan, menyatakan bahwa situs-situs tersebut secara aktif menyediakan Step Drainer.
Saat peristiwa berlangsung, tim yang terdampak juga mulai merilis peringatan masing-masing. Flap mengonfirmasi bahwa pengguna yang mengakses alamat resminya akan diarahkan ke tempat lain; kemudian, StonkFun menyatakan bahwa situs web telah pulih setelah diturunkan dan dipindahkan ke infrastruktur baru.
Blockaid melaporkan 12 situs DeFi mengalami Step Drainer
Dalam peringatan awal, Blockaid meminta pengguna untuk tidak berinteraksi dengan Flap dan Kintsu sebelum masalah diselesaikan. Daftar perluasan mereka mencakup StonkFun, Pickle Finance, Echelon, Origami Finance, dan FluxBeam.
Proyek lainnya adalah StakePoint, SupSwap, Longbow, Shprd Finance, dan APEX. Bersama Flap dan Kintsu, daftar ini mencakup 12 situs web berbeda.
Blockaid menyatakan bahwa semua situs web baru tersebut menyediakan drainer yang sama, dan penyelidikan masih berlangsung. Peringatan tersebut tidak mengonfirmasi identitas pelaku, maupun mengungkap jumlah korban atau total kerugian.
Sebelumnya, peneliti keamanan Ogle memposting peringatan bahwa sebuah skrip injeksi akan mengalihkan pengunjung yang mengklik tombol sambungkan dompet ke halaman drainer jahat. Ia mendesak pengguna untuk menghindari menyambungkan dompet mereka ke situs-situs tersebut.
Screenshot peringatan awal yang beredar juga mencantumkan stonkbrokers[.]cash. Peringatan publik selanjutnya dari Blockaid secara terbuka menyebut Flap dan Kintsu, kemudian secara terpisah memperluasnya ke 10 domain tambahan, sehingga screenshot yang beredar tidak semuanya berisi daftar yang identik.
Flap mengonfirmasi bahwa domain resminya akan mengarahkan pengunjung
Flap mengonfirmasi bahwa situs web resminya mengalami serangan DNS hijacking. Tim tersebut menyatakan bahwa situs tersebut mengalihkan pengunjung ke tujuan yang tidak sah, dan meminta pengguna untuk tidak mengakses, menghubungkan dompet, atau menandatangani transaksi hingga ada pemberitahuan lebih lanjut.
Saat memberikan peringatan, Flap menyatakan sedang berupaya memulihkan situs web dan akan memberi pemberitahuan terpisah ketika situs tersebut aman untuk digunakan. Pengumuman China yang terkait meminta pengguna untuk mengikuti informasi yang diposting oleh akun media sosial resmi proyek.
Catatan DNS bertanggung jawab untuk mengarahkan browser dari domain ke infrastruktur yang menampung situs web. Menurut deskripsi Flap tentang insiden ini, alamat sah itu sendiri mengarahkan pengunjung ke situs yang tidak sah.
Oleh karena itu, peringatan ini ditujukan kepada mereka yang mengakses domain proyek secara langsung, tanpa perlu mengklik alamat yang salah eja atau tautan promosi yang tidak diminta. Pengumuman Flap tidak menyebutkan penyedia layanan yang bertanggung jawab atas rekaman yang rusak, maupun menjelaskan bagaimana penyerang memperoleh akses.
StonkFun memulihkan situs web setelah migrasi infrastruktur
StonkFun mengonfirmasi bahwa situs webnya mengalami serangan domain yang ditandai oleh Blockaid. Pengumuman pertamanya meminta pengguna untuk menjauh dari situs web dan tidak menghubungkan dompet selama tim melakukan pemulihan.
Proyek ini menyatakan bahwa insiden ini memengaruhi situs web, sedangkan fungsi on-chain berjalan normal. Pengumuman tersebut menyatakan bahwa saat ini belum diketahui siapa saja yang terdampak.
Dalam pembaruan berikutnya, StonkFun menyatakan bahwa situs web telah diturunkan dan dipindahkan ke infrastruktur baru. Meskipun situs web telah pulih, tim meminta pengguna untuk menunggu satu jam sebelum menghubungkan dompet, karena beberapa jaringan mungkin memerlukan waktu selama itu untuk mengenali perubahan ini.
Pengumuman pemulihan menegaskan kembali bahwa operasi on-chain berjalan normal, dan tim juga tidak mengetahui ada pengguna yang terdampak. Kedua pernyataan StonkFun tidak memberikan estimasi kerugian maupun pengumuman proses kompensasi.
Serangan DNS sebelumnya mendorong proyek untuk memindahkan domain.
Pelanggaran situs serupa sebelumnya juga memaksa tim DeFi mengubah cara pengguna mengakses layanan. Crypto.news melaporkan pada Mei 2025 bahwa Curve Finance telah beralih ke domain baru setelah penyerang mengalihkan situs aslinya ke situs klon yang mencuri dompet.
Curve menghubungi mitra keamanan dan registrar domain selama proses penanganan. Tim menyatakan bahwa keterlambatan respons dari registrar merupakan salah satu alasan keputusan mereka untuk melepaskan domain lama.
Selanjutnya, registrar membekukan Curve.fi, sehingga menonaktifkan drainer jahat. Curve kemudian mengonfirmasi bahwa mereka berencana memperkenalkan alamat Ethereum Name Service sebagai opsi akses tambahan.