Blockaidは、少なくとも12のDeFiウェブサイトがハロウィン攻撃の標的となり、影響を受けたページにStep Drainerツールキットが表示されたことを明らかにしました。同チームは、ユーザーに対してウォレットを接続したり、トランザクションに署名したりしないよう警告しています。
Blockaidは、フロントエンド攻撃に関するアラートでFlap、Kintsu、およびその他の10のウェブサイトを特定しました。
Flapは、DNSが乗っ取られ、公式ドメインが許可されていないウェブサイトにリダイレクトされたことを確認しました。
StonkFunはインフラを移行した後、ウェブサイトを復旧し、ユーザーに影響があったかどうかは不明であると述べました。
これらのアラートは、侵入されたウェブサイトをリストアップしていますが、被害者の数や損失の詳細はまだ確認されていません。
Blockaidの最初の警告では、FlapとKintsuが10月31日に潜在的なフロントエンド攻撃の標的であると指定されました。その後の警告で、このブロックチェーンセキュリティ企業はさらに10のドメインをリストアップし、これらのウェブサイトが現在Step Drainerを積極的に提供していると指摘しました。
イベントの進展に伴い、影響を受けたチームも次々と警告を発表しました。Flapは、公式アドレスにアクセスしたユーザーが他の場所にリダイレクトされることを確認しました。その後、StonkFunは、ウェブサイトをオフラインにし、新しいインフラに移行した後、ウェブサイトが復旧したと発表しました。
Blockaid、12のDeFiウェブサイトでStep Drainerが発見されたと発表
最初のアラートで、Blockaidは、問題が解決するまでFlapおよびKintsuとやり取りしないようユーザーに求めました。その拡張リストには、StonkFun、Pickle Finance、Echelon、Origami Finance、FluxBeamが含まれています。
残りのプロジェクトはStakePoint、SupSwap、Longbow、Shprd Finance、APEXです。FlapとKintsuを含め、このリストは合計12の異なるウェブサイトをカバーしています。
Blockaidは、新しく追加されたウェブサイトがすべて同じdrainerを提供していると述べ、調査は継続中であると述べました。アラートは攻撃者の身元を確認せず、被害者の数や合計損失額も開示していません。
以前、セキュリティ研究者のOgleは、クリックしてウォレット接続ボタンを押す訪問者を悪意のあるドレナージページに誘導するインジェクションスクリプトについて警告を発表しました。彼は投稿で、ユーザーにこれらのウェブサイトのウォレットを接続しないよう呼びかけました。
広く流れた早期警告のスクリーンショットには、stonkbrokers[.]cashも含まれていた。Blockaidの後の公開警報では、まずFlapとKintsuが指名され、その後、さらに10のドメインが追加されたため、広まったスクリーンショットにはすべて同じリストが含まれているわけではない。
Flapは、公式ドメインが訪問者をリダイレクトすることを確認しました。
Flapは、公式ウェブサイトがDNSハッキングされたことを確認しました。同チームは、ウェブサイトが訪問者を許可されていない宛先にリダイレクトしていると述べ、別途通知があるまで、ウェブサイトにアクセスしたり、ウォレットを接続したり、トランザクションに署名したりしないようユーザーに要請しています。
警告を発令した際、Flapはサイトの復旧に努めており、安全に使用できるようになった時点で改めて通知すると述べました。関連する中国語公告では、ユーザーにプロジェクトの公式SNSアカウントが発信する情報に従うよう求めています。
DNSレコードは、ブラウザをウェブサイトをホストするインフラストラクチャに指向する役割を担っています。Flapによるこのイベントの説明によると、正当なアドレス自体が訪問者を不正なウェブサイトに誘導していました。
したがって、この警告は、誤ったアドレスや無要求のプロモーションリンクをクリックすることなく、プロジェクトの熟悉的なドメインに直接アクセスする人を対象としています。Flapの公告では、損傷したレコードの責任者となるサービスプロバイダーは明示されておらず、攻撃者がどのようにアクセス権を得たのかも説明されていません。
StonkFunはインフラ移行後にウェブサイトを復旧しました
StonkFunは、そのウェブサイトがBlockaidによって標的とされたドメイン攻撃を受けたことを確認しました。最初の公告では、ユーザーにウェブサイトから離れるよう求め、チームが復旧作業を実施している間はウォレットを接続しないよう呼びかけています。
このプロジェクトは、今回のイベントがウェブサイトに影響を与えたことを示しており、チェーン上の機能は正常であると述べています。公告によると、現在のところ誰が影響を受けたかは不明です。
今後のアップデートで、StonkFunはウェブサイトをオフラインにし、新しいインフラに移行したことを発表しました。ウェブサイトは復旧しましたが、チームは一部のネットワークがこの変更を認識するまでにこの時間がかかる可能性があるため、ウォレットを接続する前に1時間待つようユーザーに要請しています。
復旧公告では、チェーン上の操作は正常に機能しており、チームは影響を受けたユーザーはいないと再確認しました。StonkFunの両方の声明は、損失の推定値を提示せず、補償プロセスも発表していません。
以前のDNS攻撃により、プロジェクトはドメインを移行しました。
同様のウェブサイト侵入は、過去にもDeFiチームがユーザーのサービスアクセス方法を変更するきっかけとなった。crypto.newsは2025年5月、Curve Financeが攻撃者によって元のウェブサイトがウォレットを盗むクローンサイトにリダイレクトされた後、新しいドメインに移行したと報じた。
Curveは対応中にセキュリティパートナーとドメインレジストラーに連絡しました。チームは、レジストラーの対応遅延が旧ドメインを放棄する決定の要因の一つであると述べました。
その後、レジストラはCurve.fiを凍結し、悪意のあるドレナーを無効化しました。Curveはその後、別のアクセスオプションとしてEthereum Name Serviceアドレスを導入する計画であることを確認しました。