Blockaid menyatakan bahawa sekurang-kurangnya 12 laman web DeFi telah diserang dalam serangan Halloween, di mana pakej alat Step Drainer muncul di halaman yang terjejas, dan pasukan itu memperingatkan pengguna supaya tidak menyambungkan dompet atau menandatangani transaksi.
Blockaid dalam amaran mengenai serangan前端 menyebut Flap, Kintsu, dan 10 laman web lainnya.
Flap mengesahkan bahawa DNS-nya telah dirampas, dan domain rasmi telah diarahkan ke laman web yang tidak dibenarkan.
StonkFun telah memulihkan laman webnya selepas pemindahan infrastruktur dan menyatakan bahawa ia tidak pasti sama ada pengguna mana-mana terkesan.
- Alarm ini mencantumkan laman web yang telah diserang, tetapi jumlah mangsa dan sebarang kerugian masih belum ditentukan.
Amaran pertama Blockaid menyenaraikan Flap dan Kintsu sebagai sasaran serangan depan berpotensi pada 31 Oktober. Dalam amaran seterusnya, syarikat keselamatan blockchain ini menyenaraikan 10 domain tambahan, menyatakan bahawa laman web tersebut sedang secara aktif menawarkan Step Drainer.
Semasa peristiwa berlangsung, pasukan yang terkesan juga mula mengeluarkan amaran masing-masing. Flap mengesahkan bahawa pengguna yang mengakses alamat rasminya akan diarahkan ke tempat lain; selepas itu, StonkFun menyatakan bahawa laman web telah pulih selepas diturunkan dan dipindahkan ke infrastruktur baharu.
Blockaid melaporkan 12 laman web DeFi mengalami Step Drainer
Dalam amaran awal, Blockaid meminta pengguna untuk tidak berinteraksi dengan Flap dan Kintsu sehingga masalah diselesaikan. Senarai kembangannya termasuk StonkFun, Pickle Finance, Echelon, Origami Finance, dan FluxBeam.
Projek lain ialah StakePoint, SupSwap, Longbow, Shprd Finance, dan APEX. Bersama Flap dan Kintsu, senarai ini merangkumi 12 laman web yang berbeza.
Blockaid menyatakan bahawa laman web baru semuanya menyediakan drainer yang sama, dan penyiasatan masih berterusan. Aler tidak mengesahkan identiti penyerang, mahupun mengungkapkan bilangan mangsa atau jumlah kerugian keseluruhan.
Sebelum ini, penyelidik keselamatan Ogle telah mengeluarkan amaran bahawa satu skrip yang disuntikkan akan menghantar pengunjung yang mengklik butang sambung dompet ke laman drainer jahat. Beliau mendesak pengguna untuk mengelakkan menyambungkan dompet mereka kepada laman-laman ini.
Skrin cap yang beredar juga termasuk stonkbrokers[.]cash. Amanat awam Blockaid kemudian menyebut Flap dan Kintsu terlebih dahulu, sebelum memperluas secara berasingan kepada 10 domain tambahan, oleh itu skrin cap yang beredar tidak semuanya mengandungi senarai yang sama persis.
Flap mengesahkan bahawa domain rasmi akan mengalihkan pengunjung
Flap mengesahkan bahawa laman web rasmi mereka mengalami serangan DNS hijacking. Pasukan tersebut menyatakan bahawa laman web sedang mengalihkan pengunjung ke destinasi yang tidak sah, dan meminta pengguna untuk tidak mengakses, menyambungkan dompet, atau menandatangani transaksi sehingga pemberitahuan lanjut.
Semasa mengeluarkan amaran, Flap menyatakan sedang berusaha memulihkan laman web dan akan memberitahu pengguna apabila ia boleh digunakan dengan selamat. Pengumuman Cina yang sepadan meminta pengguna untuk merujuk kepada maklumat yang dikeluarkan oleh akaun media sosial rasmi projek.
Rekod DNS bertanggungjawab untuk mengarahkan pengembara dari domain ke infrastruktur yang mengendalikan laman web. Menurut penerangan Flap mengenai insiden ini, alamat sah itu sendiri sedang menghantar pengunjung ke laman web yang tidak berkuasa.
Oleh itu, amaran ini ditujukan kepada mereka yang mengakses domain projek yang dikenali secara langsung, tanpa perlu mengklik alamat yang salah eja atau pautan promosi yang tidak diminta. Pengumuman Flap tidak menyatakan penyedia perkhidmatan yang bertanggungjawab atas rekod yang terjejas, atau menjelaskan bagaimana penyerang memperoleh akses.
StonkFun telah memulihkan laman web selepas pemindahan infrastruktur
StonkFun mengesahkan bahawa laman webnya diserang oleh domain yang ditandai oleh Blockaid. Pengumuman pertamanya meminta pengguna untuk menjauhi laman web dan tidak menyambungkan dompet semasa pasukan melakukan pemulihan.
Projek ini menyatakan bahawa insiden ini mempengaruhi laman web, manakala fungsi atas rantai berfungsi dengan normal. Pengumuman tersebut menyatakan bahawa pada masa ini tidak diketahui siapa yang terjejas.
Dalam kemas kini seterusnya, StonkFun menyatakan bahawa laman web telah diturunkan dan dipindahkan ke infrastruktur baharu. Walaupun laman web telah dipulihkan, pasukan masih meminta pengguna menunggu satu jam sebelum menyambungkan dompet, kerana beberapa rangkaian mungkin memerlukan masa seberapa lama itu untuk mengenali perubahan ini.
Pengumuman pemulihan sekali lagi menekankan bahawa operasi di rantai berjalan dengan lancar, dan pasukan juga tidak mengetahui ada pengguna yang terkesan. Kedua-dua penyataan StonkFun tidak memberikan anggaran kerugian atau mengumumkan proses ganti rugi.
Serangan DNS sebelumnya telah mendorong projek untuk berpindah domain
Serangan laman web serupa sebelum ini juga memaksa pasukan DeFi mengubah cara pengguna mengakses perkhidmatan. Pada Mei 2025, crypto.news melaporkan bahawa Curve Finance telah berpindah ke domain baharu selepas penyerang mengalihkan laman web asalnya ke laman klon yang mencuri dompet.
Curve menghubungi rakan kongsi keselamatan dan pendaftar domain semasa proses penanggulangan. Pasukan menyatakan bahawa kelewatan respons daripada pendaftar adalah salah satu sebab keputusan mereka untuk meninggalkan domain lama.
Selepas itu, pendaftar membekukan Curve.fi, yang menonaktifkan drainer jahat. Curve kemudian mengesahkan bahawa mereka merancang untuk memperkenalkan alamat Ethereum Name Service sebagai pilihan akses alternatif.