Blockaid afirmou que pelo menos 12 sites DeFi foram atacados em um ataque de Halloween, com as páginas afetadas exibindo o kit Step Drainer; a equipe alertou os usuários para não conectarem suas carteiras ou assinarem transações.
- O Blockaid identificou Flap, Kintsu e mais 10 sites em um alerta sobre ataques front-end.
- Flap confirma que seu DNS foi sequestrado, e o domínio oficial foi redirecionado para um site não autorizado.
- StonkFun restaurou o site após a migração da infraestrutura e afirmou que não sabe se algum usuário foi afetado.
Esses alertas listam sites comprometidos, mas o número de vítimas e quaisquer perdas ainda não foram determinados.
O primeiro alerta da Blockaid listou Flap e Kintsu como alvos potenciais de ataque de frontend em 31 de outubro. Em um alerta subsequente, a empresa de segurança blockchain listou mais 10 domínios, afirmando que esses sites estão ativamente oferecendo o Step Drainer.
À medida que o evento se desenrolava, as equipes afetadas também começaram a publicar seus próprios avisos. O Flap confirmou que os usuários que acessavam seu endereço oficial eram redirecionados para outro local; posteriormente, o StonkFun informou que o site foi restaurado após ser desativado e migrado para uma nova infraestrutura.
Blockaid relata que 12 sites DeFi apresentam Step Drainer
No alerta inicial, o Blockaid solicitou aos usuários que não interagissem com Flap e Kintsu até que o problema fosse resolvido. Sua lista expandida inclui StonkFun, Pickle Finance, Echelon, Origami Finance e FluxBeam.
Os outros projetos são StakePoint, SupSwap, Longbow, Shprd Finance e APEX. Juntamente com Flap e Kintsu, esta lista abrange 12 sites diferentes.
Blockaid afirmou que os novos sites estão todos oferecendo o mesmo drainer e que a investigação ainda está em andamento. O alerta não confirmou a identidade dos atacantes nem divulgou o número de vítimas ou o valor total perdido.
Anteriormente, o pesquisador de segurança Ogle publicou um aviso alertando que um script injetado redirecionava visitantes que clicavam no botão de conexão da carteira para uma página maliciosa de drainer. Ele incentivou os usuários a evitar conectar suas carteiras a esses sites.
A captura de tela divulgada da advertência inicial também incluía stonkbrokers[.]cash. O aviso público posterior da Blockaid mencionou primeiro Flap e Kintsu, e depois expandiu separadamente para outros 10 domínios, portanto, as capturas de tela divulgadas não contêm todas a mesma lista.
Flap confirma que seu domínio oficial redirecionará visitantes
Flap confirmou que seu site oficial sofreu um ataque de DNS hijacking. A equipe informou que o site está redirecionando visitantes para um destino não autorizado e pede aos usuários que, até novo aviso, não acessem, conectem suas carteiras ou assinem transações.
Ao emitir o aviso, o Flap afirmou que está se esforçando para restaurar o site e notificará os usuários quando for seguro utilizá-lo novamente. O anúncio em chinês correspondente solicita aos usuários que se baseiem nas informações publicadas pelas contas oficiais de mídia social do projeto.
Os registros DNS são responsáveis por direcionar o navegador do domínio para a infraestrutura que hospeda o site. De acordo com a descrição da Flap sobre este evento, o endereço legítimo estava diretamente redirecionando os visitantes para um site não autorizado.
Portanto, este aviso destina-se a pessoas que acessam diretamente o domínio familiar do projeto, sem precisar clicar em endereços com erros de digitação ou links promocionais não solicitados. O anúncio da Flap não especifica qual provedor de serviço é responsável pelo registro comprometido nem explica como os atacantes obtiveram acesso.
StonkFun restaura o site após a migração da infraestrutura
StonkFun confirmou que seu site sofreu um ataque de domínio marcado pelo Blockaid. Seu primeiro aviso pede aos usuários que evitem o site e não conectem suas carteiras enquanto a equipe realiza a recuperação.
O projeto afirma que o evento afetou apenas o site, enquanto as funcionalidades na cadeia estão normais. O comunicado informa que, até o momento, não se sabe quem foi afetado.
Em atualizações futuras, o StonkFun informou que retirou o site do ar e o migrou para uma nova infraestrutura. Embora o site já tenha sido restaurado, a equipe pede aos usuários que aguardem uma hora antes de conectar suas carteiras, pois algumas redes podem levar esse tempo para reconhecer a mudança.
O anúncio de recuperação reforça que as operações na cadeia estão funcionando normalmente e que a equipe não sabe de nenhum usuário afetado. Nenhuma das duas declarações da StonkFun fornece estimativas de perdas nem anuncia um processo de compensação.
Ataques anteriores de DNS forçaram o projeto a migrar o domínio
Invasões semelhantes de sites já forçaram equipes DeFi a alterar a forma como os usuários acessam os serviços. Em maio de 2025, o crypto.news relatou que a Curve Finance migrou para um novo domínio após atacantes redirecionarem seu site original para um clone projetado para roubar carteiras.
Curve entrou em contato com parceiros de segurança e o registrador de domínio durante o processo de resposta. A equipe afirmou que o atraso na resposta do registrador foi um dos motivos para a decisão de abandonar o domínio antigo.
Em seguida, o registrador congelou o Curve.fi, desativando o drainer malicioso. O Curve posteriormente confirmou que planeja introduzir um endereço do Ethereum Name Service como outra opção de acesso.