Blockaid сообщила, что по меньшей мере 12 DeFi-сайтов подверглись атаке в Хэллоуин, на затронутых страницах появился инструментарий Step Drainer, и команда предупредила пользователей не подключать кошельки и не подписывать транзакции.
Blockaid в предупреждении о фронтенд-атаках назвал Flap, Kintsu и еще 10 веб-сайтов.
Flap подтвердила, что её DNS был скомпрометирован, и официальный домен был перенаправлен на неавторизованный веб-сайт.
StonkFun восстановил сайт после миграции инфраструктуры и заявил, что не знает, пострадали ли какие-либо пользователи.
Эти оповещения перечисляют взломанные веб-сайты, но количество жертв и любые потери пока не установлены.
Первое предупреждение Blockaid указало Flap и Kintsu в качестве потенциальных целей фронтенд-атаки 31 октября. В последующем предупреждении эта компания по блокчейн-безопасности добавила еще 10 доменных имен, заявив, что эти сайты активно предоставляют Step Drainer.
По мере развития событий затронутые команды начали публиковать собственные предупреждения. Flap подтвердила, что пользователи, обращающиеся к ее официальному адресу, перенаправляются в другое место; вслед за этим StonkFun сообщила, что сайт был восстановлен после отключения старого сайта и перехода на новую инфраструктуру.
Blockaid сообщает, что 12 веб-сайтов DeFi подверглись атаке Step Drainer
В первоначальном предупреждении Blockaid просила пользователей не взаимодействовать с Flap и Kintsu до устранения проблемы. В их расширенный список входят StonkFun, Pickle Finance, Echelon, Origami Finance и FluxBeam.
Остальные проекты — StakePoint, SupSwap, Longbow, Shprd Finance и APEX. Вместе с Flap и Kintsu этот список охватывает 12 различных веб-сайтов.
Blockaid сообщает, что все новые сайты предлагают один и тот же drainer, и расследование продолжается. Оповещение не подтверждает личность злоумышленников, а также не раскрывает количество жертв или общую сумму убытков.
Ранее исследователь безопасности Ogle опубликовал предупреждение о том, что встроенный скрипт перенаправляет посетителей, нажимающих на кнопку подключения кошелька, на вредоносную страницу-drainer. В своем посте он призвал пользователей избегать подключения кошельков к этим сайтам.
В распространённом скриншоте раннего предупреждения также упоминался stonkbrokers[.]cash. Позднее публичное предупреждение Blockaid сначала назвало Flap и Kintsu, а затем отдельно расширило список до ещё 10 доменов, поэтому распространённые скриншоты не содержат полностью одинаковых списков.
Flap подтверждает, что его официальный домен будет перенаправлять посетителей
Flap подтвердила, что её официальный сайт подвергся DNS-захвату. Команда сообщила, что сайт перенаправляет посетителей на неавторизованный адрес, и просит пользователей не посещать сайт, не подключать кошельки и не подписывать транзакции до дальнейшего уведомления.
При выпуске предупреждения Flap сообщила, что работает над восстановлением сайта и сообщит отдельно, когда он станет безопасным для использования. Сопутствующее китайское объявление требует от пользователей ориентироваться на информацию, опубликованную официальными социальными аккаунтами проекта.
DNS-записи отвечают за перенаправление браузера от доменного имени к инфраструктуре, на которой размещён веб-сайт. Согласно описанию Flap этого инцидента, легитимный адрес сам по себе перенаправлял посетителей на неавторизованные сайты.
Следовательно, это предупреждение направлено на тех, кто напрямую обращается к знакомым доменам проекта, без необходимости переходить по опечаткам в адресах или незапрашиваемым рекламным ссылкам. В объявлении Flap не указано, какой провайдер отвечал за скомпрометированные записи, а также не объяснено, как злоумышленники получили доступ.
StonkFun восстановил сайт после миграции инфраструктуры
StonkFun подтвердила, что её сайт подвергся атаке с использованием домена, отмеченного Blockaid. В своём первом объявлении она потребовала от пользователей избегать сайта и не подключать кошельки до завершения восстановления командой.
Проект заявляет, что инцидент затронул только веб-сайт, а функциональность на цепочке работает нормально. В объявлении отмечается, что на данный момент неизвестно, кто именно пострадал.
В последующем обновлении StonkFun сообщила, что сайт был отключен и перенесен на новую инфраструктуру. Несмотря на то, что сайт уже восстановлен, команда просит пользователей подождать один час перед подключением кошелька, поскольку некоторым сетям может потребоваться это время для распознавания изменений.
Во втором уведомлении о восстановлении подчеркивается, что операции в цепочке проходят нормально, и команда не знает о пострадавших пользователях. Ни в одном из двух заявлений StonkFun не приводится оценка убытков и не объявлен процесс компенсации.
Ранее атаки на DNS заставили проект сменить доменное имя
Подобные взломы сайтов ранее заставляли команды DeFi менять способ доступа пользователей к сервисам. Crypto.news сообщило в мае 2025 года, что Curve Finance перешла на новый домен после того, как злоумышленники перенаправили их оригинальный сайт на клон, крадущий кошельки.
Curve связалась с партнерами по безопасности и регистратором домена в процессе реагирования. Команда отметила, что задержка в реакции регистратора стала одной из причин решения отказаться от старого домена.
Затем регистратор заблокировал Curve.fi, что отключило вредоносный дренер. Curve позже подтвердила, что планирует внедрить адрес Ethereum Name Service в качестве альтернативного варианта доступа.