Blockaid, en az 12 DeFi sitesinin Halloween saldırısına uğradığını belirtti; etkilenen sayfalarda Step Drainer paketi görüldü ve ekip kullanıcıları cüzdanlarını bağlamamaya ve işlemler imzalamamaya uyardı.
Blockaid, ön uç saldırıları hakkında uyarıda Flap, Kintsu ve diğer 10 web sitesini adlandırdı.
Flap, DNS'inin ele geçirildiğini ve resmi domaininin yetkisiz bir web sitesine yönlendirildiğini doğruladı.
StonkFun, altyapısını taşıdıktan sonra web sitesini yeniden aktif hale getirdi ve kullanıcıların etkilenip etkilenmediği konusunda bilgi sahibi olmadığını belirtti.
Bu uyarılar, işgal edilen siteleri listeliyor, ancak mağdurların sayısı ve herhangi bir kayıp henüz belirlenmedi.
Blockaid, ilk uyarısında Flap ve Kintsu'yu 31 Ekim'de potansiyel ön uç saldırısının hedefi olarak belirtti. Sonraki uyarıda, bu blockchain güvenlik şirketi, bu sitelerin aktif olarak Step Drainer sağladığını belirterek ek 10 alan adı daha listeledi.
Olayın ilerlemesiyle birlikte, etkilenen takımlar da kendi uyarılarını yayınlamaya başladı. Flap, resmi adresine erişen kullanıcıların başka bir yere yönlendirileceğini doğruladı; ardından StonkFun, web sitesini kapatıp yeni altyapıya taşıdıktan sonra sitenin yeniden aktif hale geldiğini belirtti.
Blockaid, 12 DeFi sitesinde Step Drainer olduğunu bildirdi.
İlk uyarıda, Blockaid kullanıcıların sorun çözülene kadar Flap ve Kintsu ile etkileşime girmemelerini istedi. Genişletilmiş listesinde StonkFun, Pickle Finance, Echelon, Origami Finance ve FluxBeam yer alıyor.
Diğer projeler StakePoint, SupSwap, Longbow, Shprd Finance ve APEX. Flap ve Kintsu ile birlikte, bu liste toplamda 12 farklı web sitesini kapsıyor.
Blockaid, yeni eklenen sitelerin aynı drainer'i sunduğunu belirtti ve soruşturma devam ettiğini söyledi. Uyarı, saldırganın kimliğini doğrulamadı, kurban sayısını veya toplam kayıp miktarını açıklamadı.
Daha önce güvenlik araştırmacısı Ogle, cüzdan bağlantısı düğmesine tıklayan ziyaretçileri bir zararlı drainer sayfasına yönlendiren bir eklenti betiği hakkında bir uyarı yayınlamıştı ve kullanıcıları bu sitelerin cüzdanlarını bağlamaktan kaçınmaya çağırdı.
Yaygın olan erken uyarı ekran görüntüsünde stonkbrokers[.]cash da yer alıyordu. Blockaid, daha sonra yaptığı açık uyarıda önce Flap ve Kintsu'yu adlandırdı, ardından ek olarak 10 başka alan adını ekledi; bu nedenle yaygın olan ekran görüntüsü tamamen aynı listeyi içermiyor.
Flap, resmi domaininin ziyaretçileri yönlendireceğini onaylıyor.
Flap, resmi web sitesinin DNS kaçırma saldırılarına uğradığını doğruladı. Takım, web sitesinin ziyaretçileri yetkisiz bir hedefe yönlendirdiğini belirtti ve kullanıcıları, ayrıntılı bildirim verilene kadar siteyi ziyaret etmemeye, cüzdanlarını bağlamamaya ve işlem imzalamamaya çağırdı.
Uyarı verirken Flap, web sitesinin yeniden başlatılması için çaba gösterdiğini ve güvenli hale geldiğinde ayrı bir bildirimde bulunacağını belirtti. İlgili Çince duyuruda, kullanıcıların projenin resmi sosyal medya hesaplarından yayımlanan bilgilere başvurmaları istendi.
DNS kayıtları, tarayıcıları web sitesini barındıran altyapıya yönlendirir. Flap'ın bu olaya ilişkin açıklamasına göre, legít adresler ziyaretçileri yetkisiz sitelere yönlendiriyordu.
Bu uyarı, yanlış yazılmış adreslere tıklamadan veya istenmeyen tanıtım bağlantılarına girmeden doğrudan projenin tanıdık alan adına erişen kişileri hedef alıyor. Flap'ın duyurusu, zarar gören kayıtların sorumlu sağlayıcısını belirtmedi ve saldırganların erişim nasıl sağladığını açıklamadı.
StonkFun, altyapısını taşıdıktan sonra web sitesini yeniden açıyor
StonkFun, web sitesinin Blockaid tarafından işaretlenen bir domain saldırısına uğradığını doğruladı. İlk duyurusunda kullanıcıları web sitesinden uzak durmaya ve ekip iyileştirme çalışmalarını tamamlayana kadar cüzdanlarını bağlamamaya çağırdı.
Proje, olayın web sitesini etkilediğini, ancak zincir üzerindeki işlevlerin sorunsuz olduğunu belirtti. Açıklamada, şu anda kimlerin etkilendiği bilinmediği ifade edildi.
Sonraki güncellemelerde StonkFun, web sitesini kapatıp yeni altyapıya geçtiğini belirtti. Web sitesi yeniden etkin hale getirilse de, takım, bazı ağların bu değişikliği algılaması için bu kadar süreye ihtiyaç duyabileceğinden kullanıcıların cüzdanlarını bağlamadan önce bir saat beklemesini istedi.
Yeniden duyuruda, zincir üzerindeki işlemlerin sorunsuz şekilde çalıştığı vurgulanıyor ve ekip, kullanıcıların etkilenip etkilenmediğini bilmiyor. StonkFun'un iki açıklaması da kayıp tahminleri vermedi ve tazminat sürecini ilan etmedi.
Daha önceki DNS saldırıları, projenin alan adını değiştirmesine neden olmuştur.
Benzer bir web sitesi sızıntısı, daha önce DeFi ekiplerinin kullanıcıların hizmetlere erişim yöntemlerini değiştirmesine neden olmuştu. crypto.news, 2025 Mayıs'ta, Curve Finance'in saldırganların orijinal web sitesini cüzdanı çalan bir klon siteye yönlendirmesinin ardından yeni bir alan adına geçtiğini bildirdi.
Curve, süreç sırasında güvenlik ortaklarını ve domain kaydedicileriyle iletişime geçti. Takım, kaydedicinin yanıt gecikmesinin eski domain'i bırakma kararının nedenlerinden biri olduğunu belirtti.
Daha sonra kaydedici, Curve.fi'yi dondurarak kötü niyetli drainer'ı devre dışı bıraktı. Curve, daha sonra bir Ethereum Name Service adresini alternatif bir erişim seçeneği olarak tanıtmayı planladığını doğruladı.