Blockaid повідомив, що щонайменше 12 сайтів DeFi були атаковані під час Хеллоуїна; на вплинутих сторінках з’явилися інструменти Step Drainer, і команда попередила користувачів не підключати гаманці чи підписувати транзакції.
Blockaid у попередженні щодо атак на фронтенді вказав Flap, Kintsu та ще 10 сайтів.
Flap підтверджує, що її DNS було захоплено, а офіційний домен було перенаправлено на неавторизований веб-сайт.
StonkFun відновив сайт після міграції інфраструктури та заявив, що не знає, чи були постраждали користувачі.
Ці сповіщення містять список скомпрометованих сайтів, але кількість постраждалих та будь-які збитки ще не встановлені.
Перший попереджувальний відгук Blockaid визначив Flap і Kintsu як цілі потенційних атак на фронтенд 31 жовтня. У наступному попередженні ця компанія з блокчейн-безпеки додала ще 10 доменів, стверджуючи, що ці веб-сайти активно надають Step Drainer.
По мірі розвитку подій зацікавлені команди також почали публікувати власні попередження. Flap підтвердив, що користувачі, які звертаються до його офіційної адреси, перенаправляються іншим чином; пізніше StonkFun повідомив, що сайт було відновлено після виведення його з ладу та міграції на нову інфраструктуру.
Blockaid повідомляє про 12 DeFi-сайтів із Step Drainer
У початковому попередженні Blockaid закликав користувачів не взаємодіяти з Flap і Kintsu до вирішення проблеми. До їхнього розширеного списку входять StonkFun, Pickle Finance, Echelon, Origami Finance та FluxBeam.
Інші проекти — це StakePoint, SupSwap, Longbow, Shprd Finance та APEX. Разом із Flap і Kintsu цей список охоплює 12 різних сайтів.
Blockaid зазначила, що всі нові веб-сайти надають той самий drainer, і розслідування продовжується. Попередження не підтверджує особу нападника, а також не розкриває кількість жертв чи загальну суму збитків.
Раніше дослідник безпеки Ogle опублікував попередження, що вбудований сценарій перенаправляє відвідувачів, які натискають на кнопку підключення гаманця, на зловмисну сторінку drainer. Він закликав користувачів уникати підключення гаманців до цих сайтів.
У поширеному скріншоті раннього попередження також згадувалось stonkbrokers[.]cash. Пізніше публічне попередження Blockaid спочатку назвало Flap і Kintsu, а потім окремо розширило його ще на 10 доменів, тому поширений скріншот не містить повністю однакового списку.
Flap підтверджує, що їхній офіційний домен перенаправить відвідувачів
Flap підтверджує, що їхній офіційний веб-сайт піддався DNS-підміні. Команда повідомила, що сайт перенаправляє відвідувачів на неавторизований адрес, і закликає користувачів не відвідувати сайт, не підключати гаманці та не підписувати транзакції до окремого повідомлення.
Під час видачі попередження Flap повідомив, що працює над відновленням сайту і повідомить окремо, коли він стане безпечним для використання. Відповідне китайське оголошення закликає користувачів керуватися інформацією, опублікованою офіційними соціальними акаунтами проекту.
DNS-записи відповідають за перенаправлення браузера від доменного імені до інфраструктури, на якій розміщений веб-сайт. За описом Flap цієї події, легітимна адреса сама по собі перенаправляє відвідувачів на неавторизований веб-сайт.
Тому це попередження стосується тих, хто безпосередньо доступається до знайомих доменів проекту, не змушуючи їх клікати на похибки в адресах або незапитані рекламні посилання. У повідомленні Flap не вказано, який провайдер відповідає за пошкоджені записи, а також не пояснено, як зловмисники отримали доступ.
StonkFun відновив сайт після міграції інфраструктури
StonkFun підтверджує, що їхній сайт піддався атакі з використанням домену, позначеного Blockaid. У своєму першому оголошенні вони закликали користувачів уникати сайту та не підключати гаманці під час відновлення командою.
Проект зазначає, що цей інцидент вплинув лише на веб-сайт, а функції ланцюга працюють нормально. У повідомленні зазначається, що наразі невідомо, хто постраждав.
У наступному оновленні StonkFun повідомив, що сайт було виведено з ладу та перенесено на нову інфраструктуру. Хоча сайт уже відновлено, команда просить користувачів зачекати одну годину перед підключенням гаманця, оскільки деякі мережі можуть потребувати стільки часу, щоб виявити ці зміни.
Оголошення про відновлення знову підкреслює, що операції в ланцюжку працюють нормально, і команда не знає про жодних впливаних користувачів. Жодна з двох заяв StonkFun не містить оцінки збитків ні оголошення про процес компенсації.
Попередні атаки на DNS змусили проект змінити доменне ім’я
Подібні втручання в роботу сайтів раніше змушували команди DeFi змінювати спосіб, яким користувачі отримують доступ до сервісів. Crypto.news у травні 2025 року повідомив, що Curve Finance перейшла на новий домен після того, як зловмисники перенаправили її оригінальний сайт на клон, що краде гаманці.
Curve звернулася до партнерів з безпеки та реєстратора доменів у процесі реагування. Команда зазначила, що затримка відповіді реєстратора була однією з причин її рішення відмовитися від старого домену.
Після цього реєратор заморозив Curve.fi, що призвело до вимкнення зловмисного drainer. Curve підтвердила, що планує ввести адресу Ethereum Name Service як додатковий спосіб доступу.