Blockaid cho biết ít nhất 12 trang web DeFi đã bị tấn công vào dịp Halloween, với các trang bị ảnh hưởng hiển thị bộ công cụ Step Drainer; nhóm cảnh báo người dùng không kết nối ví hoặc ký giao dịch.
Blockaid đã chỉ danh Flap, Kintsu và 10 trang web khác trong cảnh báo về các cuộc tấn công phía trước.
Flap xác nhận DNS của họ bị chiếm quyền kiểm soát, tên miền chính thức đã được chuyển hướng đến một trang web không được ủy quyền.
- StonkFun đã khôi phục trang web sau khi di chuyển cơ sở hạ tầng và cho biết họ không rõ có người dùng nào bị ảnh hưởng hay không.
Các cảnh báo này liệt kê các trang web bị xâm nhập, nhưng số lượng nạn nhân và bất kỳ tổn thất nào vẫn chưa được xác định.
Báo động đầu tiên của Blockaid liệt kê Flap và Kintsu là các mục tiêu tiềm năng của cuộc tấn công frontend vào ngày 31 tháng 10. Trong báo động tiếp theo, công ty an ninh blockchain này tiếp tục liệt kê thêm 10 tên miền, cho biết các trang web này đang chủ động cung cấp Step Drainer.
Khi sự việc diễn biến, các đội ngũ bị ảnh hưởng cũng bắt đầu đăng các cảnh báo riêng. Flap xác nhận rằng người dùng truy cập vào địa chỉ chính thức của họ sẽ được chuyển hướng đến nơi khác; sau đó, StonkFun cho biết trang web đã được khôi phục sau khi tắt và di chuyển sang cơ sở hạ tầng mới.
Blockaid cho biết 12 trang web DeFi xuất hiện Step Drainer
Trong cảnh báo ban đầu, Blockaid yêu cầu người dùng không tương tác với Flap và Kintsu cho đến khi vấn đề được giải quyết. Danh sách mở rộng của nó bao gồm StonkFun, Pickle Finance, Echelon, Origami Finance và FluxBeam.
Các dự án còn lại là StakePoint, SupSwap, Longbow, Shprd Finance và APEX. Cùng với Flap và Kintsu, danh sách này bao gồm tổng cộng 12 trang web khác nhau.
Blockaid cho biết các trang web mới đều cung cấp cùng một drainer và cho biết cuộc điều tra vẫn đang tiếp tục. Cảnh báo không xác nhận danh tính kẻ tấn công, cũng không tiết lộ số lượng nạn nhân hoặc tổng số tổn thất.
Trước đó, nhà nghiên cứu bảo mật Ogle đã đưa ra cảnh báo rằng một đoạn mã script được chèn vào sẽ chuyển hướng những người dùng nhấp vào nút kết nối ví đến một trang drainer độc hại. Anh ấy kêu gọi người dùng tránh kết nối ví với các trang web này.
Ảnh chụp màn hình cảnh báo sớm được lan truyền cũng bao gồm stonkbrokers[.]cash. Cảnh báo công khai sau này của Blockaid ban đầu đề cập đến Flap và Kintsu, sau đó mở rộng thêm 10 tên miền khác, do đó danh sách trong ảnh chụp màn hình được lan truyền không hoàn toàn giống nhau.
Flap xác nhận rằng tên miền chính thức của họ sẽ chuyển hướng người truy cập
Flap đã xác nhận rằng trang web chính thức của họ bị tấn công DNS. Nhóm này cho biết trang web đang chuyển hướng người truy cập đến một điểm đến không được ủy quyền và yêu cầu người dùng không truy cập, kết nối ví hoặc ký giao dịch cho đến khi có thông báo mới.
Khi đưa ra cảnh báo, Flap cho biết đang nỗ lực khôi phục trang web và sẽ thông báo thêm khi có thể sử dụng an toàn. Thông báo tiếng Trung đi kèm yêu cầu người dùng tuân theo thông tin được đăng tải trên các tài khoản mạng xã hội chính thức của dự án.
Bản ghi DNS chịu trách nhiệm hướng trình duyệt từ tên miền đến cơ sở hạ tầng lưu trữ trang web. Theo mô tả của Flap về sự kiện này, địa chỉ hợp lệ bản thân nó đang chuyển hướng khách truy cập đến các trang web không được ủy quyền.
Do đó, cảnh báo này nhắm đến những người truy cập trực tiếp vào tên miền quen thuộc của dự án, thay vì phải nhấp vào các địa chỉ đánh vần sai hoặc các liên kết quảng bá không được yêu cầu. Thông báo của Flap không nêu rõ nhà cung cấp dịch vụ chịu trách nhiệm cho bản ghi bị xâm phạm, cũng không giải thích cách kẻ tấn công có được quyền truy cập.
StonkFun đã khôi phục trang web sau khi di chuyển cơ sở hạ tầng
StonkFun xác nhận rằng trang web của họ đã bị tấn công bởi domain được Blockaid đánh dấu. Thông báo đầu tiên của họ yêu cầu người dùng tránh xa trang web và không kết nối ví trong quá trình đội ngũ phục hồi.
Dự án cho biết sự cố này ảnh hưởng đến trang web, trong khi các chức năng trên chuỗi vẫn hoạt động bình thường. Thông báo cho biết hiện chưa xác định được ai bị ảnh hưởng.
Trong bản cập nhật tiếp theo, StonkFun cho biết đã tắt trang web và chuyển sang cơ sở hạ tầng mới. Mặc dù trang web đã được khôi phục, đội ngũ vẫn yêu cầu người dùng chờ một giờ trước khi kết nối ví, vì một số mạng có thể cần thời gian này để nhận diện sự thay đổi.
Thông báo khôi phục nhấn mạnh lại rằng các thao tác trên chuỗi đang hoạt động bình thường và đội ngũ cũng không biết có người dùng nào bị ảnh hưởng. Hai tuyên bố của StonkFun đều không đưa ra ước tính tổn thất cũng như không công bố quy trình bồi thường.
Các cuộc tấn công DNS trước đây đã thúc đẩy dự án chuyển đổi tên miền
Các cuộc xâm nhập trang web tương tự trước đây đã buộc các đội ngũ DeFi thay đổi cách người dùng truy cập dịch vụ. Theo crypto.news vào tháng 5 năm 2025, Curve Finance đã chuyển sang tên miền mới sau khi kẻ tấn công chuyển hướng trang web gốc của họ đến một trang sao chép nhằm đánh cắp ví.
Curve đã liên hệ với các đối tác bảo mật và nhà đăng ký tên miền trong quá trình xử lý. Nhóm cho biết, sự chậm trễ trong phản hồi của nhà đăng ký là một trong những lý do khiến họ quyết định từ bỏ tên miền cũ.
Sau đó, nhà đăng ký đã đóng băng Curve.fi, từ đó vô hiệu hóa drainer độc hại. Curve sau đó xác nhận rằng họ có kế hoạch giới thiệu một địa chỉ Ethereum Name Service như một tùy chọn truy cập khác.