Атака на DeFi DNS затронула 12 сайтов, Blockaid выявил Step Drainer

Атака в Хэллоуин нацелилась как минимум на 12 сайтов DeFi, при этом Blockaid выявил инструментарий Step Drainer на затронутых страницах, а команды предупреждают пользователей о необходимости воздержаться от подключения кошельков или подписания транзакций.

Резюме

• Blockaid выявил Flap, Kintsu и 10 других сайтов в предупреждениях о фронтенд-атаке.
• Flap подтвердил захват DNS, который перенаправил его официальный домен на несанкционированный сайт.
• StonkFun восстановил свой сайт после переноса инфраструктуры и заявил, что не знает о затронутых пользователях.
• Предупреждения идентифицируют скомпрометированные сайты, в то время как количество жертв и любые потери остаются неустановленными.

Первоначальное предупреждение Blockaid назвало Flap и Kintsu целями потенциальной фронтенд-атаки 31 октября. В последующем предупреждении компания по безопасности блокчейна перечислила 10 дополнительных доменов, которые, по ее словам, активно обслуживали Step Drainer.

Затронутые команды начали выдавать свои собственные предупреждения по мере развития инцидента. Flap подтвердил, что посетители его официального адреса перенаправляются в другое место, в то время как StonkFun позже сообщил, что восстановил свой сайт после его отключения и перехода на новую инфраструктуру.

Blockaid выявляет Step Drainer на 12 сайтах DeFi

В своем первоначальном предупреждении Blockaid попросил пользователей избегать взаимодействия с Flap и Kintsu, пока проблема не будет решена. Его расширенный список назвал StonkFun, Pickle Finance, Echelon, Origami Finance и FluxBeam.

Оставшиеся проекты включали StakePoint, SupSwap, Longbow, Shprd Finance и APEX. Вместе с Flap и Kintsu список охватывал 12 различных веб-сайтов.

В дополнение к нашему предыдущему предупреждению, та же атака теперь была выявлена на дополнительных сайтах. Эти сайты активно обслуживают Step Drainer:

• stonkfun[.]xyz

• pickle[.]finance

• echelon[.]market

• origami[.]finance

• fluxbeam[.]xyz

• stakepoint[.]app

• supswap[.]xyz

•...
--- Blockaid (@blockaid_) 31 октября 2026 года

Blockaid описал дополнительные сайты как обслуживающие тот же дренаж и сообщил, что его расследование продолжается. Предупреждения не идентифицировали подтвержденного злоумышленника, не раскрыли количество жертв и не предоставили общую сумму потерь.

Ранее предупреждение, распространенное исследователем безопасности Ogle, описывало внедренный скрипт, который перенаправлял посетителей, кликнувших на кнопку подключения кошелька, на вредоносную страницу дренажа. Его пост призвал пользователей избегать подключения кошельков к названным сайтам.

Копии этого раннего предупреждения включали stonkbrokers[.]cash. Позднее публичное предупреждение Blockaid назвало Flap и Kintsu перед его отдельным расширением на 10 дополнительных доменов, поэтому циркулирующие скриншоты не содержали идентичного списка.

Flap подтверждает, что его официальный домен перенаправлял посетителей

Flap подтвердил, что его официальный сайт был затронут захватом DNS. Команда заявила, что ее сайт перенаправляет посетителей на несанкционированный ресурс и попросила пользователей не посещать, не подключать кошельки и не подписывать транзакции до дальнейшего уведомления.

На момент предупреждения Flap сообщил, что работает над восстановлением сайта и объявит, когда его снова можно будет безопасно использовать. Его сопроводительное уведомление на китайском языке призвало пользователей полагаться на объявления из официальных социальных аккаунтов проекта.

DNS-записи направляют браузеры с доменного имени на инфраструктуру, обслуживающую его веб-сайт. В рассказе Flap о происшествии легитимный адрес сам перенаправлял посетителей на несанкционированный сайт.

Таким образом, предупреждение охватывало людей, переходящих на знакомый домен проекта, не требуя от них следовать неправильно написанному адресу или нежелательной рекламной ссылке. Уведомление Flap не идентифицировало поставщика, ответственного за скомпрометированные записи, или объясняло, как злоумышленник получил доступ.

StonkFun восстанавливает свой сайт после переноса инфраструктуры

StonkFun подтвердил, что его сайт был затронут атакой на домен, отмеченной Blockaid. Его первое уведомление попросило пользователей оставаться вдали и избегать подключения кошельков, пока команда работала над восстановлением.

Проект заявил, что инцидент затронул его сайт и что все операции в цепочке работают нормально. По уведомлению команда не знала о затронутых пользователях.

В последующем обновлении StonkFun сообщил, что отключил сайт и перенес его на новую инфраструктуру. Хотя сайт был восстановлен, команда попросила пользователей подождать час перед подключением кошелька, так как некоторые сети могут занять столько времени, чтобы распознать изменения.

Уведомление о восстановлении повторило, что операции в цепочке функционируют нормально и что команда не знает о затронутых пользователях. Ни одно из заявлений StonkFun не предоставило оценку потерь или не объявило о процессе компенсации.

Ранее атаки DNS побудили миграцию доменов

Похожие компрометации сайтов ранее заставляли команды DeFi изменять способ доступа пользователей к их услугам. В мае 2025 года crypto.news сообщило, что Curve Finance мигрировала на новый домен после того, как злоумышленники перенаправили ее оригинальный веб-сайт на клон, который высасывал кошельки.

Curve привлекла партнеров по безопасности и своего регистратора во время реагирования. Команда заявила, что задержки в ответе регистратора способствовали ее решению отказаться от старого домена.

Регистратор впоследствии заморозил Curve.fi, отключив вредоносный дренаж. Затем Curve подтвердила планы по внедрению адреса Ethereum Name Service в качестве еще одного варианта доступа.