DeFi-DNS-Angriff trifft 12 Websites, während Blockaid Step Drainer identifiziert

Einführung

Ein Halloween-Angriff hat mindestens 12 DeFi-Websites ins Visier genommen. Blockaid hat das Step Drainer-Toolkit auf den betroffenen Seiten identifiziert und die Teams warnen die Nutzer, keine Wallets zu verbinden oder Transaktionen zu signieren.

Warnungen und betroffene Websites

Blockaids erste Warnung nannte Flap und Kintsu als Ziele eines potenziellen Frontend-Angriffs am 31. Oktober. In einer nachfolgenden Warnung listete das Blockchain-Sicherheitsunternehmen zehn weitere Domains auf, die aktiv Step Drainer bedienten. Die betroffenen Teams begannen, eigene Warnungen auszugeben, während sich der Vorfall entwickelte.

Flap bestätigte, dass Besucher seiner offiziellen Adresse an einen anderen Ort umgeleitet wurden, während StonkFun später berichtete, dass es seine Website wiederhergestellt hatte, nachdem es sie offline genommen und auf eine neue Infrastruktur umgezogen war.

In seiner ersten Warnung bat Blockaid die Nutzer, Interaktionen mit Flap und Kintsu zu vermeiden, bis das Problem behoben war. Die erweiterte Liste nannte:

• StonkFun
• Pickle Finance
• Echelon
• Origami Finance
• FluxBeam
• StakePoint
• SupSwap
• Longbow
• Shprd Finance
• APEX

Zusammen mit Flap und Kintsu deckte die Liste insgesamt 12 verschiedene Websites ab.

Details zum Angriff

Blockaid beschrieb die zusätzlichen Seiten als solche, die denselben Drainer bedienen, und sagte, dass die Untersuchung fortgesetzt werde. Die Warnungen identifizierten keinen bestätigten Angreifer, gaben keine Opferzahl an und lieferten keine aggregierte Verlustsumme.

Eine frühere Warnung, die von dem Sicherheitsforscher Ogle verbreitet wurde, beschrieb ein injiziertes Skript, das Besucher, die auf die Schaltfläche zur Wallet-Verbindung klickten, auf eine bösartige Drainer-Seite leitete.

Sein Beitrag forderte die Nutzer auf, zu vermeiden, Wallets mit den genannten Seiten zu verbinden. Kopien dieser früheren Warnung beinhalteten stonkbrokers[.]cash.

Reaktionen der betroffenen Teams

Flap bestätigte, dass seine offizielle Website von einem DNS-Hijack betroffen war. Das Team sagte, dass seine Website Besucher an ein unbefugtes Ziel umleitete und bat die Nutzer, bis auf Weiteres nicht zu besuchen, keine Wallets zu verbinden oder Transaktionen zu signieren.

Zum Zeitpunkt der Warnung sagte Flap, dass es daran arbeite, die Website wiederherzustellen, und bekannt geben würde, wann es wieder sicher sei, sie zu nutzen. Die begleitende chinesischsprachige Mitteilung bat die Nutzer, sich auf Ankündigungen der offiziellen sozialen Konten des Projekts zu verlassen.

StonkFun bestätigte, dass seine Website von dem von Blockaid gekennzeichneten Domainangriff betroffen war. Seine erste Mitteilung bat die Nutzer, sich fernzuhalten und keine Wallets zu verbinden, während das Team an der Wiederherstellung arbeitete.

Das Projekt sagte, dass der Vorfall seine Website betroffen habe und dass alles on-chain normal funktioniere. Es war sich laut der Mitteilung nicht bewusst, dass jemand betroffen war.

In einem nachfolgenden Update sagte StonkFun, dass es die Website offline genommen und auf eine neue Infrastruktur umgezogen habe. Obwohl die Seite wiederhergestellt wurde, bat das Team die Nutzer, eine Stunde zu warten, bevor sie eine Wallet verbinden, da einige Netzwerke so lange brauchen könnten, um die Änderung zu erkennen.

Vergangenheit ähnlicher Vorfälle

Ähnliche Kompromisse von Websites haben zuvor DeFi-Teams gezwungen, zu ändern, wie Nutzer auf ihre Dienste zugreifen. Im Mai 2025 berichtete crypto.news, dass Curve Finance auf eine neue Domain migriert war, nachdem Angreifer die ursprüngliche Website auf einen Wallet-drainenden Klon umgeleitet hatten.

Curve engagierte Sicherheitspartner und seinen Registrar während der Reaktion. Das Team sagte, Verzögerungen bei der Reaktion des Registrars hätten zu seiner Entscheidung beigetragen, die alte Domain aufzugeben. Der Registrar fror anschließend Curve.fi ein und deaktivierte den bösartigen Drainer. Curve bestätigte dann Pläne, eine Ethereum Name Service-Adresse als weitere Zugangsoption einzuführen.