Un ataque DNS en DeFi afecta a 12 sitios mientras Blockaid señala a Step Drainer

Incidente de Seguridad en DeFi

Un ataque de Halloween ha dirigido su objetivo a al menos 12 sitios web de DeFi, con Blockaid identificando el kit de herramientas Step Drainer en las páginas afectadas. Los equipos de seguridad han advertido a los usuarios que eviten conectar sus billeteras o firmar transacciones.

"La advertencia inicial de Blockaid mencionó a Flap y Kintsu como posibles objetivos de un ataque frontend el 31 de octubre."

En una alerta posterior, la empresa de seguridad blockchain enumeró 10 dominios adicionales que, según indicó, estaban sirviendo activamente a Step Drainer. Los equipos afectados comenzaron a emitir sus propias advertencias a medida que se desarrollaba el incidente.

Detalles del Ataque

Flap confirmó que los visitantes de su dirección oficial estaban siendo redirigidos a un sito no autorizado, mientras que StonkFun informó más tarde que había restaurado su sitio web después de sacarlo de línea y mudarse a una nueva infraestructura. En su alerta inicial, Blockaid pidió a los usuarios que evitaran interacciones con Flap y Kintsu hasta que se resolviera el problema.

La lista ampliada incluyó a:

• StonkFun
• Pickle Finance
• Echelon
• Origami Finance
• FluxBeam
• StakePoint
• SupSwap
• Longbow
• Shprd Finance
• APEX

Junto con Flap y Kintsu, la lista abarcó 12 sitios web distintos. Además de nuestra alerta anterior, el mismo ataque ha sido identificado ahora en sitios adicionales que están sirviendo activamente a Step Drainer:

• stonkfun[.]xyz
• pickle[.]finance
• echelon[.]market
• origami[.]finance
• fluxbeam[.]xyz
• stakepoint[.]app
• supswap[.]xyz

Blockaid describió los sitios adicionales como sirviendo al mismo drainer y dijo que su investigación continuaba. Las alertas no identificaron a un atacante confirmado, no revelaron un conteo de víctimas ni proporcionaron una cifra de pérdidas agregadas.

Reacciones de los Proyectos Afectados

Una advertencia anterior, circulada por el investigador de seguridad Ogle, describió un script inyectado que enviaba a los visitantes que hacían clic en el botón de conexión de billetera a una página de drainer malicioso. Su publicación instó a los usuarios a evitar conectar billeteras a los sitios mencionados.

"Flap confirmó que su sitio web oficial había sido afectado por un secuestro de DNS."

El equipo de Flap dijo que su sitio web estaba redirigiendo a los visitantes a un destino no autorizado y pidió a los usuarios que no visitaran, conectaran billeteras o firmaran transacciones hasta nuevo aviso. En el momento de la advertencia, Flap dijo que estaba trabajando para restaurar el sitio web y anunciaría cuándo sería seguro usarlo nuevamente.

StonkFun confirmó que su sitio web había sido afectado por el ataque de dominio señalado por Blockaid. Su primer aviso pidió a los usuarios que se mantuvieran alejados y evitaran conectar billeteras mientras el equipo trabajaba en la restauración. El proyecto dijo que el incidente afectó su sitio web y que todo en la cadena estaba funcionando normalmente.

Lecciones Aprendidas

Compromisos similares de sitios web han obligado anteriormente a los equipos de DeFi a cambiar la forma en que los usuarios acceden a sus servicios. En mayo de 2025, crypto.news informó que Curve Finance había migrado a un nuevo dominio después de que los atacantes redirigieran su sitio web original a un clon que drenaba billeteras.

Curve involucró a socios de seguridad y a su registrador durante la respuesta. El equipo dijo que los retrasos en la respuesta del registrador contribuyeron a su decisión de abandonar el antiguo dominio. El registrador posteriormente congeló Curve.fi, deshabilitando el drainer malicioso. Curve luego confirmó planes para introducir una dirección de Ethereum Name Service como otra opción de acceso.