Attacco DNS a DeFi: 12 siti colpiti mentre Blockaid segnala Step Drainer

Attacco informatico nel settore DeFi

Un attacco informatico ha preso di mira almeno 12 siti web nel settore della finanza decentralizzata (DeFi), con Blockaid che ha identificato il toolkit Step Drainer sulle pagine interessate. I team di sviluppo hanno avvertito gli utenti di non connettere i propri portafogli o firmare transazioni.

Dettagli dell'attacco

L'avviso iniziale di Blockaid ha menzionato Flap e Kintsu come obiettivi di un potenziale attacco frontend il 31 ottobre. In un avviso successivo, la società di sicurezza blockchain ha elencato 10 domini aggiuntivi che stavano attivamente servendo Step Drainer. I team coinvolti hanno iniziato a emettere i propri avvisi mentre l'incidente si sviluppava.

Flap ha confermato che i visitatori del suo sito ufficiale venivano reindirizzati a destinazioni non autorizzate, mentre StonkFun ha successivamente riportato di aver ripristinato il proprio sito web dopo averlo messo offline e trasferito su una nuova infrastruttura.

Nel suo avviso iniziale, Blockaid ha esortato gli utenti a evitare interazioni con Flap e Kintsu fino a quando il problema non fosse stato risolto. La lista ampliata ha incluso:

• StonkFun
• Pickle Finance
• Echelon
• Origami Finance
• FluxBeam
• StakePoint
• SupSwap
• Longbow
• Shprd Finance
• APEX

Indagini e avvisi

Oltre al nostro avviso precedente, lo stesso attacco è stato ora identificato su ulteriori siti che servono lo Step Drainer:

• stonkfun[.]xyz
• pickle[.]finance
• echelon[.]market
• origami[.]finance
• fluxbeam[.]xyz
• stakepoint[.]app
• supswap[.]xyz

Blockaid ha descritto i siti aggiuntivi come compromessi e ha dichiarato che la sua indagine era in corso. Gli avvisi non hanno identificato un attaccante confermato, né hanno divulgato un numero di vittime o fornito una cifra di perdite aggregate.

Reazioni dei team coinvolti

Un avviso precedente, circolato dal ricercatore di sicurezza Ogle, descriveva uno script iniettato che reindirizzava i visitatori che cliccavano sul pulsante di connessione del portafoglio a una pagina di drainer malevola. Il suo post esortava gli utenti a evitare di connettere i portafogli ai siti nominati.

Flap ha confermato che il suo sito ufficiale era stato colpito da un dirottamento DNS. Il team ha avvisato che il sito stava reindirizzando i visitatori a una destinazione non autorizzata e ha chiesto agli utenti di non visitare, connettere portafogli o firmare transazioni fino a nuovo avviso.

Al momento dell'avviso, Flap ha dichiarato di essere al lavoro per ripristinare il sito e avrebbe annunciato quando sarebbe stato sicuro utilizzarlo di nuovo. Il suo avviso in lingua cinese ha esortato gli utenti a fare affidamento sugli annunci degli account social ufficiali del progetto.

Conclusioni e misure future

StonkFun ha confermato che il suo sito web era stato colpito dall'attacco al dominio segnalato da Blockaid. Il suo primo avviso ha esortato gli utenti a stare lontani e a evitare di connettere portafogli mentre il team lavorava al ripristino. Anche se il sito era stato ripristinato, il team ha chiesto agli utenti di attendere un'ora prima di connettere un portafoglio, poiché alcune reti potrebbero impiegare quel tempo per riconoscere il cambiamento.

Compromissioni simili dei siti web hanno precedentemente costretto i team DeFi a cambiare il modo in cui gli utenti accedono ai loro servizi. Nel maggio 2025, crypto.news ha riportato che Curve Finance aveva migrato a un nuovo dominio dopo che gli attaccanti avevano reindirizzato il suo sito originale a un clone che drenava portafogli.