Атака на DeFi DNS затронула 12 сайтов: Blockaid выявил Step Drainer

Атака на Хэллоуин в сфере DeFi

Атака на Хэллоуин нацелилась как минимум на 12 сайтов в сфере DeFi, при этом компания Blockaid обнаружила инструментарий Step Drainer на затронутых страницах. Команды предупреждают пользователей о необходимости избегать подключения кошельков или подписания транзакций.

Первоначальные предупреждения

Первоначальное предупреждение от Blockaid указало на Flap и Kintsu как на цели потенциальной фронтальной атаки 31 октября. В последующем уведомлении компания по безопасности блокчейнов перечислила 10 дополнительных доменов, которые, по ее словам, активно обслуживали Step Drainer.

Затронутые команды начали выпускать собственные предупреждения по мере развития инцидента.

Список затронутых сайтов

Расширенный список включал:

• StonkFun
• Pickle Finance
• Echelon
• Origami Finance
• FluxBeam
• StakePoint
• SupSwap
• Longbow
• Shprd Finance
• APEX

Таким образом, вместе с Flap и Kintsu список охватывал 12 различных веб-сайтов.

Детали инцидента

Blockaid описал дополнительные сайты как обслуживающие тот же дренаж и сообщил, что его расследование продолжается. Уведомления не идентифицировали подтвержденного злоумышленника, не раскрыли количество жертв и не предоставили общую сумму убытков.

Ранее распространенное предупреждение исследователя безопасности Ogle описывало внедренный скрипт, который перенаправлял посетителей, кликнувших на кнопку подключения кошелька, на вредоносную страницу дренажа.

Подтверждение атак

Flap подтвердил, что его официальный сайт был затронут захватом DNS. Команда сообщила, что ее сайт перенаправляет посетителей на несанкционированный ресурс и попросила пользователей не посещать, не подключать кошельки и не подписывать транзакции до дальнейшего уведомления.

На момент предупреждения Flap сообщил, что работает над восстановлением сайта и объявит, когда его снова можно будет безопасно использовать. Его сопроводительное уведомление на китайском языке призвало пользователей полагаться на объявления из официальных социальных аккаунтов проекта.

Реакция StonkFun

StonkFun подтвердил, что его сайт был затронут атакой на домен, отмеченной Blockaid. Его первое уведомление призвало пользователей держаться подальше и избегать подключения кошельков, пока команда работала над восстановлением.

Проект сообщил, что инцидент затронул его сайт и что все операции в цепочке функционировали нормально. По данным уведомления, он не знал о пострадавших.

Изменения в доступе к услугам

Подобные компрометации веб-сайтов ранее заставляли команды DeFi менять способ доступа пользователей к их услугам. В мае 2025 года crypto.news сообщило, что Curve Finance мигрировала на новый домен после того, как злоумышленники перенаправили ее оригинальный веб-сайт на клон, который высасывал кошельки.

Curve привлекла партнеров по безопасности и своего регистратора во время реагирования. Команда сообщила, что задержки в ответе регистратора способствовали ее решению отказаться от старого домена.