Halloween-angreb på DeFi-websteder
Et Halloween-angreb har målrettet mindst 12 DeFi-websteder, hvor Blockaid har identificeret Step Drainer-værktøjet på de berørte sider. Teams advarer brugere mod at forbinde tegnebøger eller underskrive transaktioner.
Advarsler fra Blockaid
Blockaids første advarsel nævnte Flap og Kintsu som mål for et potentielt frontend-angreb den 31. oktober. I en efterfølgende advarsel listede blockchain-sikkerhedsfirmaet 10 yderligere domæner, som aktivt serverede Step Drainer. De berørte teams begyndte at udsende deres egne advarsler, efterhånden som hændelsen udfoldede sig.
Flap bekræftede, at besøgende på deres officielle adresse blev omdirigeret andetsteds, mens StonkFun senere rapporterede, at de havde genoprettet deres hjemmeside efter at have taget den offline og flyttet til ny infrastruktur.
Liste over berørte websteder
I sin første advarsel bad Blockaid brugere om at undgå interaktioner med Flap og Kintsu, indtil problemet var løst. Den udvidede liste nævnte:
- StonkFun
- Pickle Finance
- Echelon
- Origami Finance
- FluxBeam
- StakePoint
- SupSwap
- Longbow
- Shprd Finance
- APEX
Sammen med Flap og Kintsu dækkede listen 12 forskellige websteder.
Yderligere oplysninger om angrebet
Udover vores tidligere advarsel er det samme angreb nu blevet identificeret på yderligere sider, som aktivt serverer Step Drainer:
- stonkfun[.]xyz
- pickle[.]finance
- echelon[.]market
- origami[.]finance
- fluxbeam[.]xyz
- stakepoint[.]app
- supswap[.]xyz
Blockaid beskrev de yderligere sider som serverende den samme drainer og sagde, at deres undersøgelse fortsatte. Advarslerne identificerede ikke en bekræftet angriber, afslørede ikke et antal ofre eller gav et samlet tabstal.
Reaktion fra berørte teams
Flap bekræftede, at deres officielle hjemmeside var blevet påvirket af en DNS-hijacking. Teamet sagde, at deres hjemmeside omdirigerede besøgende til en uautoriseret destination og bad brugere om ikke at besøge, forbinde tegnebøger eller underskrive transaktioner, indtil videre.
På tidspunktet for advarslen sagde Flap, at de arbejdede på at genoprette hjemmesiden og ville annoncere, når det var sikkert at bruge den igen. Deres ledsagende meddelelse på kinesisk bad brugere om at stole på meddelelser fra projektets officielle sociale konti.
StonkFun’s respons
StonkFun bekræftede, at deres hjemmeside var blevet påvirket af domæneangrebet, som blev flaget af Blockaid. Deres første meddelelse bad brugere om at holde sig væk og undgå at forbinde tegnebøger, mens teamet arbejdede på genopretning.
Projektet sagde, at hændelsen påvirkede deres hjemmeside, og at alt on-chain fungerede normalt. De var ikke klar over, at nogen var blevet påvirket, ifølge meddelelsen. I en efterfølgende opdatering sagde StonkFun, at de havde taget hjemmesiden offline og flyttet den til ny infrastruktur.
Historisk kontekst
Lignende kompromitteringer af websteder har tidligere tvunget DeFi-teams til at ændre, hvordan brugere får adgang til deres tjenester. I maj 2025 rapporterede crypto.news, at Curve Finance var migreret til et nyt domæne, efter at angribere havde omdirigeret deres oprindelige hjemmeside til en tegnebog-dræning klon.
Curve engagerede sikkerhedspartnere og deres registrar under responsen. Teamet sagde, at forsinkelser i registrarens respons bidrog til deres beslutning om at opgive det gamle domæne. Registrarens efterfølgende fryse Curve.fi, hvilket deaktiverede den ondsindede drainer. Curve bekræftede derefter planer om at introducere en Ethereum Name Service-adresse som en alternativ adgangsmulighed.
