Halloween-attack mot DeFi-webbplatser
En Halloween-attack har riktat sig mot minst 12 DeFi-webbplatser, där Blockaid har identifierat verktyget Step Drainer på de drabbade sidorna. Teamen varnar användare för att koppla sina plånböcker eller signera transaktioner.
Varningar och drabbade webbplatser
Blockaids första varning namngav Flap och Kintsu som mål för en potentiell frontend-attack den 31 oktober. I en efterföljande varning listade blockchain-säkerhetsföretaget ytterligare 10 domäner som aktivt serverade Step Drainer. De drabbade teamen började utfärda sina egna varningar när incidenten utvecklades.
Flap bekräftade att besökare på deras officiella adress blev omdirigerade någon annanstans, medan StonkFun senare rapporterade att de hade återställt sin webbplats efter att ha tagit den offline och flyttat till ny infrastruktur.
I sin första varning bad Blockaid användare att undvika interaktioner med Flap och Kintsu tills problemet var löst. Den utvidgade listan namngav även StonkFun, Pickle Finance, Echelon, Origami Finance och FluxBeam. De återstående projekten var StakePoint, SupSwap, Longbow, Shprd Finance och APEX.
Detaljer om attacken
Förutom vår tidigare varning har samma attack nu identifierats på ytterligare sidor som aktivt serverar Step Drainer:
- stonkfun[.]xyz
- pickle[.]finance
- echelon[.]market
- origami[.]finance
- fluxbeam[.]xyz
- stakepoint[.]app
- supswap[.]xyz
Blockaid beskrev de ytterligare sidorna som serverande samma drainer och sa att deras utredning fortsatte. Varningarna identifierade inte en bekräftad angripare, avslöjade inte antalet offer eller gav en sammanlagd förlustsiffra.
Reaktioner från drabbade team
En tidigare varning som cirkulerade av säkerhetsforskaren Ogle beskrev ett injicerat skript som skickade besökare som klickade på plånboksanslutningsknappen till en skadlig drainer-sida. Hans inlägg uppmanade användare att undvika att koppla plånböcker till de namngivna sidorna.
Flap bekräftade att deras officiella webbplats hade påverkats av en DNS-hijack. Teamet sa att deras webbplats omdirigerade besökare till en obehörig destination och bad användare att inte besöka, koppla plånböcker eller signera transaktioner tills vidare meddelande.
Vid tidpunkten för varningen sa Flap att de arbetade med att återställa webbplatsen och skulle meddela när det var säkert att använda den igen. Deras medföljande meddelande på kinesiska bad användare att förlita sig på meddelanden från projektets officiella sociala konton.
Återställning och framtida åtgärder
StonkFun bekräftade att deras webbplats hade påverkats av domänattacken som flaggades av Blockaid. Deras första meddelande bad användare att hålla sig borta och undvika att koppla plånböcker medan teamet arbetade med återställningen. Projektet sa att incidenten påverkade deras webbplats och att allt på kedjan fungerade normalt.
De var inte medvetna om att någon hade påverkats, enligt meddelandet. I en efterföljande uppdatering sa StonkFun att de hade tagit webbplatsen offline och flyttat den till ny infrastruktur. Även om webbplatsen hade återställts, bad teamet användare att vänta en timme innan de kopplade en plånbok eftersom vissa nätverk kan ta så lång tid att känna igen förändringen.
Återställningsmeddelandet upprepade att kedjeoperationer fungerade normalt och att teamet inte var medvetet om påverkade användare. Varken StonkFun-uttalandet gav en förlustuppskattning eller meddelade en kompensationsprocess.
Liknande webbplatskompromisser har tidigare tvingat DeFi-team att ändra hur användare får tillgång till sina tjänster. I maj 2025 rapporterade crypto.news att Curve Finance hade migrerat till en ny domän efter att angripare omdirigerade dess ursprungliga webbplats till en plånboksdränerande klon.
Curve engagerade säkerhetspartner och sin registrar under svaret. Teamet sa att förseningar i registrarens svar bidrog till deras beslut att överge den gamla domänen. Registraren frös därefter Curve.fi, vilket inaktiverade den skadliga drainer. Curve bekräftade sedan planer på att införa en Ethereum Name Service-adress som ett annat åtkomstalternativ.
