Halloween-angrep på DeFi-nettsteder
Et Halloween-angrep har rammet minst 12 DeFi-nettsteder, med Blockaid som identifiserer Step Drainer-verktøysettet på de berørte sidene. Teamene advarer brukere mot å koble til lommebøker eller signere transaksjoner.
Første varsler og berørte nettsteder
Blockaids første advarsel navnga Flap og Kintsu som mål for et potensielt frontend-angrep den 31. oktober. I en påfølgende varsling listet blockchain-sikkerhetsselskapet opp 10 ytterligere domener som aktivt serverte Step Drainer. De berørte teamene begynte å utstede sine egne advarsler etter hvert som hendelsen utviklet seg.
Flap bekreftet at besøkende til sin offisielle adresse ble omdirigert et annet sted, mens StonkFun senere rapporterte at de hadde gjenopprettet nettstedet sitt etter å ha tatt det offline og flyttet til ny infrastruktur.
Utvidet liste over berørte nettsteder
Den utvidede listen navnga StonkFun, Pickle Finance, Echelon, Origami Finance og FluxBeam. De resterende prosjektene var StakePoint, SupSwap, Longbow, Shprd Finance og APEX. Sammen med Flap og Kintsu dekket listen 12 distinkte nettsteder.
I tillegg til vår tidligere varsling, har det samme angrepet nå blitt identifisert på ytterligere nettsteder som aktivt serverer Step Drainer:
- stonkfun[.]xyz
- pickle[.]finance
- echelon[.]market
- origami[.]finance
- fluxbeam[.]xyz
- stakepoint[.]app
- supswap[.]xyz
Blockaid beskrev de ekstra nettstedene som serverende den samme dreneren og sa at deres etterforskning fortsatt pågikk. Varslene identifiserte ikke en bekreftet angriper, avslørte ikke antall ofre, eller ga et samlet tapstall.
Detaljer om angrepet
En tidligere advarsel sirkulert av sikkerhetsforsker Ogle beskrev et injisert skript som sendte besøkende som klikket på lommeboktilkoblingsknappen til en ondsinnet dreneringsside. Hans innlegg oppfordret brukere til å unngå å koble til lommebøker til de navngitte nettstedene.
Flap bekreftet at deres offisielle nettsted hadde blitt rammet av en DNS-hijacking. Teamet sa at nettstedet deres omdirigerte besøkende til en uautorisert destinasjon og ba brukere om ikke å besøke, koble til lommebøker eller signere transaksjoner inntil videre.
Gjenoppretting og fremtidige tiltak
StonkFun bekreftet at nettstedet deres hadde blitt rammet av domenangrepet som ble flagget av Blockaid. Deres første melding ba brukere om å holde seg unna og unngå å koble til lommebøker mens teamet jobbet med gjenopprettingen. Prosjektet sa at hendelsen påvirket nettstedet deres, og at alt på kjeden fungerte normalt.
Ingen av StonkFun-erklæringene ga et tapestimat eller kunngjorde en kompensasjonsprosess. Lignende nettsidekompromisser har tidligere tvunget DeFi-team til å endre hvordan brukere får tilgang til tjenestene sine.
I mai 2025 rapporterte crypto.news at Curve Finance hadde migrert til et nytt domene etter at angripere omdirigerte det opprinnelige nettstedet til en lommeboksdrenerende klone. Curve engasjerte sikkerhetspartnere og sin registrar under responsen.
