Halloween-hyökkäys DeFi-verkkosivustoilla
Halloween-hyökkäys on kohdistunut vähintään 12 DeFi-verkkosivustoon, ja Blockaid on tunnistanut Step Drainer -työkalupakin vaikuttavilta sivuilta. Tiimit varoittavat käyttäjiä välttämään lompakoiden yhdistämistä tai tapahtumien allekirjoittamista.
Varoitukset ja vaikutukset
Blockaidin alkuperäisessä varoituksessa mainittiin Flap ja Kintsu mahdollisina etupään hyökkäyksen kohteina 31. lokakuuta. Seuraavassa hälytyksessä lohkoketjuturvayritys listasi 10 muuta verkkotunnusta, joita se sanoi aktiivisesti palvelevan Step Draineria. Vaikuttavat tiimit alkoivat julkaista omia varoituksiaan tapahtuman edetessä.
Flap vahvisti, että sen viralliselle osoitteelle saapuvat vierailijat ohjattiin muualle, kun taas StonkFun raportoi myöhemmin palauttaneensa verkkosivustonsa sen oltua offline-tilassa ja siirryttyään uuteen infrastruktuuriin.
Alkuperäisessä hälytyksessään Blockaid pyysi käyttäjiä välttämään vuorovaikutusta Flapin ja Kintsun kanssa, kunnes ongelma oli ratkaistu. Laajennettu lista mainitsi myös StonkFunin, Pickle Financen, Echelonin, Origami Financen ja FluxBeamin. Muut projektit olivat StakePoint, SupSwap, Longbow, Shprd Finance ja APEX.
Lisätiedot ja tutkimus
Yhdessä Flapin ja Kintsun kanssa lista kattoi 12 erilaista verkkosivustoa. Aiemman hälytyksemme lisäksi sama hyökkäys on nyt tunnistettu lisäsivustoilla, jotka palvelevat aktiivisesti Step Draineria:
- stonkfun[.]xyz
- pickle[.]finance
- echelon[.]market
- origami[.]finance
- fluxbeam[.]xyz
- stakepoint[.]app
- supswap[.]xyz
Blockaid kuvasi lisäsivustoja, jotka palvelevat samaa draineria, ja sanoi tutkimuksensa jatkuvan. Hälytyksissä ei tunnistettu vahvistettua hyökkääjää, paljastettu uhreja tai annettu yhteenlaskettua tappioluku.
Hyökkäyksen yksityiskohdat
Aiempi varoitus, jonka levitti tietoturvatutkija Ogle, kuvasi injektoitua skriptiä, joka lähetti vierailijat, jotka napsauttivat lompakon yhdistämispainiketta, haitalliselle drainerisivulle. Hänen julkaisunsa kehotti käyttäjiä välttämään lompakoiden yhdistämistä nimettyihin sivustoihin.
Kopiot tuosta aikaisemmasta varoituksesta sisälsivät stonkbrokers[.]cash.
Blockaidin myöhempi julkinen varoitus mainitsi Flapin ja Kintsun ennen erillistä laajennustaan 10 muuhun verkkotunnukseen, joten kiertävät kuvakaappaukset eivät kaikki sisältäneet identtistä listaa. Flap vahvisti, että sen virallista verkkosivustoa oli vaikuttanut DNS-kaappaus.
Verkkosivustojen palautus ja käyttäjien ohjeet
Tiimi sanoi, että sen verkkosivusto ohjasi vierailijat valtuuttamattomaan kohteeseen ja pyysi käyttäjiä olemaan vierailematta, yhdistämättä lompakoita tai allekirjoittamatta tapahtumia, kunnes toisin ilmoitetaan. Varauksen aikaan Flap sanoi työskentelevänsä verkkosivuston palauttamiseksi ja ilmoittavansa, kun se on jälleen turvallista käyttää.
StonkFun vahvisti, että sen verkkosivustoa oli vaikuttanut Blockaidin merkitsemä verkkotunnushyökkäys. Sen ensimmäinen ilmoitus pyysi käyttäjiä pysymään poissa ja välttämään lompakoiden yhdistämistä, kun tiimi työskenteli palautuksen parissa.
Seuraavassa päivityksessä StonkFun sanoi, että se oli ottanut verkkosivuston offline-tilaan ja siirtänyt sen uuteen infrastruktuuriin.
Vaikka sivusto oli palautettu, tiimi pyysi käyttäjiä odottamaan tunnin ennen lompakon yhdistämistä, koska joidenkin verkkojen saattoi kestää niin kauan tunnistaa muutos. Palautusilmoitus toisti, että on-chain toiminnot toimivat normaalisti ja että tiimi ei ollut tietoinen vaikuttaneista käyttäjistä.
Historialliset kontekstit
Kumpikaan StonkFunin lausunto ei antanut tappioarviota tai ilmoittanut korvausprosessista. Vastaavia verkkosivustojen kaappauksia on aiemmin pakottanut DeFi-tiimejä muuttamaan tapaa, jolla käyttäjät pääsevät käsiksi palveluihinsa. Toukokuussa 2025 crypto.news raportoi, että Curve Finance oli siirtynyt uuteen verkkotunnukseen sen jälkeen, kun hyökkääjät ohjasivat sen alkuperäisen verkkosivuston lompakkoa tyhjentävään klooniin.
Curve teki yhteistyötä turvallisuuskumppaneiden ja rekisterinpitäjän kanssa vastauksessaan. Tiimi sanoi, että rekisterinpitäjän vastauksen viivästykset vaikuttivat sen päätökseen hylätä vanha verkkotunnus. Rekisterinpitäjä jäädytti myöhemmin Curve.fi:n, estäen haitallisen drainerin. Curve vahvisti sitten suunnitelmat ottaa käyttöön Ethereum Name Service -osoite toisena pääsyvaihtoehtona.
