В канун Хэллоуина была осуществлена атака, затронувшая не менее 12 веб-сайтов, работающих в сфере DeFi. Компания Blockaid обнаружила использование инструментария Step Drainer на затронутых страницах, а команды, ответственные за эти сайты, предупредили пользователей о необходимости воздержаться от подключения кошельков или совершения транзакций.

Первое предупреждение от Blockaid, опубликованное 31 октября, указывало на Flap и Kintsu как на потенциальные цели для атак на пользовательский интерфейс. В последующем сообщении компания сообщила о 10 дополнительных доменах, на которых, по ее данным, активно использовался Step Drainer.

Затронутые команды начали публиковать собственные предупреждения по мере развития инцидента. Компания Flap подтвердила, что посетители ее официального сайта перенаправляются на другие ресурсы, а StonkFun позже сообщила о восстановлении своего сайта после его временного отключения и переноса на новую инфраструктуру.

Blockaid выявила использование Step Drainer на 12 сайтах DeFi

В своем первом предупреждении, Blockaid призвала пользователей избегать взаимодействия с сайтами Flap и Kintsu до разрешения проблемы. В расширенном списке были также указаны StonkFun, Pickle Finance, Echelon, Origami Finance и FluxBeam.

Остальные проекты, затронутые атакой, включали StakePoint, SupSwap, Longbow, Shprd Finance и APEX. В совокупности, вместе с Flap и Kintsu, этот список охватывал 12 отдельных веб-сайтов.

Помимо нашего предыдущего предупреждения, аналогичная атака была выявлена на дополнительных сайтах. На этих сайтах активно используется Step Drainer:

• stonkfun[.]xyz

• pickle[.]finance

• echelon[.]market

• origami[.]finance

• fluxbeam[.]xyz

• stakepoint[.]app

• supswap[.]xyz

•…

— Blockaid (@blockaid_) 31 октября 2026

Blockaid сообщила, что на указанных сайтах используется один и тот же вредоносный инструмент, и что расследование продолжается. В предупреждениях не было указано имя подтвержденного злоумышленника, не было сообщено о количестве пострадавших или об общем размере убытков.

Вам также может быть интересно: Curve Finance подтверждает переход на новый домен после манипуляций DNS

Более раннее предупреждение, распространяемое специалистом по безопасности Ogle, описывало внедренный скрипт, который перенаправлял посетителей, нажавших на кнопку подключения кошелька, на вредоносную страницу. В своем сообщении он призвал пользователей воздержаться от подключения кошельков к указанным сайтам.

В копиях этого более раннего предупреждения также упоминался сайт stonkbrokers[.]cash. Более позднее публичное предупреждение от Blockaid сначала указало Flap и Kintsu, а затем было расширено до 10 дополнительных доменов, поэтому не все распространяемые скриншоты содержали идентичный список.

Flap подтвердила, что официальный сайт был затронут манипуляциями DNS

Компания Flap подтвердила, что ее официальный сайт подвергся атаке, связанной с манипуляциями DNS. Команда сообщила, что сайт перенаправляет посетителей на несанкционированный ресурс и попросила пользователей воздержаться от посещения сайта, подключения кошельков или совершения транзакций до дальнейшего уведомления.

В момент предупреждения компания Flap сообщила, что работает над восстановлением веб-сайта и сообщит, когда его будет безопасно использовать. В сопровождающем сообщении на китайском языке пользователям было рекомендовано следить за объявлениями в официальных социальных сетях проекта.

DNS-записи направляют браузеры от доменного имени к инфраструктуре, обслуживающей веб-сайт. Согласно сообщению компании Flap об инциденте, легитимный адрес сам перенаправлял посетителей на несанкционированный сайт.

Таким образом, предупреждение касалось пользователей, заходивших на привычный домен проекта, и не требовало от них использования неправильно написанного адреса или нежелательной рекламной ссылки. В сообщении компании Flap не было указано, какой провайдер несет ответственность за скомпрометированные записи, и не было объяснено, как злоумышленник получил доступ.

StonkFun восстановила свой веб-сайт после переноса на новую инфраструктуру

Компания StonkFun подтвердила, что ее веб-сайт был затронут атакой на домен, о которой сообщила Blockaid. В первом сообщении пользователям было рекомендовано воздержаться от посещения сайта и не подключать кошельки, пока команда работает над восстановлением.

В сообщении проекта также указывалось, что инцидент затронул только веб-сайт, а все операции в блокчейне функционировали нормально. Компания заявила, что не знает о каких-либо пострадавших пользователях.

В последующем обновлении компания StonkFun сообщила, что отключила веб-сайт и перенесла его на новую инфраструктуру. Несмотря на то, что сайт был восстановлен, команда попросила пользователей подождать час, прежде чем подключать кошельки, поскольку некоторым сетям может потребоваться столько времени, чтобы распознать изменения.

В сообщении о восстановлении повторно подчеркивалось, что операции в блокчейне функционируют нормально, и что компания не знает о пострадавших пользователях. Ни в одном из сообщений StonkFun не приводились оценки убытков и не объявлялось о программе компенсаций.

Предыдущие атаки на DNS приводили к миграции доменов

Подобные случаи взлома веб-сайтов ранее вынуждали команды, занимающиеся DeFi, менять способы доступа пользователей к своим сервисам. В мае 2025 года издание crypto.news сообщило, что компания Curve Finance перешла на новый домен после того, как злоумышленники перенаправили ее оригинальный веб-сайт на поддельную копию, предназначенную для кражи средств из кошельков.

Компания Curve привлекла к решению проблемы партнеров по безопасности и своего регистратора. Команда заявила, что задержки в ответе регистратора повлияли на решение отказаться от старого домена.

Впоследствии регистратор заблокировал Curve.fi, отключив вредоносную программу. Затем компания Curve подтвердила планы по внедрению адреса Ethereum Name Service в качестве дополнительного варианта доступа.