Serangan DNS DeFi Melanda 12 Situs Saat Blockaid Menandai Step Drainer

Serangan Halloween telah menargetkan setidaknya 12 situs web DeFi, dengan Blockaid mengidentifikasi toolkit Step Drainer di halaman-halaman yang terkena dampak dan tim memperingatkan pengguna untuk tidak menghubungkan dompet atau menandatangani transaksi.

Ringkasan

• Blockaid mengidentifikasi Flap, Kintsu, dan 10 situs web lainnya dalam peringatan tentang serangan frontend.
• Flap mengonfirmasi adanya pembajakan DNS yang mengalihkan domain resminya ke situs web yang tidak sah.
• StonkFun memulihkan situs webnya setelah memindahkan infrastruktur dan mengatakan tidak mengetahui pengguna yang terkena dampak.
• Peringatan tersebut mengidentifikasi situs web yang terkompromi, sementara jumlah korban dan kerugian yang dialami belum ditentukan.

Peringatan awal Blockaid menyebut Flap dan Kintsu sebagai target serangan frontend yang potensial pada 31 Oktober. Dalam peringatan selanjutnya, perusahaan keamanan blockchain itu mencantumkan 10 domain tambahan yang dikatakan aktif melayani Step Drainer.

Tim yang terkena dampak mulai mengeluarkan peringatan mereka sendiri saat insiden berlangsung. Flap mengonfirmasi bahwa pengunjung ke alamat resminya dialihkan ke tempat lain, sementara StonkFun kemudian melaporkan bahwa mereka telah memulihkan situs webnya setelah menonaktifkannya dan pindah ke infrastruktur baru.

Blockaid Mengidentifikasi Step Drainer di 12 Situs DeFi

Dalam peringatan awalnya, Blockaid meminta pengguna untuk menghindari interaksi dengan Flap dan Kintsu sampai masalah teratasi. Daftar yang diperluas mencantumkan StonkFun, Pickle Finance, Echelon, Origami Finance, dan FluxBeam.

Proyek yang tersisa adalah StakePoint, SupSwap, Longbow, Shprd Finance, dan APEX. Bersama dengan Flap dan Kintsu, daftar tersebut mencakup 12 situs web yang berbeda.

Selain peringatan kami sebelumnya, serangan yang sama sekarang telah diidentifikasi di situs tambahan. Ini sedang melayani Step Drainer:

• stonkfun[.]xyz

• pickle[.]finance

• echelon[.]market

• origami[.]finance

• fluxbeam[.]xyz

• stakepoint[.]app

• supswap[.]xyz

•...
--- Blockaid (@blockaid_) 31 Oktober 2026

Blockaid menggambarkan situs tambahan tersebut sebagai melayani drainer yang sama dan mengatakan penyelidikannya masih berlangsung. Peringatan tersebut tidak mengidentifikasi penyerang yang terkonfirmasi, mengungkapkan jumlah korban, atau memberikan angka kerugian total.

Peringatan sebelumnya yang beredar oleh peneliti keamanan Ogle menggambarkan skrip yang disuntikkan yang mengarahkan pengunjung yang mengklik tombol koneksi dompet ke halaman drainer yang berbahaya. Postingnya mendesak pengguna untuk menghindari menghubungkan dompet ke situs yang disebutkan.

Salinan peringatan sebelumnya itu termasuk stonkbrokers[.]cash. Peringatan publik Blockaid selanjutnya menyebut Flap dan Kintsu sebelum perluasan terpisahnya ke 10 domain lainnya, sehingga tangkapan layar yang beredar tidak semuanya mengandung daftar yang identik.

Flap Mengonfirmasi Domain Resminya Mengalihkan Pengunjung

Flap mengonfirmasi bahwa situs web resminya telah terpengaruh oleh pembajakan DNS. Tim mengatakan situs webnya mengalihkan pengunjung ke tujuan yang tidak sah dan meminta pengguna untuk tidak mengunjungi, menghubungkan dompet, atau menandatangani transaksi sampai pemberitahuan lebih lanjut.

Pada saat peringatan, Flap mengatakan sedang bekerja untuk memulihkan situs web dan akan mengumumkan kapan aman untuk digunakan lagi. Pemberitahuan berbahasa Mandarin yang menyertainya meminta pengguna untuk mengandalkan pengumuman dari akun sosial resmi proyek tersebut.

Rekaman DNS mengarahkan browser dari nama domain ke infrastruktur yang melayani situs webnya. Dalam laporan Flap tentang insiden tersebut, alamat yang sah itu sendiri mengarahkan pengunjung ke situs yang tidak sah.

Oleh karena itu, peringatan tersebut mencakup orang-orang yang menjelajahi domain yang dikenal proyek tersebut, tanpa memerlukan mereka untuk mengikuti alamat yang salah eja atau tautan promosi yang tidak diminta. Pemberitahuan Flap tidak mengidentifikasi penyedia yang bertanggung jawab atas catatan yang terkompromi atau menjelaskan bagaimana penyerang mendapatkan akses.

StonkFun Memulihkan Situs Webnya Setelah Pindah Infrastruktur

StonkFun mengonfirmasi bahwa situs webnya telah terpengaruh oleh serangan domain yang ditandai oleh Blockaid. Pemberitahuan pertamanya meminta pengguna untuk menjauh dan menghindari menghubungkan dompet sementara tim bekerja pada pemulihan.

Proyek tersebut mengatakan insiden itu mempengaruhi situs webnya dan bahwa semua operasi on-chain berjalan normal. Mereka tidak mengetahui adanya pengguna yang terkena dampak, menurut pemberitahuan tersebut.

Dalam pembaruan selanjutnya, StonkFun mengatakan telah menonaktifkan situs web dan memindahkannya ke infrastruktur baru. Meskipun situs telah dipulihkan, tim meminta pengguna untuk menunggu satu jam sebelum menghubungkan dompet karena beberapa jaringan mungkin memerlukan waktu selama itu untuk mengenali perubahan.

Pemberitahuan pemulihan mengulangi bahwa operasi on-chain berfungsi normal dan bahwa tim tidak mengetahui pengguna yang terkena dampak. Tidak ada pernyataan StonkFun yang memberikan estimasi kerugian atau mengumumkan proses kompensasi.

Serangan DNS Sebelumnya Memicu Migrasi Domain

Kompromi situs web serupa sebelumnya telah memaksa tim DeFi untuk mengubah cara pengguna mengakses layanan mereka. Pada Mei 2025, crypto.news melaporkan bahwa Curve Finance telah bermigrasi ke domain baru setelah penyerang mengalihkan situs web aslinya ke klon yang menguras dompet.

Curve melibatkan mitra keamanan dan pendaftar selama respons. Tim mengatakan keterlambatan dalam respons pendaftar berkontribusi pada keputusannya untuk meninggalkan domain lama.

Pendaftar kemudian membekukan Curve.fi, menonaktifkan drainer yang berbahaya. Curve kemudian mengonfirmasi rencana untuk memperkenalkan alamat Layanan Nama Ethereum sebagai opsi akses lainnya.