Ataque DNS DeFi atinge 12 sites enquanto Blockaid sinaliza Step Drainer

Um ataque de Halloween visou pelo menos 12 sites DeFi, com a Blockaid identificando a ferramenta Step Drainer em páginas afetadas e equipes alertando os usuários contra a conexão de carteiras ou a assinatura de transações.

Resumo

• A Blockaid identificou Flap, Kintsu e mais 10 sites em alertas sobre o ataque de frontend.
• Flap confirmou um sequestro de DNS que redirecionou seu domínio oficial para um site não autorizado.
• StonkFun restaurou seu site após mover a infraestrutura e disse que não estava ciente de usuários afetados.
• Os alertas identificam sites comprometidos, enquanto o número de vítimas e quaisquer perdas permanecem não estabelecidos.

O aviso inicial da Blockaid nomeou Flap e Kintsu como alvos de um potencial ataque de frontend em 31 de outubro. Em um alerta subsequente, a empresa de segurança blockchain listou 10 domínios adicionais que, segundo ela, estavam servindo ativamente o Step Drainer.

As equipes afetadas começaram a emitir seus próprios avisos à medida que o incidente se desenrolava. Flap confirmou que visitantes de seu endereço oficial estavam sendo redirecionados para outro lugar, enquanto StonkFun relatou mais tarde que havia restaurado seu site após tirá-lo do ar e mover para uma nova infraestrutura.

Blockaid identifica Step Drainer em 12 sites DeFi

Em seu alerta inicial, a Blockaid pediu aos usuários que evitassem interações com Flap e Kintsu até que o problema fosse resolvido. Sua lista expandida nomeou StonkFun, Pickle Finance, Echelon, Origami Finance e FluxBeam.

Os projetos restantes foram StakePoint, SupSwap, Longbow, Shprd Finance e APEX. Juntamente com Flap e Kintsu, a lista cobriu 12 sites distintos.

Além do nosso alerta anterior, o mesmo ataque foi agora identificado em sites adicionais. Estes estão servindo ativamente o Step Drainer:

• stonkfun[.]xyz

• pickle[.]finance

• echelon[.]market

• origami[.]finance

• fluxbeam[.]xyz

• stakepoint[.]app

• supswap[.]xyz

•...
--- Blockaid (@blockaid_) 31 de outubro de 2026

A Blockaid descreveu os sites adicionais como servindo o mesmo drainer e disse que sua investigação estava em andamento. Os alertas não identificaram um atacante confirmado, divulgaram um número de vítimas ou forneceram um valor total de perdas.

Um aviso anterior circulado pelo pesquisador de segurança Ogle descreveu um script injetado que enviava visitantes que clicavam no botão de conexão da carteira para uma página de drainer malicioso. Seu post instou os usuários a evitar conectar carteiras aos sites nomeados.

Cópias desse aviso anterior incluíam stonkbrokers[.]cash. O alerta público posterior da Blockaid nomeou Flap e Kintsu antes de sua expansão separada para mais 10 domínios, portanto, as capturas de tela circulantes não continham todas uma lista idêntica.

Flap confirma que seu domínio oficial redirecionou visitantes

Flap confirmou que seu site oficial havia sido afetado por um sequestro de DNS. A equipe disse que seu site estava redirecionando visitantes para um destino não autorizado e pediu aos usuários que não visitassem, conectassem carteiras ou assinassem transações até novo aviso.

No momento do aviso, Flap disse que estava trabalhando para restaurar o site e anunciaria quando seria seguro usá-lo novamente. Seu aviso em chinês pedia aos usuários que confiassem nos anúncios das contas sociais oficiais do projeto.

Os registros DNS direcionam navegadores de um nome de domínio para a infraestrutura que serve seu site. Na versão de Flap do incidente, o endereço legítimo estava enviando visitantes para um site não autorizado.

O aviso, portanto, cobria pessoas que navegavam para o domínio familiar do projeto, sem exigir que seguissem um endereço escrito incorretamente ou um link promocional não solicitado. O aviso de Flap não identificou o provedor responsável pelos registros comprometidos ou explicou como o atacante obteve acesso.

StonkFun restaura seu site após mudança de infraestrutura

StonkFun confirmou que seu site havia sido afetado pelo ataque de domínio sinalizado pela Blockaid. Seu primeiro aviso pediu aos usuários que se mantivessem afastados e evitassem conectar carteiras enquanto a equipe trabalhava na restauração.

O projeto disse que o incidente afetou seu site e que tudo na cadeia estava funcionando normalmente. Não tinha conhecimento de ninguém afetado, de acordo com o aviso.

Em uma atualização subsequente, StonkFun disse que havia tirado o site do ar e movido para uma nova infraestrutura. Embora o site tivesse sido restaurado, a equipe pediu aos usuários que esperassem uma hora antes de conectar uma carteira, pois algumas redes poderiam levar esse tempo para reconhecer a mudança.

O aviso de restauração repetiu que as operações na cadeia estavam funcionando normalmente e que a equipe não tinha conhecimento de usuários afetados. Nenhuma das declarações da StonkFun forneceu uma estimativa de perdas ou anunciou um processo de compensação.

Ataques DNS anteriores levaram a migrações de domínio

Compromissos semelhantes de sites anteriormente forçaram equipes DeFi a mudar como os usuários acessam seus serviços. Em maio de 2025, o crypto.news relatou que a Curve Finance havia migrado para um novo domínio após atacantes redirecionarem seu site original para um clone que drenava carteiras.

A Curve envolveu parceiros de segurança e seu registrador durante a resposta. A equipe disse que os atrasos na resposta do registrador contribuíram para sua decisão de abandonar o antigo domínio.

O registrador posteriormente congelou Curve.fi, desativando o drainer malicioso. A Curve então confirmou planos de introduzir um endereço do Ethereum Name Service como outra opção de acesso.