Cuộc tấn công DNS DeFi ảnh hưởng đến 12 trang web khi Blockaid cảnh báo về Step Drainer

Một cuộc tấn công vào dịp Halloween đã nhắm tới ít nhất 12 trang web DeFi, với Blockaid xác định bộ công cụ Step Drainer trên các trang bị ảnh hưởng và các nhóm cảnh báo người dùng không nên kết nối ví hoặc ký giao dịch.

Tóm tắt

• Blockaid đã xác định Flap, Kintsu và 10 trang web khác trong các cảnh báo về cuộc tấn công giao diện người dùng.
• Flap xác nhận một vụ đánh cắp DNS đã chuyển hướng tên miền chính thức của nó đến một trang web không được ủy quyền.
• StonkFun đã khôi phục trang web của mình sau khi di chuyển cơ sở hạ tầng và cho biết không biết về người dùng bị ảnh hưởng.
• Các cảnh báo xác định các trang web bị xâm phạm, trong khi số lượng nạn nhân và bất kỳ tổn thất nào vẫn chưa được xác định.

Cảnh báo ban đầu của Blockaid đã nêu tên Flap và Kintsu là mục tiêu của một cuộc tấn công giao diện người dùng tiềm năng vào ngày 31 tháng 10. Trong một cảnh báo tiếp theo, công ty bảo mật blockchain đã liệt kê 10 miền bổ sung mà họ cho biết đang phục vụ Step Drainer.

Các nhóm bị ảnh hưởng đã bắt đầu phát hành cảnh báo riêng của họ khi sự cố diễn ra. Flap xác nhận rằng khách truy cập vào địa chỉ chính thức của nó đang bị chuyển hướng đến nơi khác, trong khi StonkFun sau đó báo cáo rằng họ đã khôi phục trang web của mình sau khi đưa nó ngoại tuyến và chuyển sang cơ sở hạ tầng mới.

Blockaid xác định Step Drainer trên 12 trang web DeFi

Trong cảnh báo ban đầu, Blockaid đã yêu cầu người dùng tránh tương tác với Flap và Kintsu cho đến khi vấn đề được giải quyết. Danh sách mở rộng của họ đã nêu tên StonkFun, Pickle Finance, Echelon, Origami Finance và FluxBeam.

Các dự án còn lại là StakePoint, SupSwap, Longbow, Shprd Finance và APEX. Cùng với Flap và Kintsu, danh sách này bao gồm 12 trang web khác nhau.

Ngoài cảnh báo trước đó của chúng tôi, cuộc tấn công tương tự hiện đã được xác định trên các trang web bổ sung. Những trang này đang phục vụ Step Drainer:

• stonkfun[.]xyz

• pickle[.]finance

• echelon[.]market

• origami[.]finance

• fluxbeam[.]xyz

• stakepoint[.]app

• supswap[.]xyz

•...
--- Blockaid (@blockaid_) ngày 31 tháng 10 năm 2026

Blockaid mô tả các trang web bổ sung này là phục vụ cùng một bộ công cụ và cho biết cuộc điều tra của họ vẫn đang tiếp tục. Các cảnh báo không xác định một kẻ tấn công đã được xác nhận, không tiết lộ số lượng nạn nhân, hoặc cung cấp một con số tổn thất tổng hợp.

Một cảnh báo trước đó được phát tán bởi nhà nghiên cứu bảo mật Ogle đã mô tả một đoạn mã được chèn vào đã gửi những người truy cập nhấn nút kết nối ví đến một trang web đánh cắp. Bài viết của ông đã kêu gọi người dùng tránh kết nối ví với các trang web đã nêu.

Các bản sao của cảnh báo trước đó bao gồm stonkbrokers[.]cash. Cảnh báo công khai sau đó của Blockaid đã nêu tên Flap và Kintsu trước khi mở rộng riêng của nó đến 10 miền khác, vì vậy các ảnh chụp màn hình đang lưu hành không phải tất cả đều chứa một danh sách giống hệt nhau.

Flap xác nhận tên miền chính thức của mình đã chuyển hướng khách truy cập

Flap xác nhận rằng trang web chính thức của nó đã bị ảnh hưởng bởi một vụ đánh cắp DNS. Nhóm đã cho biết trang web của họ đang chuyển hướng khách truy cập đến một địa điểm không được ủy quyền và yêu cầu người dùng không truy cập, kết nối ví hoặc ký giao dịch cho đến khi có thông báo thêm.

Tại thời điểm cảnh báo, Flap cho biết họ đang làm việc để khôi phục trang web và sẽ thông báo khi nó an toàn để sử dụng lại. Thông báo kèm theo bằng tiếng Trung đã yêu cầu người dùng dựa vào các thông báo từ các tài khoản xã hội chính thức của dự án.

Các bản ghi DNS hướng dẫn trình duyệt từ một tên miền đến cơ sở hạ tầng phục vụ trang web của nó. Trong tài khoản của Flap về sự cố, địa chỉ hợp pháp tự nó đã gửi khách truy cập đến một trang không được ủy quyền.

Cảnh báo do đó đã bao gồm những người điều hướng đến tên miền quen thuộc của dự án, mà không yêu cầu họ phải theo dõi một địa chỉ bị viết sai hoặc một liên kết quảng cáo không được yêu cầu. Thông báo của Flap không xác định nhà cung cấp chịu trách nhiệm cho các bản ghi bị xâm phạm hoặc giải thích cách kẻ tấn công có được quyền truy cập.

StonkFun khôi phục trang web của mình sau khi di chuyển cơ sở hạ tầng

StonkFun xác nhận rằng trang web của mình đã bị ảnh hưởng bởi cuộc tấn công tên miền được Blockaid cảnh báo. Thông báo đầu tiên của nó đã yêu cầu người dùng tránh xa và không kết nối ví trong khi nhóm làm việc để khôi phục.

Dự án cho biết sự cố đã ảnh hưởng đến trang web của nó và rằng mọi thứ trên chuỗi vẫn hoạt động bình thường. Họ không biết về bất kỳ ai bị ảnh hưởng, theo thông báo.

Trong một cập nhật tiếp theo, StonkFun cho biết họ đã đưa trang web ngoại tuyến và chuyển nó sang cơ sở hạ tầng mới. Mặc dù trang web đã được khôi phục, nhóm đã yêu cầu người dùng chờ một giờ trước khi kết nối ví vì một số mạng có thể mất thời gian để nhận ra sự thay đổi.

Thông báo khôi phục đã lặp lại rằng các hoạt động trên chuỗi đang hoạt động bình thường và rằng nhóm không biết về người dùng bị ảnh hưởng. Không có thông báo nào từ StonkFun cung cấp ước tính tổn thất hoặc thông báo quy trình bồi thường.

Các cuộc tấn công DNS trước đó đã thúc đẩy việc di chuyển tên miền

Các vụ xâm phạm trang web tương tự trước đây đã buộc các đội DeFi phải thay đổi cách người dùng truy cập dịch vụ của họ. Vào tháng 5 năm 2025, crypto.news đã báo cáo rằng Curve Finance đã di chuyển đến một tên miền mới sau khi kẻ tấn công chuyển hướng trang web gốc của nó đến một bản sao đánh cắp ví.

Curve đã hợp tác với các đối tác bảo mật và nhà đăng ký trong quá trình phản ứng. Nhóm cho biết sự chậm trễ trong phản ứng của nhà đăng ký đã góp phần vào quyết định của họ để từ bỏ tên miền cũ.

Nhà đăng ký sau đó đã đóng băng Curve.fi, vô hiệu hóa bộ đánh cắp độc hại. Curve sau đó xác nhận kế hoạch giới thiệu một địa chỉ Dịch vụ Tên Ethereum như một tùy chọn truy cập khác.