DeFi DNS攻击波及12个网站，Blockaid警告Step Drainer

一场万圣节攻击针对至少12个DeFi网站，Blockaid在受影响页面中识别出Step Drainer工具包，并警告用户不要连接钱包或签署交易。

摘要

• Blockaid在关于前端攻击的警报中识别出Flap、Kintsu及其他10个网站。
• Flap确认其官方域名遭到DNS劫持，重定向至未经授权的网站。
• StonkFun在迁移基础设施后恢复了其网站，并表示未意识到有用户受到影响。
• 警报识别了受损网站，但受害者数量和任何损失尚未确定。

Blockaid的初步警告于10月31日指出Flap和Kintsu可能成为前端攻击的目标。在随后的警报中，这家区块链安全公司列出了10个额外的域名，称这些域名正在积极提供Step Drainer。

受影响的团队在事件发生时开始发布自己的警告。Flap确认其官方地址的访问者被重定向到其他地方，而StonkFun随后报告称在将网站下线并迁移到新基础设施后已恢复其网站。

Blockaid在12个DeFi网站中识别Step Drainer

在其初步警报中，Blockaid要求用户在问题解决之前避免与Flap和Kintsu互动。扩展列表中还包括StonkFun、Pickle Finance、Echelon、Origami Finance和FluxBeam。

其余项目包括StakePoint、SupSwap、Longbow、Shprd Finance和APEX。与Flap和Kintsu一起，该列表涵盖了12个不同的网站。

除了我们之前的警报外，现在已在其他网站上识别出相同的攻击。这些网站正在积极提供Step Drainer：

• stonkfun[.]xyz

• pickle[.]finance

• echelon[.]market

• origami[.]finance

• fluxbeam[.]xyz

• stakepoint[.]app

• supswap[.]xyz

•...
--- Blockaid (@blockaid_) 2026年10月31日

Blockaid描述了额外的网站，称其提供相同的drainer，并表示其调查仍在继续。警报未确认攻击者身份，未披露受害者数量，也未提供总损失数字。

安全研究员Ogle早前发布的警告描述了一种注入脚本，该脚本将点击钱包连接按钮的访问者发送到恶意drainer页面。他的帖子敦促用户避免将钱包连接到被提及的网站。

早期警告的副本包括stonkbrokers[.]cash。Blockaid后来的公开警报在单独扩展到10个域名之前提到了Flap和Kintsu，因此流传的截图并不都包含相同的列表。

Flap确认其官方域名重定向了访问者

Flap确认其官方网站受到DNS劫持。团队表示其网站正在将访问者重定向到未经授权的目的地，并要求用户在进一步通知之前不要访问、连接钱包或签署交易。

在警报发布时，Flap表示正在努力恢复网站，并将在安全使用时宣布。其附带的中文通知要求用户依赖项目官方社交账户的公告。

DNS记录将浏览器从域名引导到提供其网站的基础设施。在Flap对事件的描述中，合法地址本身将访问者发送到未经授权的网站。

因此，警告涵盖了导航到项目熟悉域名的人员，而无需他们跟随拼写错误的地址或未经请求的促销链接。Flap的通知未识别负责受损记录的提供者，也未解释攻击者如何获得访问权限。

StonkFun在基础设施迁移后恢复其网站

StonkFun确认其网站受到Blockaid标记的域名攻击影响。其首次通知要求用户远离并避免连接钱包，同时团队进行恢复。

该项目表示事件影响了其网站，链上所有操作正常。根据通知，团队未意识到有任何用户受到影响。

在后续更新中，StonkFun表示已将网站下线并迁移到新基础设施。尽管网站已恢复，团队仍要求用户在连接钱包之前等待一个小时，因为某些网络可能需要那么长时间才能识别更改。

恢复通知重申链上操作正常，团队未意识到有用户受到影响。StonkFun的声明均未提供损失估计或宣布补偿流程。

早期DNS攻击促使域名迁移

类似的网站妥协先前迫使DeFi团队改变用户访问其服务的方式。2025年5月，crypto.news报道Curve Finance在攻击者将其原始网站重定向到一个钱包排水克隆后迁移到新域名。

Curve在响应过程中与安全合作伙伴和其注册商进行了合作。团队表示注册商响应的延迟促使其决定放弃旧域名。

注册商随后冻结了Curve.fi，禁用了恶意drainer。Curve随后确认计划引入以太坊名称服务地址作为另一种访问选项。