Al menos 12 sitios web de criptomonedas fueron atacados el 31 de octubre en una ola coordinada de ataques al frontend, después de que los atacantes comprometieran la infraestructura de dominios que sirve a protocolos de finanzas descentralizadas y plataformas de lanzamiento de tokens, e inyectaran código malicioso que redirigía a los visitantes a páginas que drenan billeteras.

Los proyectos afectados incluyen Flap, Kintsu y StonkFun, junto con otras varias aplicaciones de finanzas descentralizadas. La firma de seguridad blockchain Blockaid vinculó los incidentes a StepDrainer, un toolkit malicioso diseñado para robar criptomonedas mediante conexiones fraudulentas de billeteras y aprobaciones de transacciones.

Los ataques apuntaron a la infraestructura del sitio web y no a los protocolos blockchain subyacentes. No se ha confirmado una estimación integral de pérdidas, y los investigadores aún no han determinado si los dominios afectados comparten un único punto de compromiso.

Blockaid identifica StepDrainer en 12 sitios web de cripto

Flap, una plataforma de lanzamiento de tokens respaldada por YZi Labs, fue la primera en dar la alarma, advirtiendo que su dominio original, flap.sh, había sido secuestrado y redirigía a los visitantes a un sitio web no autorizado. En una publicación en X, el equipo instruyó a los usuarios evitar el dominio y abstenerse de conectar billeteras o firmar transacciones mientras trabajaba con socios de seguridad para contener el incidente.

Poco después, Blockaid detectó actividad similar dirigida a Kintsu, un protocolo de staking líquido basado en Monad. La firma de seguridad posteriormente identificó 10 sitios web adicionales que servían StepDrainer, incluidos stonkfun.xyz, pickle.finance, echelon.market, origami.finance, fluxbeam.xyz, stakepoint.app, supswap.xyz, longbow.cash, shprd.finance y apexdefi.xyz, y reveló los hallazgos en una publicación en X.

La infraestructura maliciosa explotó las interfaces frontend de los sitios web, presentando potencialmente a los visitantes solicitudes de transacciones engañosas a través de páginas de aplicación que de otro modo resultaban familiares.

A diferencia de los exploits de contratos inteligentes, el secuestro de DNS permite a los atacantes redirigir direcciones web legítimas hacia infraestructura bajo su control, lo que significa que los usuarios pueden encontrarse con solicitudes maliciosas de billetera incluso al navegar al dominio reconocido de un proyecto. StepDrainer puede entonces explotar aprobaciones de tokens y firmas maliciosas para autorizar transferencias de activos sin requerir que los atacantes obtengan las claves privadas. Las aprobaciones de tokens son permisos permanentes que permiten a una dirección o contrato mover activos específicos en nombre de un usuario, razón por la cual revocarlas es la primera respuesta estándar que los proyectos recomiendan una vez que se sospecha de una exposición.

Kintsu confirmó que su dominio había sido comprometido a nivel de registrador —la capa que controla a dónde apuntan los registros de un dominio— y aconsejó a los usuarios que conectaron billeteras o firmaron transacciones después de las 00:00 UTC del 31 de octubre que revocaran las aprobaciones de tokens sospechosas y movieran los activos potencialmente expuestos a billeteras seguras. El protocolo luego restauró el enrutamiento de su dominio, pero continuó advirtiendo contra las interacciones con billeteras mientras los cachés de DNS propagaban los cambios, ya que los registros en caché pueden seguir sirviendo destinos desactualizados hasta que expiren.

Flap migra a un nuevo dominio mientras continúa la investigación

Flap posteriormente migró su plataforma a flap.cool, recomendando que los usuarios accedieran directamente a la nueva dirección en lugar de depender de redirecciones del dominio comprometido. El proyecto dijo que la causa raíz seguía bajo investigación, incluida la posibilidad de que el incidente se originara en su proveedor de servicios de dominio, y su equipo ha estado coordinando con Blockaid y los proveedores de infraestructura Vercel y Name.com.

StonkFun también confirmó que su sitio web fue afectado, al tiempo que sostuvo que sus operaciones on-chain continuaron funcionando con normalidad. La plataforma dijo que no tenía conocimiento de usuarios afectados al momento de su anuncio.

La ola de ataques sigue a un compromiso del frontend de Polymarket que drenó aproximadamente 2,7 millones de dólares a inicios de la semana, después de que JavaScript malicioso ingresara al sitio web del mercado de predicciones a través de un proveedor de monitoreo comprometido. Vulnerabilidades similares han golpeado antes a plataformas DeFi: en mayo de 2025, Curve Finance sufrió un incidente de secuestro de DNS que expuso temporalmente a los visitantes a un sitio web malicioso aunque sus contratos inteligentes subyacentes permanecieron seguros.

Los incidentes subrayan una debilidad persistente en las aplicaciones descentralizadas: los contratos blockchain pueden permanecer sin compromiso mientras los atacantes explotan la infraestructura web convencional para atacar a los usuarios. En cada uno de estos casos, las capas on-chain permanecieron intactas mientras el compromiso se desarrollaba en componentes web convencionales: la infraestructura de dominios en la ola de esta semana, un proveedor externo de monitoreo para Polymarket y los registros DNS para Curve.

Los investigadores no han confirmado el impacto financiero total ni identificado a los perpetradores, y sigue sin determinarse si los dominios afectados comparten un único punto de compromiso o un registrador o proveedor de DNS común. Se sigue aconsejando a los usuarios afectados evitar los dominios comprometidos hasta que sus respectivos equipos confirmen que el acceso es seguro.

Este artículo apareció originalmente en Crypto Adventure.