Almeno 12 siti web di criptovalute sono stati colpiti il 31 ottobre da un'ondata coordinata di attacchi al frontend, dopo che gli aggressori hanno compromesso l'infrastruttura dei domini a servizio di protocolli di finanza decentralizzata e piattaforme di lancio di token, iniettando codice dannoso che reindirizzava i visitatori verso pagine per lo svuotamento dei wallet.

I progetti interessati includono Flap, Kintsu e StonkFun, insieme a diverse altre applicazioni di finanza decentralizzata. La società di sicurezza blockchain Blockaid ha collegato gli incidenti a StepDrainer, un toolkit dannoso progettato per rubare criptovalute tramite connessioni wallet fraudolente e approvazioni di transazioni.

Gli attacchi hanno preso di mira l'infrastruttura dei siti web e non i protocolli blockchain sottostanti. Nessuna stima complessiva delle perdite è stata confermata e gli investigatori non hanno ancora stabilito se i domini interessati condividano un unico punto di compromissione.

Blockaid identifica StepDrainer su 12 siti crypto

Flap, una piattaforma di lancio di token sostenuta da YZi Labs, è stata la prima a dare l'allarme, avvertendo che il suo dominio originale, flap.sh, era stato dirottato e reindirizzava i visitatori verso un sito non autorizzato. In un post su X, il team ha invitato gli utenti a evitare il dominio e ad astenersi dal collegare wallet o firmare transazioni mentre lavorava con partner di sicurezza per contenere l'incidente.

Poco dopo, Blockaid ha rilevato un'attività simile ai danni di Kintsu, un protocollo di liquid staking basato su Monad. La società di sicurezza ha successivamente identificato altri 10 siti web che servivano StepDrainer, tra cui stonkfun.xyz, pickle.finance, echelon.market, origami.finance, fluxbeam.xyz, stakepoint.app, supswap.xyz, longbow.cash, shprd.finance e apexdefi.xyz, e ha reso pubbliche le scoperte in un post su X.

L'infrastruttura dannosa sfruttava le interfacce frontend dei siti web, presentando potenzialmente ai visitatori richieste di transazione ingannevoli attraverso pagine applicative peraltro familiari.

A differenza degli exploit di smart contract, il DNS hijacking consente agli aggressori di reindirizzare indirizzi web legittimi verso infrastrutture sotto il loro controllo, il che significa che gli utenti possono incontrare prompt di wallet dannosi persino navigando verso il dominio riconosciuto di un progetto. StepDrainer può quindi sfruttare le approvazioni di token e le firme dannose per autorizzare trasferimenti di asset senza che gli aggressori debbano ottenere le chiavi private. Le approvazioni di token sono autorizzazioni permanenti che consentono a un indirizzo o contratto di spostare asset specifici per conto di un utente, ed è per questo che revocarle è la prima risposta standard raccomandata dai progetti quando si sospetta un'esposizione.

Kintsu ha confermato che il suo dominio era stato compromesso a livello di registrar — il livello che controlla dove puntano i record di un dominio — e ha consigliato agli utenti che avevano collegato wallet o firmato transazioni dopo le 00:00 UTC del 31 ottobre di revocare le approvazioni di token sospette e spostare gli asset potenzialmente esposti verso wallet sicuri. Il protocollo ha successivamente ripristinato il routing del proprio dominio, ma ha continuato a sconsigliare le interazioni con i wallet mentre le cache DNS propagavano le modifiche, poiché i record in cache possono continuare a fornire destinazioni obsolete fino alla loro scadenza.

Flap migra su un nuovo dominio mentre l'indagine prosegue

Flap ha successivamente migrato la propria piattaforma su flap.cool, raccomandando agli utenti di accedere direttamente al nuovo indirizzo anziché affidarsi ai reindirizzamenti dal dominio compromesso. Il progetto ha dichiarato che la causa principale resta sotto indagine, compresa l'eventualità che l'incidente abbia avuto origine dal proprio fornitore di servizi di dominio, e il suo team si sta coordinando con Blockaid e con i fornitori di infrastrutture Vercel e Name.com.

Anche StonkFun ha confermato che il proprio sito web è stato interessato, sostenendo al contempo che le sue operazioni on-chain hanno continuato a funzionare normalmente. La piattaforma ha dichiarato di non essere a conoscenza di utenti colpiti al momento del suo annuncio.

L'ondata di attacchi fa seguito a una compromissione del frontend di Polymarket che ha svuotato circa 2,7 milioni di dollari all'inizio della settimana, dopo che JavaScript dannoso è entrato nel sito del mercato predittivo attraverso un fornitore di monitoraggio compromesso. Vulnerabilità simili hanno colpito in passato piattaforme DeFi: a maggio 2025, Curve Finance ha subito un altro incidente di DNS hijacking che ha temporaneamente esposto i visitatori a un sito dannoso, pur rimanendo sicuri gli smart contract sottostanti.

Gli incidenti evidenziano una debolezza persistente nelle applicazioni decentralizzate: i contratti blockchain possono rimanere non compromessi mentre gli aggressori sfruttano l'infrastruttura web convenzionale per colpire gli utenti. In ciascuno di questi casi, i livelli on-chain sono rimasti intatti mentre la compromissione si è svolta nei componenti web convenzionali — l'infrastruttura dei domini nell'ondata di questa settimana, un fornitore di monitoraggio di terze parti per Polymarket e i record DNS per Curve.

Gli investigatori non hanno confermato l'impatto finanziario totale né identificato i responsabili, e resta da determinare se i domini interessati condividano un unico punto di compromissione oppure un registrar o un provider DNS in comune. Gli utenti coinvolti sono invitati a evitare i domini compromessi finché i rispettivi team non confermeranno che l'accesso è sicuro.

Questo articolo è apparso originariamente su Crypto Adventure.