10月31日、分散型金融（DeFi）プロトコルやトークンローンチプラットフォームが利用するドメイン基盤が攻撃者に侵害され、訪問者をウォレットドレイナー型ページへ誘導する悪意あるコードが注入される形で、少なくとも12の暗号資産ウェブサイトが組織的なフロントエンド攻撃の被害を受けました。

被害を受けたプロジェクトには、Flap、Kintsu、StonkFunのほか、複数のDeFiアプリケーションが含まれます。ブロックチェーンセキュリティ企業のBlockaidは、これらのインシデントを、不正なウォレット接続やトランザクション承認を通じて暗号資産を窃取することを目的とした悪意あるツールキット「StepDrainer」に結び付けました。

攻撃の対象は、基盤となるブロックチェーンプロトコルではなくウェブサイトのインフラでした。包括的な損失見積もりは未確認であり、被害を受けたドメインが単一の侵害ポイントを共有していたかどうかも、調査当局はまだ特定できていません。

Blockaid、12の暗号資産サイトでStepDrainerを確認

YZi Labsの支援を受けるトークンローンチプラットフォームのFlapが最初に異常を警告し、元のドメインであるflap.shがハイジャックされ、訪問者を不正なウェブサイトへリダイレクトしていると発表しました。チームはXへの投稿で、セキュリティパートナーと連携してインシデントを封じ込める間、当該ドメインを避け、ウォレットの接続やトランザクションへの署名を控えるようユーザーに指示しました。

その直後、BlockaidはMonadベースのリキッドステーキングプロトコルKintsuを標的とした同様の活動を検知しました。同セキュリティ企業はその後、StepDrainerを配信するさらに10のウェブサイトを特定し、stonkfun.xyz、pickle.finance、echelon.market、origami.finance、fluxbeam.xyz、stakepoint.app、supswap.xyz、longbow.cash、shprd.finance、apexdefi.xyzを挙げ、その調査結果をXへの投稿で公開しました。

この悪意あるインフラは各ウェブサイトのフロントエンドインターフェースを悪用し、一見普段どおりのアプリケーションページを通じて、訪問者に偽のトランザクション要求を提示していた可能性があります。

スマートコントラクトのエクスプロイトとは異なり、DNSハイジャックでは攻撃者が正当なウェブアドレスを自らの管理するインフラへリダイレクトできます。そのため、ユーザーはプロジェクトの公式ドメインにアクセスしただけでも、悪意あるウォレットの要求に遭遇する恐れがあります。StepDrainerはトークン承認と悪意ある署名を悪用し、攻撃者が秘密鍵を取得することなく資産移送を承認させることが可能です。トークン承認とは、アドレスやコントラクトがユーザーに代わって指定された資産を移動できる常設の許可であり、被害の疑いがある場合に承認を取り消すことがプロジェクトが推奨する標準的な最初の対応とされています。

Kintsuは、自社ドメインがレジストラレベル（ドメインのDNSレコードの参照先を管理する層）で侵害されたことを確認し、10月31日の00:00 UTC以降にウォレットを接続した、またはトランザクションに署名したユーザーに対し、不審なトランザクション承認を取り消し、露出の可能性がある資産を安全なウォレットへ移すよう勧告しました。同プロトコルはその後ドメインのルーティングを復旧させましたが、DNSキャッシュが更新を伝播する間はウォレットとのやり取りを控えるよう警告を続けました。キャッシュされたレコードは期限切れになるまで古い接続先を返し続ける可能性があるためです。

調査が続く中、Flapが新ドメインへ移行

Flapはその後、プラットフォームをflap.coolへ移行し、侵害されたドメインからのリダイレクトに頼らず、新しいアドレスに直接アクセスするようユーザーに推奨しました。同プロジェクトは、ドメインサービス提供元に起因する可能性を含め、根本原因が調査中であると述べ、チームはBlockaidおよびインフラ提供元のVercel、Name.comと連携しています。

StonkFunもウェブサイトが影響を受けたことを確認しつつ、オンチェーン運用は通常どおり機能し続けていると説明しました。同プラットフォームは発表時点で、被害を受けたユーザーは確認されていないとしています。

今回の攻撃の波に先立ち、今週早くにはPolymarketのフロントエンドが侵害され、監視サービス提供元を経由して予測市場のウェブサイトに注入された悪意あるJavaScriptにより、約270万ドルが流出しました。同様の脆弱性はこれまでもDeFiプラットフォームを襲っており、2025年5月にはCurve FinanceがDNSハイジャックの被害を受け、基盤のスマートコントラクトは安全だったものの、訪問者が一時的に悪意あるウェブサイトにさらされました。

今回のインシデントは、分散型アプリケーションにおける根深い脆弱性を浮き彫りにしています。ブロックチェーンのコントラクトが侵害されていなくても、攻撃者は従来型のウェブインフラを悪用してユーザーを標的にできるのです。いずれの事例でもオンチェーンの層は無傷のまま、侵害は従来型のウェブ構成要素、今週の攻撃ではドメインインフラ、Polymarketではサードパーティの監視サービス提供元、CurveではDNSレコードで発生しました。

調査当局は損害の総額を確認できておらず、犯人の特定にも至っていません。また、被害を受けたドメインが単一の侵害ポイントや共通のレジストラ、DNS提供元を共有していたかどうかも未確定です。影響を受けたユーザーは、各チームが安全なアクセスを確認するまで、侵害されたドメインを避けるよう引き続き勧告されています。

この記事はもともとCrypto Adventureに掲載されたものです。