Minstens twaalf cryptovaluta-websites zijn getroffen door een gecoördineerde golf van frontend-aanvallen op 31 oktober, nadat aanvallers de domeininfrastructuur die decentralisatieprotocollen en token-launchplatforms bedient, hadden gecompromitteerd en kwaadaardige code hadden geïnjecteerd die bezoekers doorstuurde naar wallet-draining-pagina's.

De getroffen projecten zijn Flap, Kintsu en StonkFun, naast verschillende andere decentralisatie-applicaties (DeFi). Het blockchainbeveiligingsbedrijf Blockaid koppelde de incidenten aan StepDrainer, een kwaadaardige toolkit die is ontworpen om cryptovaluta te stelen via frauduleuze walletverbindingen en transactiegoedkeuringen.

De aanvallen waren gericht op website-infrastructuur in plaats van op de onderliggende blockchain-protocollen. Er is geen alomvattende schatting van de verliezen bevestigd en onderzoekers moeten nog vaststellen of de getroffen domeinen één compromitteerpunt delen.

Blockaid identificeert StepDrainer op 12 crypto-websites

Flap, een token-launchplatform ondersteund door YZi Labs, sloeg als eerste alarm en waarschuwde dat het oorspronkelijke domein, flap.sh, was gekaapt en bezoekers doorstuurde naar een onbevoegde website. In een bericht op X verzocht het team gebruikers het domein te vermijden en geen wallets te verbinden of transacties te ondertekenen, terwijl het samenwerkte met beveiligingspartners om het incident in te dammen.

Kort daarna detecteerde Blockaid soortgelijke activiteiten gericht op Kintsu, een op Monad gebaseerd liquid staking-protocol. Het beveiligingsbedrijf identificeerde vervolgens 10 extra websites die StepDrainer verspreidden, waaronder stonkfun.xyz, pickle.finance, echelon.market, origami.finance, fluxbeam.xyz, stakepoint.app, supswap.xyz, longbow.cash, shprd.finance en apexdefi.xyz, en maakte de bevindingen bekend in een bericht op X.

De kwaadaardige infrastructuur misbruikte de frontend-interfaces van de websites en kon bezoekers mogelijk misleidende transactieverzoeken voorleggen via anders vertrouwde applicatiepagina's.

In tegenstelling tot exploits van smart contracts maakt DNS-kaping het aanvallers mogelijk legitieme webadressen om te leiden naar infrastructuur die zij beheren, waardoor gebruikers kwaadaardige wallet-prompts kunnen tegenkomen zelfs wanneer ze een erkend domein van een project bezoeken. StepDrainer kan vervolgens token-toestemmingen en kwaadaardige handtekeningen misbruiken om activatransfers te autoriseren zonder dat aanvallers privésleutels hoeven te verkrijgen. Token-toestemmingen zijn doorlopende machtigingen waarmee een adres of contract namens een gebruiker specifieke activa kan verplaatsen; daarom is het intrekken ervan de standaard eerste reactie die projecten aanbevelen zodra blootstelling wordt vermoed.

Kintsu bevestigde dat zijn domein was gecompromitteerd op registrar-niveau — de laag die bepaalt waar de records van een domein naar verwijzen — en adviseerde gebruikers die na 00:00 UTC op 31 oktober wallets hadden verbonden of transacties hadden ondertekend, verdachte token-toestemmingen in te trekken en mogelijk blootgestelde activa naar veilige wallets te verplaatsen. Het protocol herstelde later zijn domeinroutering, maar bleef waarschuwen tegen wallet-interacties zolang DNS-caches de wijzigingen verspreidden, omdat gecachte records verouderde bestemmingen kunnen blijven serveren tot ze verlopen.

Flap migreert naar nieuw domein terwijl het onderzoek doorgaat

Flap migreerde zijn platform vervolgens naar flap.cool en adviseerde gebruikers het nieuwe adres rechtstreeks te bezoeken in plaats van te vertrouwen op omleidingen vanaf het gecompromitteerde domein. Het project zei dat de oorzaak nog wordt onderzocht, waaronder of het incident afkomstig was van zijn domeindienstverlener, en het team coördineert met Blockaid en de infrastructuurleveranciers Vercel en Name.com.

StonkFun bevestigde eveneens dat zijn website was getroffen, terwijl het verklaarde dat zijn on-chain activiteiten normaal bleven functioneren. Het platform zei op het moment van de aankondiging geen kennis te hebben van getroffen gebruikers.

De aanvalsgolf volgt op een compromittering van de frontend van Polymarket, waarbij eerder deze week circa $2,7 miljoen werd afgetapt, nadat kwaadaardige JavaScript via een gecompromitteerde monitoringprovider de website van de voorspelmarkt was binnengedrongen. Vergelijkbare kwetsbaarheden hebben DeFi-platforms eerder getroffen: in mei 2025 kreeg Curve Finance te maken met een DNS-kaping die bezoekers tijdelijk aan een kwaadaardige website blootstelde, ondanks dat de onderliggende smart contracts veilig bleven.

De incidenten benadrukken een hardnekkige zwakte in gedecentraliseerde applicaties: blockchain-contracts kunnen onaangeroerd blijven terwijl aanvallers conventionele webinfrastructuur misbruiken om gebruikers aan te vallen. In elk van deze gevallen bleven de on-chain lagen intact terwijl de compromittering plaatsvond in conventionele webcomponenten — de domeininfrastructuur in de aanvalsgolf van deze week, een externe monitoringprovider voor Polymarket en DNS-records voor Curve.

Onderzoekers hebben de totale financiële impact niet bevestigd en de daders niet geïdentificeerd, en het is nog onduidelijk of de getroffen domeinen één compromitteerpunt of een gemeenschappelijke registrar of DNS-provider delen. Getroffen gebruikers wordt geadviseerd de gecompromitteerde domeinen te vermijden totdat de betrokken teams bevestigen dat toegang veilig is.

Dit artikel verscheen oorspronkelijk op Crypto Adventure.