Co najmniej 12 serwisów kryptowalutowych padło ofiarą skoordynowanej fali ataków na warstwy frontendowe 31 października, po tym jak atakujący przejęli infrastrukturę domenową obsługującą protokoły zdecentralizowanych finansów (DeFi) i platformy emisji tokenów oraz wstrzyknęli złośliwy kod przekierowujący odwiedzających na strony opróżniające portfele.

Wśród dotkniętych projektów są Flap, Kintsu i StonkFun, a także kilka innych aplikacji zdecentralizowanych finansów. Firma zajmująca się bezpieczeństwem blockchainowym Blockaid powiązała incydenty ze StepDrainer, złośliwym zestawem narzędzi stworzonym do kradzieży kryptowalut poprzez fałszywe połączenia portfeli i zatwierdzanie transakcji.

Ataki wymierzyły w infrastrukturę serwisów internetowych, a nie w leżące u ich podstaw protokoły blockchainowe. Nie potwierdzono kompleksowego szacunku strat, a śledcy nie ustalili jeszcze, czy dotknięte domeny mają wspólne źródło kompromitacji.

Blockaid identyfikuje StepDrainer na 12 serwisach krypto

Flap, platforma emisji tokenów wspierana przez YZi Labs, pierwszy podniósł alarm, ostrzegając, że jego pierwotna domena flap.sh została przejęta i przekierowuje odwiedzających na nieautoryzowaną stronę. W poście na X zespół nakazał użytkownikom unikanie domeny oraz powstrzymanie się od łączenia portfeli i podpisywania transakcji, podczas gdy współpracował z partnerami ds. bezpieczeństwa nad opanowaniem incydentu.

Wkrótce potem Blockaid wykrył podobną aktywność wymierzoną w Kintsu, protokół płynnego stakingu oparty na Monad. Firma bezpieczeństwa zidentyfikowała następnie 10 kolejnych serwisów serwujących StepDrainer, w tym stonkfun.xyz, pickle.finance, echelon.market, origami.finance, fluxbeam.xyz, stakepoint.app, supswap.xyz, longbow.cash, shprd.finance i apexdefi.xyz, i ujawniła wyniki w poście na X.

Złośliwa infrastruktura wykorzystywała interfejsy frontendowe serwisów, potencjalnie prezentując odwiedzającym mylące żądania transakcyjne na pozornie znajomych stronach aplikacji.

W przeciwieństwie do exploitów inteligentnych kontraktów porywanie DNS pozwala atakującym przekierowywać legalne adresy internetowe do infrastruktury, którą sami kontrolują, co oznacza, że użytkownicy mogą natrafić na złośliwe monity portfela nawet podczas odwiedzania uznanej domeny projektu. StepDrainer może następnie wykorzystać zatwierdzenia tokenów i złośliwe podpisy do autoryzacji transferów aktywów bez konieczności zdobycia kluczy prywatnych przez atakujących. Zatwierdzenia tokenów to stałe uprawnienia pozwalające adresowi lub kontraktowi przenosić określone aktywa w imieniu użytkownika — dlatego ich cofnięcie jest standardową pierwszą reakcją zalecaną przez projekty po podejrzeniu narażenia.

Kintsu potwierdził, że jego domena została skompromitowana na poziomie rejestratora — warstwy kontrolującej, na co wskazują rekordy domeny — i zalecił użytkownikom, którzy połączyli portfele lub podpisali transakcje po 00:00 UTC 31 października, cofnięcie podejrzanych zatwierdzeń tokenów i przeniesienie potencjalnie narażonych aktywów do bezpiecznych portfeli. Protokół później przywrócił routing domeny, ale nadal ostrzegał przed interakcjami z portfelem, dopóki zmiany nie rozpropagują się w cache'ach DNS, ponieważ zapisane rekordy mogą serwować nieaktualne lokalizacje do momentu ich wygaśnięcia.

Flap migruje na nową domenę w toku śledztwa

Flap następnie przeniósł swoją platformę na flap.cool, zalecając użytkownikom bezpośredni dostęp pod nowym adresem zamiast polegania na przekierowaniach ze skompromitowanej domeny. Projekt poinformował, że przyczyna źródłowa pozostaje w trakcie ustalania, w tym czy incydent pochodził od dostawcy usług domenowych, a jego zespół koordynuje działania z Blockaid oraz dostawcami infrastruktury Vercel i Name.com.

StonkFun również potwierdził, że jego serwis został dotknięty, podtrzymując jednocześnie, że jego operacje on-chain działały normalnie. Platforma oświadczyła, że w momencie ogłoszenia nie znała żadnych poszkodowanych użytkowników.

Fala ataków nastąpiła po kompromitacji frontendu Polymarket, która wcześniejszego tygodnia opróżniła portfele o łącznej wartości około 2,7 miliona dolarów, po tym jak złośliwy JavaScript przedostał się na stronę rynku predykcyjnego poprzez skompromitowanego dostawcę monitoringu. Podobne podatności dotykały wcześniej platformy DeFi: w maju 2025 roku Curve Finance ucierpiała w wyniku kolejnego incydentu porwania DNS, który tymczasowo wystawiał odwiedzających na złośliwą stronę, mimo że leżące u podstaw inteligentne kontrakty pozostały bezpieczne.

Te incydenty uwypuklają trwałą słabość aplikacji zdecentralizowanych: kontrakty blockchainowe mogą pozostać nieprzejęte, podczas gdy atakujący wykorzystują klasyczną infrastrukturę webową do atakowania użytkowników. W każdym z tych przypadków warstwy on-chain pozostały nienaruszone, a kompromitacja rozegrała się w klasycznych komponentach webowych — infrastrukturze domenowej w tegotygodniowej fali, zewnętrznym dostawcy monitoringu w przypadku Polymarket i rekordach DNS w przypadku Curve.

Śledczy nie potwierdzili łącznego wpływu finansowego ani nie zidentyfikowali sprawców, a nie ustalono, czy dotknięte domeny mają wspólne źródło kompromitacji ani wspólnego rejestratora czy dostawcę DNS. Poszkodowanym użytkownikom nadal zaleca się unikanie skompromitowanych domen, dopóki ich zespoły nie potwierdzą, że dostęp jest bezpieczny.

Ten artykuł pierwotnie ukazał się na Crypto Adventure.