Не менее 12 криптовалютных сайтов подверглись скоординированной волне атак на фронтенд 31 октября: злоумышленники скомпрометировали доменную инфраструктуру, обслуживающую протоколы децентрализованных финансов и платформы запуска токенов, и внедрили вредоносный код, перенаправлявший посетителей на страницы для слива кошельков.

Среди затронутых проектов — Flap, Kintsu и StonkFun, а также ряд других приложений децентрализованных финансов. Компания в области блокчейн-безопасности Blockaid связала инциденты с StepDrainer — вредоносным набором инструментов, созданным для кражи криптовалюты через поддельные подключения кошельков и подтверждение транзакций.

Атаки были направлены на инфраструктуру сайтов, а не на лежащие в их основе блокчейн-протоколы. Комплексная оценка потерь не подтверждена, и следователи пока не установили, есть ли у затронутых доменов единая точка компрометации.

Blockaid выявила StepDrainer на 12 криптосайтах

Flap — платформа запуска токенов при поддержке YZi Labs — первой подняла тревогу, предупредив, что ее исходный домен flap.sh был взломан и перенаправлял посетителей на несанкционированный сайт. В посте в X команда призвала пользователей избегать домена, не подключать кошельки и не подписывать транзакции, пока она вместе с партнерами по безопасности работала над локализацией инцидента.

Вскоре после этого Blockaid обнаружила аналогичную активность в отношении Kintsu — протокола ликвидного стейкинга на базе Monad. Позднее компания в области безопасности выявила еще 10 сайтов, распространявших StepDrainer, включая stonkfun.xyz, pickle.finance, echelon.market, origami.finance, fluxbeam.xyz, stakepoint.app, supswap.xyz, longbow.cash, shprd.finance и apexdefi.xyz, и раскрыла результаты в посте в X.

Вредоносная инфраструктура использовала фронтенд-интерфейсы сайтов и, возможно, показывала посетителям вводящие в заблуждение запросы транзакций на привычных страницах приложений.

В отличие от эксплойтов смарт-контрактов, DNS-угон позволяет злоумышленникам перенаправлять легитимные веб-адреса на контролируемую ими инфраструктуру, а значит, пользователи могут столкнуться с вредоносными запросами кошелька даже при переходе на официальный домен проекта. StepDrainer затем может использовать разрешения на токены и вредоносные подписи для авторизации перевода активов без необходимости получать приватные ключи. Разрешения на токены — это постоянные полномочия, позволяющие адресу или контракту перемещать указанные активы от имени пользователя, поэтому их отзыв является стандартной первой мерой, которую проекты рекомендуют при подозрении на компрометацию.

Kintsu подтвердила, что ее домен был скомпрометирован на уровне регистратора — звена, определяющего, куда указывают записи домена, — и посоветовала пользователям, подключавшим кошельки или подписывавшим транзакции после 00:00 UTC 31 октября, отозвать подозрительные разрешения на токены и перевести потенциально скомпрометированные активы в безопасные кошельки. Позднее протокол восстановил маршрутизацию домена, но продолжал предостерегать от взаимодействия с кошельками, пока изменения распространялись через DNS-кэши, поскольку кэшированные записи могут выдавать устаревшие адреса до истечения их срока.

Flap переходит на новый домен, расследование продолжается

Впоследствии Flap перенесла свою платформу на flap.cool, рекомендовав пользователям заходить на новый адрес напрямую, а не полагаться на перенаправления со скомпрометированного домена. Проект сообщил, что первопричина остается предметом расследования, в том числе вопрос о том, не возник ли инцидент у его поставщика доменных услуг; команда координирует действия с Blockaid и инфраструктурными провайдерами Vercel и Name.com.

StonkFun также подтвердила, что ее сайт был затронут, при этом подчеркнув, что ончейн-операции продолжали работать в штатном режиме. Платформа заявила, что на момент объявления не знала о пострадавших пользователях.

Волна атак последовала за компрометацией фронтенда Polymarket, в результате которой ранее на этой неделе было слито около 2,7 млн долларов после того, как вредоносный JavaScript попал на сайт рынка прогнозов через скомпрометированного провайдера мониторинга. Подобные уязвимости затрагивали DeFi-платформы и раньше: в мае 2025 года Curve Finance пережила очередной инцидент DNS-угона, временно подвергавший посетителей вредоносному сайту, хотя лежащие в основе смарт-контракты оставались в безопасности.

Эти инциденты подчеркивают постоянную уязвимость децентрализованных приложений: блокчейн-контракты могут оставаться незатронутыми, тогда как злоумышленники атакуют пользователей через обычную веб-инфраструктуру. Во всех этих случаях ончейн-уровни оставались нетронутыми, а компрометация происходила в обычных веб-компонентах — доменной инфраструктуре на этой неделе, стороннем провайдере мониторинга в случае Polymarket и DNS-записях в случае Curve.

Следователи не подтвердили общий финансовый ущерб и не установили личность злоумышленников; также не выяснено, есть ли у затронутых доменов единая точка компрометации либо общий регистратор или DNS-провайдер. Пострадавшим пользователям по-прежнему рекомендуется избегать скомпрометированных доменов, пока соответствующие команды не подтвердят, что доступ безопасен.

Эта статья впервые появилась на Crypto Adventure.