10 月 31 日，在去中心化金融协议和代币发行平台所依赖的域名基础设施遭到入侵、恶意代码被注入并将访客重定向至 draining 钱包页面之后，至少 12 个加密货币网站在一场协同式前端攻击中受到冲击。

受影响的项目包括 Flap、Kintsu 和 StonkFun，以及其他多个去中心化金融应用。区块链安全公司 Blockaid 将这些事件与 StepDrainer 联系起来——这是一个恶意工具包，旨在通过欺诈性钱包连接和交易授权窃取加密货币。

此次攻击针对的是网站基础设施，而非底层区块链协议。目前尚未确认全面的损失估计，调查人员也尚未确定受影响的域名是否共享单一入侵点。

Blockaid 在 12 个加密货币网站上识别出 StepDrainer

由 YZi Labs 支持的代币发行平台 Flap 率先发出警报，警告称其原域名 flap.sh 已被劫持，正在将访客重定向至未经授权的网站。该团队在发布于 X 的帖子中指示用户避开该域名，并在其与安全合作伙伴合作控制事态期间，不要连接钱包或签署交易。

此后不久，Blockaid 检测到针对 Kintsu——一个基于 Monad 的流动性质押协议——的类似活动。该安全公司随后识别出另外 10 个提供 StepDrainer 的网站，包括 stonkfun.xyz、pickle.finance、echelon.market、origami.finance、fluxbeam.xyz、stakepoint.app、supswap.xyz、longbow.cash、shprd.finance 和 apexdefi.xyz，并在发布于 X 的帖子中披露了调查结果。

恶意基础设施利用了这些网站的前端界面，可能在看似正常的应用页面上向访客呈现具有欺骗性的交易请求。

与智能合约漏洞利用不同，DNS 劫持使攻击者能够将合法网址重定向至其控制的基础设施，这意味着用户即使访问项目的公认域名，也可能遇到恶意钱包提示。随后，StepDrainer 可以利用代币授权和恶意签名来授权资产转移，而无需攻击者获取私钥。代币授权是一种常设许可，允许某个地址或合约代表用户转移指定资产，这也是为什么在疑似遭遇风险时，撤销授权是各项目建议的标准首要应对措施。

Kintsu 确认其域名在注册商层面——即控制域名记录指向的那一层——遭到入侵，并建议在 10 月 31 日 00:00 UTC 之后连接钱包或签署交易的用户撤销可疑的代币授权，并将可能暴露的资产转移至安全的钱包。该协议随后恢复了域名路由，但在 DNS 缓存传播更新期间仍继续警告用户不要进行钱包交互，因为缓存的记录可能会在过期前持续指向过时的目标地址。

Flap 迁移至新域名，调查仍在继续

Flap 随后将其平台迁移至 flap.cool，建议用户直接访问新地址，而不要依赖来自被入侵域名的重定向。该项目表示，根本原因仍在调查中，包括事件是否源自其域名服务提供商，其团队一直在与 Blockaid 以及基础设施提供商 Vercel 和 Name.com 协调。

StonkFun 也确认其网站受到影响，同时表示其链上运营继续正常运行。该平台表示，在发布公告时尚未发现有用户受到影响。

这波攻击发生之前，Polymarket 前端曾遭入侵，本周早些时候约有 270 万美元资产被抽走，恶意 JavaScript 是通过一个被入侵的监控提供商进入该预测市场网站的。类似漏洞此前也曾影响过 DeFi 平台：2025 年 5 月，Curve Finance 遭遇另一起 DNS 劫持事件，尽管其底层智能合约保持安全，访客仍一度被暴露于恶意网站。

这些事件凸显了去中心化应用中一个持续存在的安全弱点：即便区块链合约未遭入侵，攻击者仍可能利用传统网络基础设施来攻击用户。在上述每起案例中，链上层面均保持完好，而入侵是在传统网络组件中发生的——本周这波攻击中的域名基础设施、Polymarket 的第三方监控提供商，以及 Curve 的 DNS 记录。

调查人员尚未确认总的经济影响，也未查明肇事者，受影响域名是否共享单一入侵点或共同的注册商/DNS 提供商仍不确定。受影响的用户仍被建议在各自团队确认访问安全之前，避免使用被入侵的域名。

本文最初发表于 Crypto Adventure。