10 月 31 日，至少 12 個加密貨幣網站在一波協同式前端攻擊中遭到攻擊，攻擊者入侵了為去中心化金融協議和代幣發行平台提供服務的網域基礎設施，並注入惡意程式碼，將訪客重新導向至竊取錢包資產的頁面。

受影響的專案包括 Flap、Kintsu 和 StonkFun，以及其他多個去中心化金融應用。區塊鏈安全公司 Blockaid 將這些事件與 StepDrainer 聯繫起來，這是一個旨在透過欺詐性錢包連線和交易簽署竊取加密貨幣的惡意工具包。

此次攻擊針對的是網站基礎設施，而非底層區塊鏈協議。目前尚未確認全面的損失估計，調查人員也尚未確定受影響的網域是否共有同一個入侵點。

Blockaid 在 12 個加密貨幣網站上識別出 StepDrainer

由 YZi Labs 支持的代幣發行平台 Flap 最先發出警報，警告其原始網域 flap.sh 已被劫持，並將訪客重新導向至未經授權的網站。該團隊在一則 X 貼文中指示用戶避開該網域，並在與安全合作夥伴合作控制事件期間，避免連接錢包或簽署交易。

隨後不久，Blockaid 偵測到針對 Kintsu——一個基於 Monad 的流動性質押協議——的類似活動。該安全公司隨後識別出另外 10 個提供 StepDrainer 的網站，包括 stonkfun.xyz、pickle.finance、echelon.market、origami.finance、fluxbeam.xyz、stakepoint.app、supswap.xyz、longbow.cash、shprd.finance 和 apexdefi.xyz，並在一則 X 貼文中披露了調查結果。

惡意基礎設施利用了這些網站的前端介面，可能透過看似熟悉的應用頁面向訪客展示欺騙性的交易請求。

與智能合約漏洞攻擊不同，DNS 劫持使攻擊者能夠將合法的網址重新導向至其控制的基礎設施，這意味著用戶即使在造訪專案的公認網域時，也可能遇到惡意的錢包提示。StepDrainer 隨後可利用代幣授權和惡意簽章來授權資產轉移，而無需攻擊者取得私鑰。代幣授權是一種常設許可，允許某個地址或合約代表用戶轉移特定資產，這也是為什麼在懷疑發生資產暴露時，撤銷授權是各專案建議的標準第一應對措施。

Kintsu 確認其網域在註冊商層級——即控制網域記錄指向的層級——遭到入侵，並建議在 10 月 31 日 00:00 UTC 之後連接錢包或簽署交易的用戶撤銷可疑的代幣授權，並將可能暴露的資產轉移至安全的錢包。該協議隨後恢復了其網域路由，但在 DNS 快取傳播更新的期間，仍持續警告用戶避免錢包互動，因為快取記錄在過期前可能持續提供過時的目的地。

Flap 遷移至新網域，調查持續進行

Flap 隨後將其平台遷移至 flap.cool，建議用戶直接造訪新地址，而非依賴來自受入侵網域的重新導向。該專案表示，根本原因仍在調查中，包括事件是否源於其網域服務提供商，其團隊也一直與 Blockaid 以及基礎設施提供商 Vercel 和 Name.com 協調合作。

StonkFun 也確認其網站受到影響，但堅稱其鏈上營運持續正常運作。該平台表示，在發布公告時並不知道有任何受影響的用戶。

這波攻擊發生在本週稍早 Polymarket 前端遭入侵、約 270 萬美元資產被竊取的事件之後，當時惡意 JavaScript 透過一個受入侵的監控提供商進入了該預測市場的網站。類似的漏洞此前也曾影響 DeFi 平台：2025 年 5 月，Curve Finance 曾遭遇一次 DNS 劫持事件，儘管其底層智能合約保持安全，但訪客仍被暫時暴露於惡意網站。

這些事件凸顯了去中心化應用中一個持續存在的弱點：區塊鏈合約可能保持未被入侵的狀態，而攻擊者卻利用傳統的網路基礎設施來針對用戶。在上述每個案例中，鏈上層都完好無損，而入侵則發生在傳統網路組件中——本週這波攻擊中的網域基礎設施、Polymarket 案例中的第三方監控提供商，以及 Curve 案例中的 DNS 記錄。

調查人員尚未確認總體財務影響，也未確認肇事者身分，且受影響網域是否共有單一入侵點，或共同的註冊商或 DNS 提供商，目前仍無法確定。受影響的用戶仍被建議在各專案團隊確認造訪安全之前，避免使用受入侵的網域。

本文最初發表於 Crypto Adventure。