近期DeFi网站攻击事件
近期，一场针对至少12个去中心化金融（DeFi）网站的攻击事件发生。Blockaid识别出受影响页面中存在Step Drainer工具包，并警告用户避免连接钱包或签署交易。在10月31日的初步警告中，Blockaid指出Flap和Kintsu可能成为前端攻击的目标。
受影响团队的反应
受影响的团队在事件发展过程中开始发布自己的警告。Flap确认其官方网站的访问者被重定向到其他地方，而StonkFun则在将网站下线并迁移至新基础设施后，报告称已恢复网站。
在初步警告中，Blockaid建议用户在问题解决之前避免与Flap和Kintsu进行互动。扩展名单中还包括StonkFun、Pickle Finance、Echelon、Origami Finance和FluxBeam。其余项目包括StakePoint、SupSwap、Longbow、Shprd Finance和APEX。与Flap和Kintsu一起，这份名单涵盖了12个不同的网站。
攻击的进一步发现
除了之前的警告外，Blockaid还发现同样的攻击在其他网站上发生，这些网站也在积极提供Step Drainer：
- stonkfun[.]xyz
- pickle[.]finance
- echelon[.]market
- origami[.]finance
- fluxbeam[.]xyz
- stakepoint[.]app
- supswap[.]xyz
Blockaid将这些额外网站描述为提供相同的drainer，并表示其调查仍在继续。警告中并未确认攻击者身份、受害者数量或提供总损失数据。
安全研究员的警告
安全研究员Ogle早前发布的警告描述了一种注入脚本，该脚本将点击钱包连接按钮的访问者引导至恶意drainer页面。他的帖子敦促用户避免在上述网站上连接钱包。早期警告的副本中包括stonkbrokers[.]cash。
Blockaid后来的公开警告中提到Flap和Kintsu，并在后续扩展至10个域名，因此流传的截图并不完全相同。
Flap和StonkFun的应对措施
Flap确认其官方网站受到DNS劫持的影响。团队表示其网站正在将访问者重定向到未经授权的目的地，并要求用户在进一步通知之前不要访问、连接钱包或签署交易。在发布警告时，Flap表示正在努力恢复网站，并将在安全使用后进行公告。其附带的中文通知要求用户依赖项目官方社交账号的公告。
DNS记录将浏览器从域名引导至提供其网站的基础设施。在Flap对事件的描述中，合法地址本身将访问者引导至未经授权的网站。因此，警告涵盖了导航至项目熟悉域名的用户，而无需他们跟随拼写错误的地址或未经请求的推广链接。Flap的通知未指出负责被劫持记录的提供商，也未解释攻击者如何获得访问权限。
StonkFun确认其网站受到Blockaid标记的域名攻击影响。其首次通知要求用户远离并避免连接钱包，团队正在进行恢复工作。该项目表示事件影响了其网站，而链上所有操作正常。根据通知，团队并不知晓有任何用户受到影响。
在后续更新中，StonkFun表示已将网站下线并迁移至新基础设施。尽管网站已恢复，团队仍要求用户在连接钱包之前等待一个小时，因为某些网络可能需要那么长时间才能识别更改。恢复通知重申链上操作正常，团队并不知晓有受影响的用户。StonkFun的声明均未提供损失估计或宣布赔偿流程。
历史背景与未来展望
类似的网站妥协事件曾迫使DeFi团队改变用户访问其服务的方式。2025年5月，crypto.news报道Curve Finance在攻击者将其原始网站重定向至一个钱包盗取克隆网站后，迁移至新域名。Curve在响应过程中与安全合作伙伴和其注册商进行了合作。团队表示，注册商响应的延迟促使其决定放弃旧域名。注册商随后冻结了Curve.fi，禁用了恶意drainer。Curve随后确认计划引入以太坊名称服务地址作为另一种访问选项。
