Halloween DeFi Attack Overview
Isang Halloween na pag-atake ang tumarget sa hindi bababa sa 12 mga website ng DeFi, kung saan natukoy ng Blockaid ang Step Drainer toolkit sa mga apektadong pahina. Nagbigay ng babala ang mga koponan sa mga gumagamit na iwasan ang pagkonekta ng kanilang mga wallet o pag-sign ng mga transaksyon.
Initial Alerts and Affected Websites
Sa paunang babala ng Blockaid, nabanggit ang Flap at Kintsu bilang mga target ng isang potensyal na frontend na pag-atake noong Oktubre 31. Sa isang kasunod na alerto, inilista ng kumpanya ng seguridad sa blockchain ang 10 karagdagang domain na sinasabing aktibong naglilingkod sa Step Drainer. Ang mga apektadong koponan ay nagsimulang magbigay ng kanilang sariling mga babala habang umuusad ang insidente.
Details of the Attack
Kinumpirma ng Flap na ang mga bisita sa kanilang opisyal na address ay nire-redirect sa ibang lugar, habang iniulat ng StonkFun na naibalik na nito ang kanilang website matapos itong i-offline at lumipat sa bagong imprastruktura. Sa kanyang paunang alerto, hiniling ng Blockaid sa mga gumagamit na iwasan ang pakikipag-ugnayan sa Flap at Kintsu hanggang sa malutas ang isyu.
List of Affected Domains
Ang pinalawak na listahan ng Blockaid ay nagngangalang:
- StonkFun
- Pickle Finance
- Echelon
- Origami Finance
- FluxBeam
- StakePoint
- SupSwap
- Longbow
- Shprd Finance
- APEX
Kasama ang Flap at Kintsu, ang listahan ay sumasaklaw sa 12 natatanging website.
Nature of the Attack
“Isang injected script na nagpadala sa mga bisita na nag-click sa wallet connection button sa isang mapanlinlang na drainer page.”
Ang kanyang post ay nag-udyok sa mga gumagamit na iwasan ang pagkonekta ng mga wallet sa mga nabanggit na site. Ang mga kopya ng naunang babalang iyon ay kasama ang stonkbrokers[.]cash.
Response from Affected Teams
Kinumpirma ng Flap na ang kanilang opisyal na website ay naapektuhan ng isang DNS hijack. Sinabi ng koponan na ang kanilang website ay nire-redirect ang mga bisita sa isang hindi awtorisadong destinasyon at humiling sa mga gumagamit na huwag bumisita, kumonekta ng mga wallet, o pumirma ng mga transaksyon hanggang sa karagdagang abiso.
Ang kasamang abiso sa wikang Tsino ay humiling sa mga gumagamit na umasa sa mga anunsyo mula sa opisyal na mga social account ng proyekto. Ang mga tala ng DNS ay nagdidirekta sa mga browser mula sa isang domain name patungo sa imprastruktura na naglilingkod sa website nito.
StonkFun’s Recovery Efforts
Kinumpirma ng StonkFun na ang kanilang website ay naapektuhan ng pag-atake na itinaguyod ng Blockaid. Ang kanilang unang abiso ay humiling sa mga gumagamit na lumayo at iwasan ang pagkonekta ng mga wallet habang ang koponan ay nagtatrabaho sa pagbawi. Sinabi ng proyekto na ang insidente ay nakaapekto sa kanilang website at na ang lahat sa on-chain ay tumatakbo nang normal.
Wala silang kaalaman sa sinumang naapektuhan, ayon sa abiso. Sa isang kasunod na update, sinabi ng StonkFun na inalis nila ang website at inilipat ito sa bagong imprastruktura. Bagaman naibalik na ang site, humiling ang koponan sa mga gumagamit na maghintay ng isang oras bago kumonekta ng wallet dahil ang ilang mga network ay maaaring tumagal ng ganoong katagal upang makilala ang pagbabago.
Historical Context
Ang mga katulad na pag-compromise ng website ay dati nang pinilit ang mga koponan ng DeFi na baguhin kung paano naa-access ng mga gumagamit ang kanilang mga serbisyo. Noong Mayo 2025, iniulat ng crypto.news na ang Curve Finance ay lumipat sa isang bagong domain matapos na i-redirect ng mga umaatake ang kanilang orihinal na website sa isang wallet-draining clone.
Nakipag-ugnayan ang Curve sa mga kasosyo sa seguridad at sa kanilang registrar sa panahon ng pagtugon. Sinabi ng koponan na ang mga pagkaantala sa pagtugon ng registrar ay nag-ambag sa kanilang desisyon na talikuran ang lumang domain.
Ang registrar ay kalaunan ay nag-freeze sa Curve.fi, na pinapatay ang mapanlinlang na drainer. Kinumpirma ng Curve ang mga plano na ipakilala ang isang Ethereum Name Service address bilang isa pang opsyon sa pag-access.
