12家加密货币网站遭遇前端攻击，恶意工具StepDrainer肆虐

10月31日，至少12个加密货币网站成为协调一致的前端攻击目标。攻击者通过劫持服务于去中心化金融（DeFi）协议和代币发行平台的域名基础设施，在页面中植入恶意代码，将用户重定向至旨在盗取钱包资产的欺诈性页面。

受影响的项目包括Flap、Kintsu和StonkFun，以及多个DeFi应用程序。区块链安全公司Blockaid将这些事件与一种名为StepDrainer的恶意工具包联系起来，该工具包专门设计用于通过伪造的连接请求和交易批准来窃取加密货币。

攻击针对网站基础设施而非底层协议

此次攻击针对的是网站的基础设施，而非底层的区块链协议。目前尚未确认具体的损失总额，调查人员也尚未确定受影响的域名是否共享同一个漏洞点。

Blockaid在12个加密货币网站上识别出StepDrainer

由YZi Labs支持的代币发行平台Flap首先警告称，其原始域名flap.sh已被劫持，访问者被重定向到一个未经授权的网站。Flap团队指示用户避免使用该域名，并在与安全合作伙伴合作控制事态期间，切勿连接钱包或签署交易。

随后不久，Blockaid检测到类似活动正针对基于Monad网络的流动性质押协议Kintsu展开。该公司随后又发现了另外10个部署了StepDrainer的网站，包括stonkfun.xyz、pickle.finance、echelon.market、origami.finance、fluxbeam.xyz、stakepoint.app、supswap.xyz、longbow.cash、shprd.finance和apexdefi.xyz。

这些恶意基础设施利用了网站的界面层，可能通过看似熟悉的应用程序页面，向访问者展示欺骗性的交易请求。与智能合约漏洞不同，DNS劫持允许攻击者将合法的网址重定向到他们控制的服务器上。因此，即使用户导航至项目公认的域名，也可能遇到恶意的钱包弹窗提示。

StepDrainer可以利用代币授权和恶意签名来授权资产转移，而无需攻击者获取私钥。

Kintsu确认域名受损并建议用户撤销授权

Kintsu确认其域名在注册商层面遭到入侵，并建议用户在10月31日UTC时间00:00之后连接钱包或签署交易的用户，立即撤销可疑的代币授权，并将可能暴露的资产转移到安全的钱包中。

该协议随后恢复了域名的路由，但在DNS缓存传播更改的过程中，继续警告用户不要进行钱包交互。

Flap迁移至新域名，安全调查持续进行中

Flap随后将其平台迁移至flap.cool，建议用户直接访问新地址，而不是依赖从受损域名的重定向。该项目表示，根本原因仍在调查中，包括事件是否源于其域名服务提供商。其团队已与Blockaid以及基础设施提供商Vercel和Name.com协调合作。

StonkFun也确认其网站受到影响，但表示其链上运营仍正常运行。该平台在其公告时称，尚 unaware 任何用户受到影响。

此类攻击并非孤例

此次攻击紧随本周早些时候Polymarket前端被攻破的事件之后，当时恶意JavaScript通过一个被入侵的监控提供商进入预测市场网站，导致约270万美元被盗。

类似的漏洞此前也曾影响过DeFi平台。2025年5月，Curve Finance遭受另一起DNS劫持事件，尽管其底层智能合约保持安全，但暂时向访问者展示了恶意网站。

最新的事件凸显了去中心化应用程序中持续存在的安全弱点：区块链合约可能未受侵犯，但攻击者可以利用传统的Web基础设施来针对用户。

调查人员尚未确认总财务影响或识别出攻击者。受影响的用户仍被建议避免访问受损域名，直到各自团队确认访问安全为止。