Jangan sembarangan membuka dApp hari ini siang. Bahkan bookmark pun mungkin tidak aman.
Pada 10-31, sejumlah frontend DeFi dibajak melalui DNS. Domain situs resminya langsung diarahkan ke halaman phishing. Kontraknya tidak diutak-atik; yang diserang adalah pintu masuk yang kamu gunakan.
Linimasa (waktu Beijing) 👇
1️⃣ 10:13 Pengumuman resmi Flap: flap.sh dibajak melalui DNS dan dialihkan ke situs tanpa izin. Jangan hubungkan wallet atau menandatangani apa pun.
2️⃣ Mulai 10:21, Blockaid mengeluarkan peringatan berturut-turut: frontend flap, kintsu, dan lainnya diserang. Setelah itu, mereka menambahkan daftar situs lain yang memakai modus serupa, termasuk stonkfun, pickle.finance, echelon.market, origami.finance, fluxbeam, stakepoint, dan supswap. Mereka menyebut situs-situs tersebut memasang Step Drainer (perangkat pencuri aset kripto).
3️⃣ Pengumuman resmi Kintsu: masalah terjadi di tingkat registrar (registrar domain). Pada 12:15, arah domain sudah dipulihkan ke server mereka sendiri, tetapi cache DNS mungkin perlu sekitar 1 jam lagi untuk dibersihkan. Jangan hubungkan wallet sebelum ada konfirmasi bahwa semuanya aman.
4️⃣ 13:21 Pembaruan Flap: mereka masih menyelidiki apakah insiden ini terkait penyedia layanan domain. Akar masalah belum dipastikan; mereka sudah pindah ke domain baru.
Penilaian saya: gelombang ini tampaknya bukan peretasan terhadap satu proyek saja, melainkan serangan yang menembus rantai pasokan domain yang sama. Sebanyak apa pun kontrak yang kamu audit, begitu pintu masuknya diganti, pengguna tetap bisa kehilangan aset hanya dengan sekali tanda tangan.
Daftar pemeriksaan mandiri:
- Jika setelah pukul 08.00 pagi waktu Beijing pada 10-31 kamu pernah menghubungkan wallet atau menandatangani sesuatu di situs-situs di atas, cabut izin melalui revoke.cash terlebih dahulu, lalu pindahkan dana ke alamat baru.
- Gunakan hanya domain baru yang diumumkan melalui akun X resmi proyek. Jangan mengeklik tautan dari kolom komentar atau pesan pribadi.
- Jika wallet menampilkan permintaan tanda tangan seperti setApprovalForAll atau Permit dan kamu tidak memahaminya, jangan setujui.
Sumber: pengumuman resmi Blockaid, Flap, dan Kintsu di X. Saat ini belum ada angka resmi mengenai nilai kerugian; tunggu post-mortem.
Hanya kurasi, bukan edukasi dan bukan saran investasi.
Pada 10-31, sejumlah frontend DeFi dibajak melalui DNS. Domain situs resminya langsung diarahkan ke halaman phishing. Kontraknya tidak diutak-atik; yang diserang adalah pintu masuk yang kamu gunakan.
Linimasa (waktu Beijing) 👇
1️⃣ 10:13 Pengumuman resmi Flap: flap.sh dibajak melalui DNS dan dialihkan ke situs tanpa izin. Jangan hubungkan wallet atau menandatangani apa pun.
2️⃣ Mulai 10:21, Blockaid mengeluarkan peringatan berturut-turut: frontend flap, kintsu, dan lainnya diserang. Setelah itu, mereka menambahkan daftar situs lain yang memakai modus serupa, termasuk stonkfun, pickle.finance, echelon.market, origami.finance, fluxbeam, stakepoint, dan supswap. Mereka menyebut situs-situs tersebut memasang Step Drainer (perangkat pencuri aset kripto).
3️⃣ Pengumuman resmi Kintsu: masalah terjadi di tingkat registrar (registrar domain). Pada 12:15, arah domain sudah dipulihkan ke server mereka sendiri, tetapi cache DNS mungkin perlu sekitar 1 jam lagi untuk dibersihkan. Jangan hubungkan wallet sebelum ada konfirmasi bahwa semuanya aman.
4️⃣ 13:21 Pembaruan Flap: mereka masih menyelidiki apakah insiden ini terkait penyedia layanan domain. Akar masalah belum dipastikan; mereka sudah pindah ke domain baru.
Penilaian saya: gelombang ini tampaknya bukan peretasan terhadap satu proyek saja, melainkan serangan yang menembus rantai pasokan domain yang sama. Sebanyak apa pun kontrak yang kamu audit, begitu pintu masuknya diganti, pengguna tetap bisa kehilangan aset hanya dengan sekali tanda tangan.
Daftar pemeriksaan mandiri:
- Jika setelah pukul 08.00 pagi waktu Beijing pada 10-31 kamu pernah menghubungkan wallet atau menandatangani sesuatu di situs-situs di atas, cabut izin melalui revoke.cash terlebih dahulu, lalu pindahkan dana ke alamat baru.
- Gunakan hanya domain baru yang diumumkan melalui akun X resmi proyek. Jangan mengeklik tautan dari kolom komentar atau pesan pribadi.
- Jika wallet menampilkan permintaan tanda tangan seperti setApprovalForAll atau Permit dan kamu tidak memahaminya, jangan setujui.
Sumber: pengumuman resmi Blockaid, Flap, dan Kintsu di X. Saat ini belum ada angka resmi mengenai nilai kerugian; tunggu post-mortem.
Hanya kurasi, bukan edukasi dan bukan saran investasi.