A Blockaid identificou 12 sites sequestrados que hospedavam o Step Drainer, incluindo Flap e Kintsu.
Todos os 12 domínios compartilhavam o mesmo registrador, mas os investigadores ainda não confirmaram por onde os invasores obtiveram acesso.
Os US$ 138.000 rastreados até três carteiras não incluem eventuais perdas na Solana ou na Aptos.
Invasores sequestraram 12 sites de DeFi na noite de sexta-feira, redirecionando visitantes de endereços conhecidos para páginas criadas para esvaziar suas carteiras de criptomoedas. A empresa de segurança Blockaid identificou o Step Drainer em todos os sites afetados. Até a manhã de sábado, o The Block havia rastreado cerca de US$ 138.000 até três carteiras. A estimativa não inclui eventuais perdas na Solana ou na Aptos, e o número de vítimas continua desconhecido.
Como sites DeFi sequestrados levaram usuários ao Step Drainer
A Flap confirmou que seu endereço oficial redirecionava os visitantes para um site não autorizado. Um usuário podia digitar o endereço correto e ainda assim chegar à página do invasor, porque os registros de domínio subjacentes haviam sido alterados.
Nosso site oficial, https://t.co/9FwWnFw4KX , está atualmente afetado por um incidente de sequestro de DNS e redireciona para um site não autorizado. Por favor, não acesse o site, não conecte sua carteira nem assine transações até novo aviso. Estamos trabalhando ativamente para restaurá-lo…
— Flap (@flapdotsh) 31 de outubro de 2026
O drainer solicitava que os visitantes conectassem uma carteira e autorizassem transações que transferiam ativos para fora dela. Essa distinção é importante: acessar um dos sites DeFi, por si só, não era evidência de que um visitante havia perdido fundos. Kintsu, Origami Finance, FluxBeam e StonkFun disseram que seus contratos inteligentes não foram afetados.
O rastro dos pagamentos revelou um padrão consistente. Três carteiras receberam os valores em parcelas de 15%, 55% e 30% em várias redes. Na Robinhood Chain, os registros de transações mostraram uma carteira retirando ações tokenizadas da Apple e da Nvidia da Morpho antes de trocá-las por ETH.
Sites DeFi usavam o mesmo registrador, mas servidores de nomes diferentes
Os 12 sites DeFi usavam a Name.com como registradora, de acordo com registros públicos analisados pelo The Block. Os servidores de nomes variavam entre Cloudflare, Vercel e Name.com. O registrador em comum restringe o escopo da investigação, mas não determina qual empresa ou conta foi comprometida pelos invasores.
Às 8h32 de sábado, no horário do leste dos EUA, 10 domínios receberam um bloqueio no nível do registrador que impediu a resolução de seus endereços. Flap e Kintsu foram as duas exceções. A Origami disse que manteria seus cofres pausados enquanto aguardava as conclusões da Vercel e da Name.com.
A StonkFun informou que tirou seu site do ar, transferiu-o para uma nova infraestrutura e o restaurou. Mesmo após a mudança, a equipe pediu aos usuários que aguardassem uma hora antes de conectar suas carteiras. Algumas redes ainda podiam direcionar os visitantes para o destino antigo enquanto seus registros em cache eram atualizados.
Aviso: Este artigo tem fins meramente informativos e não constitui aconselhamento financeiro. A CoinCryptoNewz não se responsabiliza por quaisquer perdas incorridas. Os leitores devem fazer sua própria pesquisa antes de tomar decisões financeiras.
<p> A publicação Hackers sequestram 12 sites DeFi enquanto US$ 138.000 são rastreados até carteiras apareceu primeiro em Coin Crypto Newz.</p>