Um sequestro de DNS no Halloween deixou pelo menos uma dúzia de sites DeFi fora do ar ou redirecionando para páginas maliciosas. A empresa de segurança blockchain Blockaid identificou o kit de ferramentas “Step Drainer” nos frontends afetados, e as equipes alertaram os usuários para não conectar carteiras nem assinar transações. O que aconteceu - Em 31 de outubro, a Blockaid alertou pela primeira vez sobre um possível comprometimento de frontend que tinha como alvo Flap e Kintsu. A empresa rapidamente ampliou o alerta para incluir mais 10 domínios que, segundo ela, estavam servindo ativamente o Step Drainer — um kit de ferramentas de drenagem que redireciona usuários para páginas maliciosas criadas para solicitar conexões de carteira ou assinaturas. - O pesquisador de segurança Ogle sinalizou de forma independente um script injetado que enviava visitantes que clicavam em um botão de conexão de carteira para uma página de drenagem, pedindo aos usuários que evitassem conectar carteiras aos sites mencionados. Projetos afetados A lista da Blockaid abrangia 12 sites distintos: - Flap - Kintsu - StonkFun (stonkfun[.]xyz) - Pickle Finance (pickle[.]finance) - Echelon (echelon[.]market) - Origami Finance (origami[.]finance) - FluxBeam (fluxbeam[.]xyz) - StakePoint (stakepoint[.]app) - SupSwap (supswap[.]xyz) - Longbow - Shprd Finance - APEX O que as equipes relataram - A Flap confirmou um sequestro de DNS: seu domínio legítimo estava redirecionando visitantes para um destino não autorizado. A equipe pediu aos usuários que não visitassem o site, não conectassem carteiras nem assinassem transações e disse que estava trabalhando para restaurar o serviço, orientando os usuários a acompanhar as atualizações nas contas oficiais das redes sociais. - A StonkFun informou que seu site foi afetado, mas que as operações on-chain continuavam normais. O projeto tirou o site do ar, migrou para uma nova infraestrutura, restaurou o site e aconselhou os usuários a esperar cerca de uma hora antes de reconectar as carteiras, para permitir que as redes reconhecessem a mudança. Nenhuma das equipes relatou vítimas conhecidas, e não foram fornecidas estimativas de perdas nem planos de compensação. Situação da investigação e impacto - A Blockaid afirmou que os sites adicionais estavam servindo o mesmo Step Drainer e que a investigação continua em andamento. Os alertas não identificaram um invasor confirmado, não informaram o número de vítimas nem forneceram um valor total das perdas. - Como o ataque envolveu registros DNS, visitantes que digitassem domínios conhecidos nos navegadores poderiam ser redirecionados para as páginas maliciosas — não era necessário um link de phishing nem um domínio com erro de digitação. A Blockaid e os projetos afetados não divulgaram como os invasores obtiveram acesso aos registros DNS nem qual provedor, se algum, foi comprometido. Contexto e precedentes - Incidentes semelhantes de sequestro de frontend e domínio já atingiram o DeFi. Em maio de 2025, a Curve Finance migrou para um novo domínio após invasores redirecionarem seu site para uma cópia criada para drenar carteiras; a Curve trabalhou com parceiros de segurança e seu registrador, que posteriormente congelou o domínio malicioso. A Curve também informou que planejava adicionar um endereço ENS como método alternativo de acesso. O que os usuários devem fazer agora - Não visite os domínios sinalizados, não conecte carteiras nem assine transações até que os projetos confirmem a recuperação por meio de seus canais oficiais. - Acompanhe as contas oficiais dos projetos nas redes sociais para receber avisos de restauração e orientações. - Considere usar carteiras de hardware e ferramentas de terceiros para revisar transações, a fim de reduzir a exposição a solicitações maliciosas de assinatura. Atualizaremos esta notícia quando a Blockaid e as equipes afetadas divulgarem mais detalhes sobre o invasor, o alcance do ataque e possíveis perdas. Leia mais notícias geradas por IA em: https://app.chaingpt.org/news