Một vụ chiếm quyền DNS dịp Halloween đã khiến ít nhất một tá trang DeFi ngừng hoạt động hoặc chuyển hướng đến các trang độc hại. Công ty bảo mật blockchain Blockaid phát hiện bộ công cụ “Step Drainer” trên các giao diện frontend bị ảnh hưởng, còn các nhóm dự án cảnh báo người dùng không kết nối ví hoặc ký giao dịch. Chuyện gì đã xảy ra - Ngày 31 tháng 10, Blockaid lần đầu cảnh báo về khả năng giao diện frontend của Flap và Kintsu bị xâm nhập. Công ty nhanh chóng mở rộng cảnh báo, bổ sung thêm 10 tên miền mà theo họ đang chủ động phát tán Step Drainer — bộ công cụ rút tiền, chuyển hướng người dùng đến các trang độc hại được thiết kế để yêu cầu kết nối ví hoặc chữ ký. - Nhà nghiên cứu bảo mật Ogle độc lập phát hiện một tập lệnh được chèn vào, khiến khách truy cập nhấp vào nút kết nối ví bị chuyển đến trang rút tiền, đồng thời khuyến cáo người dùng tránh kết nối ví với các trang được nêu tên. Các dự án bị ảnh hưởng Danh sách của Blockaid gồm 12 trang web riêng biệt: - Flap - Kintsu - StonkFun (stonkfun[.]xyz) - Pickle Finance (pickle[.]finance) - Echelon (echelon[.]market) - Origami Finance (origami[.]finance) - FluxBeam (fluxbeam[.]xyz) - StakePoint (stakepoint[.]app) - SupSwap (supswap[.]xyz) - Longbow - Shprd Finance - APEX Các nhóm dự án cho biết gì - Flap xác nhận đã xảy ra vụ chiếm quyền DNS: tên miền hợp pháp của dự án chuyển hướng khách truy cập đến một địa chỉ không được phép. Nhóm đề nghị người dùng không truy cập trang web, kết nối ví hoặc ký giao dịch, đồng thời cho biết đang khôi phục dịch vụ và hướng dẫn người dùng theo dõi các tài khoản mạng xã hội chính thức để cập nhật. - StonkFun cho biết trang web bị ảnh hưởng nhưng các hoạt động trên chuỗi vẫn bình thường. Dự án đã đưa trang web ngoại tuyến, chuyển sang hạ tầng mới, khôi phục trang web và khuyên người dùng chờ khoảng một giờ trước khi kết nối lại ví để các mạng lưới kịp nhận diện thay đổi. Cả hai nhóm đều cho biết chưa ghi nhận nạn nhân nào và không đưa ra ước tính thiệt hại hay kế hoạch bồi thường. Tình hình điều tra và tác động - Blockaid cho biết các trang web bổ sung cũng đang phát tán cùng một Step Drainer và cuộc điều tra vẫn đang diễn ra. Các cảnh báo không nêu tên kẻ tấn công đã được xác nhận, số lượng nạn nhân hay tổng thiệt hại. - Vì vụ tấn công liên quan đến các bản ghi DNS, khách truy cập gõ những tên miền quen thuộc vào trình duyệt có thể bị chuyển hướng đến các trang độc hại — không cần liên kết lừa đảo hay tên miền giả mạo gần giống. Blockaid và các dự án bị ảnh hưởng chưa tiết lộ cách những kẻ tấn công truy cập được vào các bản ghi DNS, hoặc nhà cung cấp nào, nếu có, đã bị xâm nhập. Bối cảnh và tiền lệ - Các vụ việc tương tự liên quan đến giao diện frontend và chiếm quyền tên miền từng nhắm vào DeFi. Tháng 5 năm 2025, Curve Finance chuyển sang tên miền mới sau khi kẻ tấn công chuyển hướng trang web của dự án đến một bản sao có thể rút tiền từ ví; Curve đã phối hợp với các đối tác bảo mật và đơn vị đăng ký tên miền, bên sau đó đã đóng băng tên miền độc hại. Curve cũng cho biết dự định bổ sung địa chỉ ENS làm phương thức truy cập thay thế. Người dùng nên làm gì lúc này - Không truy cập các tên miền bị cảnh báo, kết nối ví hoặc ký giao dịch cho đến khi các dự án xác nhận đã khôi phục dịch vụ qua các kênh chính thức. - Theo dõi các tài khoản mạng xã hội chính thức của dự án để xem thông báo khôi phục và hướng dẫn. - Cân nhắc sử dụng ví phần cứng và các công cụ bên thứ ba để rà soát giao dịch nhằm giảm nguy cơ từ những yêu cầu ký độc hại. Chúng tôi sẽ cập nhật khi Blockaid và các nhóm dự án bị ảnh hưởng công bố thêm thông tin về kẻ tấn công, phạm vi sự việc và mọi thiệt hại. Đọc thêm tin tức do AI tạo tại: https://app.chaingpt.org/news