Компания Blockaid утром 31 октября сообщила, что один и тот же набор для кражи средств StepDrainer одновременно работал на сайтах ещё десяти DeFi-проектов: StonkFun, Pickle Finance, Echelon, Origami, FluxBeam, StakePoint, SupSwap, Longbow, SHPRD и ApeX DeFi. До этого Flap и Kintsu сами предупредили о подмене своих официальных сайтов. В общей сложности оповещение затронуло 12 сервисов.

Kintsu описала случившееся как захват домена на уровне регистратора, а Flap — как подмену DNS. При такой атаке человек вводит правильный адрес, но попадает на сервер злоумышленника: смарт-контракты протокола и сама блокчейн-сеть при этом могут оставаться неизменными. Blockaid связала сайты по одному дрейнеру, но пока не опубликовала полный технический разбор общей цепочки компрометации.

StepDrainer не обязательно узнавать приватный ключ. Поддельная страница подключения кошелька может запросить разрешение на перевод токенов или подпись, после которой злоумышленник получает возможность вывести одобренные активы. Kintsu попросила людей, подключавших кошелёк или подписывавших операции после 00:00 UTC 31 октября, отозвать разрешения и перевести оставшиеся средства на другой адрес.

На срез 06:35 UTC подтверждённых потерь и числа пострадавших нет. Из двенадцати проектов собственную подмену доменов публично подтвердили только Flap и Kintsu; ещё десять назвала Blockaid по результатам своего мониторинга. Поэтому установленный масштаб — вредоносные веб-интерфейсы и риск опасной подписи, а не кража средств из двенадцати протоколов или взлом их блокчейнов.