حمله DNS به ۱۲ وب‌سایت دیفای؛ ابزار Step Drainer شناسایی شد

شرکت امنیت بلاکچین Blockaid در تاریخ ۳۱ اکتبر ابتدا در مورد یک حمله فرانت‌اند بالقوه به وب‌سایت‌های Flap و Kintsu هشدار داد. در هشداری دیگر، این شرکت لیست ۱۰ دامنه دیگر را منتشر کرد که به گفته آن‌ها، به طور فعال در حال استفاده از ابزار مخرب Step Drainer بودند.

با گسترش این حادثه، تیم‌های پروژه‌های آسیب‌دیده نیز هشدارهای خود را صادر کردند. پروژه Flap تأیید کرد که بازدیدکنندگان آدرس رسمی آن به مقصد دیگری هدایت می‌شوند، در حالی که StonkFun بعداً گزارش داد که پس از آفلاین کردن وب‌سایت و انتقال آن به زیرساخت جدید، آن را بازیابی کرده است.

Blockaid ابزار Step Drainer را در ۱۲ سایت دیفای شناسایی کرد

در هشدار اولیه، Blockaid از کاربران خواست تا زمان حل مشکل از هرگونه تعامل با Flap و Kintsu خودداری کنند. لیست تکمیلی این شرکت شامل StonkFun، Pickle Finance، Echelon، Origami Finance و FluxBeam بود.

پروژه‌های باقی‌مانده StakePoint، SupSwap، Longbow، Shprd Finance و APEX بودند. با احتساب Flap و Kintsu، این لیست مجموعاً ۱۲ وب‌سایت متمایز را پوشش می‌داد.

Blockaid اعلام کرد که این سایت‌های اضافی نیز از همان ابزار مخرب استفاده می‌کنند و تحقیقات در این زمینه ادامه دارد. در این هشدارها، هویت مهاجم تأیید نشده، تعداد قربانیان اعلام نشده و آمار دقیقی از خسارات کلی ارائه نشده است.

پیش از این، هشداری که توسط محقق امنیتی Ogle منتشر شده بود، به وجود یک اسکریپت تزریق‌شده اشاره داشت که بازدیدکنندگان را پس از کلیک بر روی دکمه اتصال کیف پول به یک صفحه مخرب هدایت می‌کرد. او در پست خود از کاربران خواست از اتصال کیف پول به سایت‌های نام‌برده خودداری کنند.

Flap تأیید کرد که دامنه رسمی آن بازدیدکنندگان را به سایت دیگری هدایت می‌کرده است

پروژه Flap تأیید کرد که وب‌سایت رسمی آن تحت تأثیر یک حمله ربایش DNS (DNS hijack) قرار گرفته است. این تیم اعلام کرد که وب‌سایتش بازدیدکنندگان را به مقصدی غیرمجاز هدایت می‌کند و از کاربران خواست تا اطلاع ثانوی از بازدید سایت، اتصال کیف پول یا امضای تراکنش‌ها خودداری کنند.

در زمان هشدار، Flap اعلام کرد که در حال تلاش برای بازیابی وب‌سایت است و پس از ایمن شدن، مجدداً اطلاع‌رسانی خواهد کرد. در اطلاعیه همراه به زبان چینی نیز از کاربران خواسته شده بود که فقط به اطلاعیه‌های منتشر شده از حساب‌های رسمی پروژه در شبکه‌های اجتماعی اعتماد کنند.

رکوردهای DNS مرورگرها را از یک نام دامنه به زیرساختی که وب‌سایت را میزبانی می‌کند، هدایت می‌کنند. طبق توضیحات Flap، آدرس قانونی خود پروژه بازدیدکنندگان را به یک سایت غیرمجاز ارسال می‌کرده است. بنابراین، این هشدار شامل افرادی نیز می‌شد که به دامنه آشنای پروژه مراجعه می‌کردند، بدون اینکه نیازی به دنبال کردن آدرس‌های اشتباه یا لینک‌های تبلیغاتی ناخواسته داشته باشند.

StonkFun وب‌سایت خود را پس از انتقال زیرساخت بازیابی کرد

پروژه StonkFun تأیید کرد که وب‌سایتش تحت تأثیر حمله دامنه‌ای که توسط Blockaid گزارش شده بود، قرار گرفته است. در اولین اطلاعیه، این تیم از کاربران خواست تا زمان بازیابی، از سایت دوری کرده و از اتصال کیف پول خودداری کنند.

این پروژه اعلام کرد که حادثه فقط وب‌سایت را تحت تأثیر قرار داده و تمام عملیات روی زنجیره (on-chain) به طور عادی در حال انجام است. طبق این اطلاعیه، تیم از هیچ کاربر آسیب‌دیده‌ای اطلاع نداشت.

در به‌روزرسانی بعدی، StonkFun اعلام کرد که وب‌سایت را آفلاین کرده و به زیرساخت جدیدی منتقل کرده است. اگرچه سایت بازیابی شده بود، تیم از کاربران خواست تا یک ساعت قبل از اتصال کیف پول صبر کنند، زیرا ممکن است برخی شبکه‌ها برای شناسایی تغییرات به این زمان نیاز داشته باشند.

حملات DNS قبلی منجر به مهاجرت دامنه‌ها شده بود

حملات مشابهی به وب‌سایت‌ها در گذشته نیز تیم‌های دیفای را مجبور به تغییر نحوه دسترسی کاربران به خدماتشان کرده است. در ماه می ۲۰۲۵، گزارش شد که Curve Finance پس از اینکه مهاجمان وب‌سایت اصلی آن را به یک نسخه کلون‌شده برای خالی کردن کیف پول‌ها هدایت کردند، به یک دامنه جدید مهاجرت کرد.

Curve در آن زمان با شرکای امنیتی و ثبت‌کننده دامنه خود همکاری کرد. این تیم اعلام کرد که تأخیر در پاسخگویی ثبت‌کننده دامنه در تصمیم آن‌ها برای رها کردن دامنه قدیمی نقش داشته است.