Вечером 31 октября 2026 года серия атак с использованием вредоносного инструмента Step Drainer затронула как минимум 12 DeFi-сайтов. Все скомпрометированные домены были зарегистрированы через одного регистратора — Name.com, сообщили в The Block со ссылкой на публичные реестры. По ончейн-данным, на EVM-сетях удалось отследить похищенные средства примерно на $138 000; потери на Solana и Aptos в эту сумму не включены.
Среди пострадавших фронтендов — Pickle Finance, Origami Finance, FluxBeam, Echelon, StonkFun, StakePoint, Flap и Kintsu. По данным Blockaid, 10 доменов были приостановлены на уровне регистратора в субботу в 08:32 по восточному времени. Домены Flap и Kintsu на момент публикации оставались активными.
Подменённые сайты использовали Step Drainer — вредоносный набор, который после подключения кошелька обманом заставляет пользователя одобрить вывод средств. По данным LevelBlue SpiderLabs, Step Drainer — это Malware-as-a-Service: полный исходный код продаётся примерно за $750, версия с 20-процентной комиссией — за $150, заявлена поддержка более 20 блокчейн-сетей.
Злоумышленники распределяли средства в три кошелька в пропорциях 15%, 55% и 30%. На BNB Chain Safe-кошелёк получил около 3,1 BNB (примерно $2 200) от четырёх адресов с 21:00 до 21:42 пятницы по восточному времени. Аналогичные переводы прошли в Ethereum, Robinhood Chain и Monad. На Monad были выведены стейкинговые MON и средства из лендингового протокола Neverland, конвертированные затем в MON. На Robinhood Chain выведены токенизированные акции NVDA и AAPL из Morpho и обменены на ETH. К утру субботы на трёх кошельках находилось около $138 000, в основном в MON и ETH сети Robinhood Chain.
Часть проектов указывает на инфраструктуру Vercel. Kintsu заявил, что инцидент произошёл «на стороне Vercel» и был вне контроля команды. Origami Finance предупредил об активной атаке на неймсерверы, связанные с Vercel, и приостановил хранилища до анализа первопричины от Vercel и Name.com. Name.com ограничилась просьбой заполнить abuse-форму. Vercel не комментировала ситуацию, однако ранее, в апреле, компания раскрыла взлом внутренних систем, связанный со скомпрометированным сторонним ИИ-инструментом.
Проекты подчеркнули, что ончейн-контракты не были скомпрометированы. StonkFun перевёл сайт на новую инфраструктуру и заявил, что не знает о пострадавших. FluxBeam также не зафиксировал обращений от пользователей. Инцидент продолжает серию DNS-атак на криптофронтенды: ранее подобные взломы затронули Aerodrome и Velodrome в ноябре 2025 года, а также Galxe в октябре 2023 года. Среди непосредственно затронутых активов — BNB, ETH, MON, а также токенизированные акции NVDA и AAPL.
