Угон доменов DeFi: сайты Flap, Kintsu и ещё десятка проектов за ночь стали дрейнерами StepDrainer

Угон доменов DeFi превратился в целую кампанию в ночь на 31 октября: сайты лаунчпада Flap и протокола ликвидного стейкинга Kintsu начали отправлять посетителей на вредоносные страницы, а через час Blockaid нашла тот же набор для дрейна кошельков ещё на десятке DeFi-сайтов. Смарт-контракты никто не ломал — атаковали адреса сайтов.

Что произошло

Первым тревогу поднял Flap — платформа запуска токенов, которую поддерживает YZi Labs. В 02:13 UTC проект написал, что его официальный сайт flap.sh стал жертвой перехвата DNS и ведёт на чужую страницу. Пользователей попросили не заходить на сайт, не подключать кошелёк и ничего не подписывать до отдельного сообщения.

Примерно через 40 минут, в 02:54 UTC, Blockaid сообщила, что её системы засекли атаку на фронтенды flap.sh и kintsu.xyz. В копиях предупреждения, которыми делился советник World Liberty Financial Огл, был указан и StonkBrokers. А в 03:16 UTC Blockaid расширила список: тот же набор StepDrainer активно работал на StonkFun, Pickle Finance, Echelon, Origami, Fluxbeam, Stakepoint, SupSwap, Longbow, SHPRD и ApeX DeFi. Этот список, по данным TokenPost, распространил и основатель Pons Оззи.

Kintsu — протокол ликвидного стейкинга в сети Monad: ты стейкаешь MON и получаешь sMON. Команда написала, что kintsu.xyz захватили на уровне регистратора, и назвала инцидент возможной атакой на цепочку поставок. Домен был зарегистрирован через Vercel Domains, и Kintsu передала вопрос в Vercel Security и Name.com. Позже домен снова указывал на инфраструктуру проекта, но команда попросила не заходить, пока не очистятся кэши DNS.

Основатель Flap уточнил: риск касается только тех, кто открыл подменённый сайт и подключил кошелёк или подписал разрешение в минуты перед объявлением. Ключи, сид-фразы и данные кошельков Flap на своих серверах не хранит.

Как работает угон доменов DeFi

DNS — это адресная книга интернета: она сопоставляет имя сайта с сервером. Если атакующий получает контроль над записями домена или над аккаунтом у регистратора, ты вводишь правильный адрес и попадаешь на поддельную страницу. Визуально всё выглядит как обычно.

Дальше включается StepDrainer. Исследователи описывают его как вредонос по подписке: преступники арендуют или покупают готовый набор, а не пишут свой. По данным Crypto Times, он работает в больше чем 20 сетях и показывает правдоподобные окна подключения кошелька. Ты жмёшь «Connect Wallet», а сайт просит одобрение токенов или офчейн-подпись вроде Permit2. Одной такой подписи может хватить, чтобы атакующий вывел токены, вообще не зная твоего приватного ключа. Похожая логика была в истории с дрейнером на Polymarket.

Атака не новая. В марте 2026 года Neutrl ставила контракты на паузу после подозрения на перехват DNS, а в 2022 году пользователи Curve Finance потеряли около $570 000 после компрометации DNS. Новое здесь — масштаб: Blockaid связала с одним набором много не связанных между собой проектов примерно за час.

Что делать прямо сейчас

• Не заходи на перечисленные сайты и не подключай к ним кошелёк, пока каждый проект официально не объявит, что всё чисто.
• Если 31 октября ты подключал кошелёк или что-то подписывал на flap.sh, kintsu.xyz или любом из сайтов из списка — проверь и отзови одобрения через Revoke.cash и переведи оставшиеся активы на новый кошелёк. Kintsu называет окно риска с примерно 00:00 UTC 31 октября.
• Как переехать на новый кошелёк без ошибок, мы разбирали в гайде как сменить кошелёк после утечки ключа.
• Читай, что именно подписываешь. Запрос на «неограниченное» одобрение или подпись Permit на сайте, где ты просто хотел посмотреть баланс, — красный флаг.
• Держи для DeFi отдельный «горячий» кошелёк с небольшой суммой, а основное — на другом адресе.

Обновления Flap и Kintsu обещают публиковать в официальных аккаунтах в X. Помни и про вторую волну: после таких атак приходят фейковые «формы компенсации». Как их отличать, мы писали в гайде как распознать фишинговое уведомление.

FAQ

Что такое угон доменов DeFi? Это когда атакующий перехватывает DNS или аккаунт у регистратора и подменяет сайт проекта. Контракты остаются целыми, но пользователи подписывают транзакции на фальшивой странице.

Какие сайты затронуты? Flap, Kintsu, StonkBrokers, а также StonkFun, Pickle Finance, Echelon, Origami, Fluxbeam, Stakepoint, SupSwap, Longbow, SHPRD и ApeX DeFi.

Если я просто открыл сайт, мои деньги в опасности? По словам основателя Flap, риск у тех, кто подключил кошелёк или подписал разрешение. Но если сомневаешься — отзови одобрения.

Сколько украли? Пока неизвестно: ни Blockaid, ни проекты цифр не раскрыли.

Вывод

Угон доменов DeFi показывает, что аудит контрактов не защищает от слабого места в обычной веб-инфраструктуре. Твоя защита — отдельный кошелёк для экспериментов, внимательность к подписям и привычка отзывать одобрения. Хронология — у Crypto Times и TokenPost.

Материал не является инвестиционной рекомендацией. Крипта — высокий риск, решения принимаешь сам.