Douze sites crypto touchés par une attaque frontend avec Step Drainer

Le spécialiste de la sécurité Blockaid alerte sur une attaque front-end de grande ampleur visant douze sites crypto. L’attaque repose sur l’outil appelé Step Drainer, qui permet aux attaquants de voler des cryptomonnaies depuis les portefeuilles connectés. Flap et Kintsu, les deux projets touchés en premier, confirment que leurs domaines ont été détournés via une attaque DNS. Les utilisateurs qui ont connecté leur portefeuille ou signé des transactions sont potentiellement exposés.

En bref :

• Blockaid détecte une attaque front-end sur douze sites crypto via l’outil Step Drainer.
• Flap et Kintsu confirment un détournement DNS de leurs sites et avertissent les utilisateurs.
• Les utilisateurs qui ont connecté leur portefeuille ou signé des transactions sont invités à révoquer les autorisations et à déplacer leurs fonds.

Détournement DNS confirmé chez Flap et Kintsu

Blockaid a d’abord alerté sur de possibles attaques front-end visant les sites de Flap et Kintsu. Peu après, les deux projets ont confirmé que leurs domaines avaient bien été détournés via une attaque DNS, redirigeant les visiteurs à leur insu vers une version malveillante du site.

Cedric, fondateur de Flap, indique que les utilisateurs qui s’étaient connectés auparavant via le site légitime ne courent aucun danger. Le risque concerne précisément les personnes qui ont visité la version malveillante du site et ont connecté un portefeuille ou approuvé une transaction dans les minutes précédant l’alerte.

Dix sites supplémentaires activement infectés

Dans une alerte complémentaire, Blockaid indique que la même attaque a été détectée sur dix autres sites. Il s’agit notamment de pickle.finance, origami.finance et fluxbeam.xyz. Tous ces sites diffusent activement l’outil Step Drainer, qui permet aux attaquants de vider les portefeuilles des visiteurs qui signent une transaction.

Blockaid précise poursuivre son enquête et recueillir des informations complémentaires. Ce type d’attaque reposant sur le détournement des paramètres DNS n’est pas nouveau dans le secteur des cryptomonnaies. D’autres plateformes DeFi ont déjà été touchées par des attaques qui ont causé des dommages indirects aux utilisateurs.

Que doivent faire les utilisateurs ?

Kintsu conseille à toute personne ayant connecté un portefeuille ou signé quelque chose après environ 00 h 00 UTC le 31 octobre de révoquer immédiatement toutes les autorisations accordées et de déplacer ses fonds vers une adresse sûre. Les deux projets indiquent qu’ils ne communiqueront que par leurs canaux officiels le moment où leurs sites pourront de nouveau être utilisés en toute sécurité.

Tant que l’enquête est en cours, Blockaid appelle les utilisateurs à ne signer aucune transaction via les dApps touchées. En cas de doute sur une éventuelle exposition de son portefeuille, il est possible d’utiliser un outil comme Revoke.cash pour vérifier et révoquer les autorisations encore actives. L’attaque souligne une nouvelle fois la vulnérabilité des applications décentralisées lorsque l’infrastructure de domaine sous-jacente est compromise, un phénomène déjà observé lors du gel de fonds volés via le Conseil de sécurité d’Arbitrum.