Minstens twaalf websites voor cryptodiensten zijn zaterdagnacht getroffen door een aanval waarbij bezoekers naar een schadelijke pagina werden gestuurd. Beveiligingsbedrijf Blockaid waarschuwt dat die pagina probeerde toegang te krijgen tot tokens in verbonden wallets. Twee getroffen projecten, Flap en Kintsu, hebben de kaping van hun website bevestigd.
Juist webadres bood geen bescherming
Bij Flap en Kintsu kaapten de aanvallers het Domain Name System, kortweg DNS. Dat systeem koppelt een webadres aan de server waarop een website staat. Door die koppeling te veranderen, konden de aanvallers bezoekers met het juiste adres toch naar een nagemaakte pagina sturen.
Flap meldde op X dat zijn website naar een onbevoegde pagina verwees. Kort daarna vond Blockaid dezelfde aanval bij Kintsu en tien andere sites: stonkfun.xyz, pickle.finance, echelon.market, origami.finance, fluxbeam.xyz, stakepoint.app, supswap.xyz, longbow.cash, shprd.finance en apexdefi.xyz.
Volgens Blockaid toonden deze websites de zogeheten StepDrainer. Zo’n wallet-drainer probeert een gebruiker een schadelijke toestemming of transactie te laten ondertekenen. De aanvaller kan daarmee tokens verplaatsen zonder de herstelzin of privésleutel van de crypto-wallet te kennen.
Vooral tekenen op de pagina is gevaarlijk
Alleen een eerder bezoek aan de echte website betekent niet automatisch dat een wallet gevaar loopt. Het risico zit vooral bij mensen die tijdens de kaping hun wallet verbonden en daarna een toestemming of transactie ondertekenden. Er zijn nog geen bevestigde aantallen slachtoffers of verliezen bekendgemaakt.
Kintsu waarschuwde gebruikers die sinds 00.00 uur UTC, 01.00 uur Nederlandse tijd, iets op zijn website tekenden. Zij moeten de verleende tokenrechten intrekken en resterende tegoeden naar een andere wallet verplaatsen. Kintsu meldde later dat het webadres weer naar de eigen infrastructuur wees, maar vroeg gebruikers te wachten op een definitief veiligsignaal.
Voor de andere getroffen sites geldt dezelfde voorzichtigheid: verbind geen wallet en teken niets totdat het betreffende project zelf heeft bevestigd dat de website weer veilig is. Blockaid onderzoekt de aanval nog, waardoor de lijst met getroffen websites kan veranderen.