Por Canuto  

LaunchOnSF informó que restauró el sitio de StonkFun después de detectar código malicioso en su frontend. Según el reporte citado en el borrador, Blockaid identificó la campaña StepDrainer en al menos 12 sitios de DeFi y lanzamiento de tokens, donde avisos fraudulentos buscaban obtener aprobaciones y firmas de billeteras.
***

  • Según el reporte citado, Blockaid identificó al menos 12 sitios afectados, entre ellos StonkFun, pickle.finance, echelon.market, origami.finance y fluxbeam.xyz.
  • El reporte atribuyó la intrusión a dominios y sistemas DNS comprometidos que habrían permitido insertar código dañino en los frontends.
  • LaunchOnSF dijo que el incidente no afectó los contratos inteligentes de StonkFun y que no había recibido reportes de pérdidas de usuarios.

LaunchOnSF informó que restauró el sitio de StonkFun después de detectar código malicioso en su interfaz. Según el reporte citado, la campaña atribuida a StepDrainer habría alcanzado al menos 12 plataformas DeFi y de lanzamiento de tokens, con avisos diseñados para obtener aprobaciones y firmas de billeteras.

  • LaunchOnSF afirmó que no hubo impacto en la cadena y que no recibió reportes de pérdidas de usuarios.
  • El reporte atribuyó el ataque a dominios y sistemas DNS comprometidos.
  • La recomendación para quienes interactuaron con los sitios fue revisar y revocar permisos sospechosos.

LaunchOnSF informa que restauró su sitio tras una campaña de StepDrainer contra plataformas DeFi

LaunchOnSF, el equipo detrás de la plataforma de lanzamiento de tokens StonkFun, informó que restauró su sitio web luego de detectar StepDrainer en el frontend. El reporte citado también señaló que la campaña alcanzó otros sitios de finanzas descentralizadas y de lanzamiento de tokens. El caso pone el foco en un riesgo distinto al de una vulnerabilidad en una blockchain: la manipulación de la página que los usuarios visitan para conectarse con sus billeteras.

Según el reporte, Blockaid identificó al menos 12 sitios afectados durante una campaña detectada entre el 30 y el 31 de octubre de 2026. Entre los nombres mencionados figuran stonkfun.xyz, pickle.finance, echelon.market, origami.finance y fluxbeam.xyz. El material citado no detalló todos los sitios de la lista ni ofreció un balance agregado de pérdidas.

Un ataque contra la puerta de entrada, no contra los contratos

El caso de StonkFun ilustra la diferencia entre la seguridad de los contratos inteligentes y la del sitio que permite interactuar con ellos. LaunchOnSF afirmó que el ataque no afectó los contratos inteligentes de la plataforma ni tuvo impacto en la cadena. Según esa versión, la actividad maliciosa se concentró en la interfaz web y no en la lógica desplegada en blockchain.

El frontend es la parte de un servicio que las personas ven y utilizan desde el navegador. Si un atacante altera ese punto de contacto, puede mostrar instrucciones falsas dentro de una página que parece legítima, aunque los contratos subyacentes sigan funcionando como antes. Por eso, una URL familiar no basta para asegurar que cada mensaje o solicitud en pantalla sea auténtico.

El reporte atribuyó la inserción de scripts dañinos al compromiso de sistemas DNS y dominios. No especificó qué vulnerabilidad habría permitido comprometer varios dominios en un periodo tan corto; según la información citada, las investigaciones seguían en curso para determinar cómo se produjo la propagación.

Una vez activos, los scripts podían presentar solicitudes fraudulentas de conexión de billetera e intentar inducir a los visitantes a conceder aprobaciones de tokens o firmar mensajes. El reporte señaló que la operación requería que una persona interactuara con esos avisos y que no se robaron claves privadas. Esa distinción no elimina el riesgo de aprobar una operación perjudicial.

Qué es StepDrainer y cómo buscaba aprovechar las aprobaciones

El material citado describió StepDrainer como un servicio de malware que otros criminales pueden alquilar, y no como un programa creado exclusivamente para esta campaña. Ese modelo permite utilizar herramientas preparadas sin desarrollar desde cero toda la infraestructura maliciosa. La información disponible no identificó quién operó el ataque ni explicó las condiciones comerciales del servicio.

De acuerdo con la información reportada, el toolkit funciona en más de 20 redes y se apoya en interacciones habituales entre aplicaciones y billeteras. Una de ellas son las aprobaciones de tokens, que permiten que un contrato o una aplicación utilice activos de una billetera dentro de los permisos concedidos. Algunas autorizaciones pueden ser ilimitadas, por lo que conviene entender qué se firma antes de confirmar.

Una aprobación no equivale a entregar la clave privada, pero sí puede habilitar movimientos de tokens dentro del alcance autorizado. Según el reporte, el daño potencial en este incidente dependía de que los usuarios aceptaran las solicitudes engañosas. Por eso, que no se hayan sustraído claves privadas no significa que una persona que firmó un permiso malicioso deba dar por seguro su saldo.

La fuente citada no reportó cifras agregadas de pérdidas significativas, y LaunchOnSF aseguró que no había recibido reportes de fondos de usuarios perdidos. Esa declaración corresponde al operador de StonkFun y no constituye por sí sola un balance definitivo de todas las plataformas alcanzadas. Las pesquisas sobre el origen de los compromisos y las posibles interacciones de usuarios continuaban, según el material disponible.

Respuesta de los proyectos y medidas recomendadas

El reporte señaló que Blockaid emitió una advertencia y que los equipos de los proyectos afectados pidieron a los usuarios que no conectaran sus billeteras hasta recibir nuevas indicaciones. La recomendación buscaba reducir nuevas interacciones mientras se revisaban las páginas comprometidas.

LaunchOnSF comunicó que había restaurado el sitio de StonkFun y que no hubo impacto en la cadena ni reportes de pérdidas de sus usuarios. Esa actualización corresponde a la plataforma; no confirma que las investigaciones o verificaciones de los demás sitios hayan concluido.

Para quienes se conectaron a cualquiera de los sitios afectados, la recomendación fue comprobar si habían concedido permisos dañinos y revocarlos cuando correspondiera. Herramientas como Revoke.cash permiten revisar y cancelar autorizaciones de tokens vinculadas a una billetera. Esa revisión puede ayudar a retirar permisos innecesarios, aunque no sustituye la evaluación cuidadosa de cada operación ni confirma por sí sola si una cuenta fue afectada.

El incidente deja una advertencia práctica para los usuarios de DeFi: la seguridad no depende únicamente de la blockchain o del contrato con el que se pretende interactuar. También importan el dominio, la página que aparece en el navegador y el contenido de cada solicitud de conexión o firma. Ante un aviso inesperado, detenerse y verificarlo es más prudente que aprobarlo solo porque se reconoce el nombre del servicio.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados