Firma keamanan blockchain Blockaid merilis peringatan pada 31 Oktober 2026, bertepatan dengan momen Halloween, mengenai serangan frontend yang menyasar sedikitnya 12 situs web protokol DeFi. Peretas menyuntikkan toolkit pencuri saldo bernama Step Drainer langsung ke dalam domain resmi milik protokol yang terdampak.
Yang membuat serangan ini berbahaya bukan jebakan tautan phishing, melainkan jalurnya: pengguna masuk ke domain resmi yang alamatnya benar. Platform yang teridentifikasi terdampak meliputi Flap, Kintsu, StonkFun, Pickle Finance, Echelon, Origami Finance, FluxBeam, StakePoint, SupSwap, Longbow, Shprd Finance, dan APEX.
Bagaimana Tombol Dompet Mengalihkan Pengguna
Peneliti keamanan Ogle mengungkap letak jebakan yang disisipkan peretas pada antarmuka web korban. Skrip jahat ditanam langsung pada tombol koneksi dompet kripto. Pengunjung yang mengeklik tombol itu untuk menghubungkan dompet tidak diarahkan ke proses integrasi biasa, melainkan dialihkan seketika ke situs pencuri dana Step Drainer.
Tim pengembang Flap mengonfirmasi bahwa masalah ini bermula dari pembajakan sistem nama domain (DNS hijack). Melalui pembajakan DNS, domain resmi Flap mengarahkan pengguna ke destinasi tidak sah tanpa perlu menunggu korban mengeklik tautan palsu dari luar. Siapa pun yang membuka alamat asli protokol di peramban langsung dihadapkan pada antarmuka yang sudah disusupi.
Flap meminta para pengguna untuk tidak membuka situs, tidak menghubungkan dompet kripto, dan tidak menandatangani transaksi apa pun hingga proses pemulihan selesai. Peringatan ini disiarkan agar pengguna tidak berinteraksi dengan antarmuka yang masih dikuasai peretas.
Pemindahan Server Protokol StonkFun
Protokol StonkFun mengonfirmasi bahwa domain mereka ikut terdampak serangan serupa. Menghadapi situasi itu, tim pengembang sempat mematikan situs web mereka untuk memutus akses pengunjung ke halaman yang memuat skrip berbahaya.
StonkFun kemudian memindahkan seluruh infrastrukturnya ke peladen baru guna memulihkan jalur akses yang aman. Tim pengembang memastikan operasi protokol di atas rantai (on-chain) tetap berjalan normal sepanjang proses migrasi, tanpa ada laporan kerugian saldo dari para pengguna.
Apa yang Belum Terungkap
Kendati 12 platform korban sudah terdata, kerugian finansial akibat serangan pada 31 Oktober 2026 ini belum memiliki angka pasti. Hingga peringatan Blockaid dipublikasikan, belum ada estimasi kerugian dana agregat yang diumumkan resmi oleh pihak penyelidik maupun tim proyek yang terdampak.
📌 Baca JugaPolymarket Buka Prediksi Emas dan Perak 15 Menit Usai Tembus $11 Miliar - Putusan Kilat Tanpa Sengketa UMA
Identitas maupun kelompok peretas di balik penyebaran Step Drainer juga belum diumumkan resmi. Bagi pengguna DeFi yang sempat mengakses protokol-protokol itu pada 31 Oktober 2026, instruksi dari tim Flap menjadi acuan penting: menahan diri dari membuka domain terdampak dan menolak permintaan tanda tangan transaksi apa pun sampai ada pemberitahuan aman lanjutan.
Dilansir dari crypto.news.
Baca juga: Apa Itu DeFi (Decentralized Finance)?
Disclaimer: Artikel ini bersifat informatif dan edukatif, bukan nasihat keuangan. Aset kripto sangat fluktuatif dan berisiko tinggi. Selalu lakukan riset mandiri (DYOR) dan jangan berinvestasi melebihi kemampuanmu menanggung kerugian.
