Secuestro de DNS de Kintsu (campaña StepDrainer)

El 31 de octubre de 2026, Kintsu — el protocolo de liquid staking en Monad — advirtió a sus usuarios de que su sitio web había sido secuestrado a nivel de DNS y redirigido a una página maliciosa que drenaba wallets. La firma de seguridad Blockaid afirmó que la actividad formaba parte de una campaña coordinada de StepDrainer que también apuntó a los front ends de Flap y StonkBrokers. No se divulgó ninguna cifra de pérdidas y los smart contracts de los protocolos nunca fueron tocados.

Qué ocurrió

Kintsu dijo que el compromiso fue un secuestro de DNS en su registrador de dominios, no una brecha de sus propios sistemas: el atacante alteró los registros que apuntan kintsu.xyz a sus servidores, de modo que los visitantes eran redirigidos sigilosamente a un front end clonado con un drenador de wallets. Blockaid señaló presuntos ataques de front end en tres dApps a la vez — Kintsu, la plataforma de tokens Flap y StonkBrokers — vinculando la actividad al kit StepDrainer. Las páginas inyectadas apuntaban al flujo de «Connect Wallet»: los usuarios que se conectaban y aprobaban transacciones en los sitios falsificados podían ver sus activos drenados mediante solicitudes maliciosas de aprobación y firma. Kintsu indicó que cualquiera que conectara un wallet o firmara una transacción a partir de las 8 PM ET del 30 de octubre (00:00 UTC, 31 de octubre) quedaba dentro de la ventana de exposición, y advirtió que las cachés de DNS podían seguir enrutando a algunos usuarios a la página maliciosa hasta una hora después de restaurar los registros correctos.

Consecuencias

Kintsu instó a los usuarios a evitar el sitio, revocar cualquier aprobación mediante una herramienta como Revoke y mover sus activos, y dijo que emitiría un aviso de seguimiento una vez verificara la seguridad del sitio. Flap informó de que había retirado sus front ends afectados y trabajaba con Blockaid, el proveedor de alojamiento Vercel y el registrador Name.com; su fundador confirmó que el equipo coordinaba la respuesta. StonkBrokers solo fue mencionado como un sitio bajo investigación. La investigación de Blockaid seguía abierta en el momento de la publicación, sin cifra de pérdidas ni recuento de víctimas confirmados. Como el ataque vivió por completo en la capa de DNS y de servicio web, los contratos on-chain de los tres protocolos no se vieron afectados — el riesgo se limitó a los usuarios que interactuaron con los front ends falsificados.

Por qué importa

El episodio es un ataque de libro de secuestro de DNS a drenador de wallets, el mismo patrón que golpeó a Curve Finance en 2022: comprometer el dominio o su registrador, servir un clon pixel a pixel y dejar que los usuarios firmen la salida de sus propios fondos. Se produjo la misma semana que la comprometida de front end por cadena de suministro de Polymarket, reforzando un tema recurrente del catálogo — que la capa web, no el smart contract, es ahora una superficie de ataque principal en DeFi. Las tomas de control a nivel de registrador son especialmente peligrosas porque eluden toda salvaguarda on-chain y toda auditoría: los contratos pueden ser impecables mientras se drena a los usuarios a través de un front end hostil. La naturaleza coordinada y multiprotocolo de la oleada StepDrainer también muestra cómo un único kit drenador puede apuntarse a los front ends de todo un ecosistema a la vez.