Flap Dibajak, 12 Situs Kripto Kena StepDrainer: Launchpad Memecoin Pindah Domain

Launchpad memecoin Flap mengonfirmasi situs resminya, flap.sh, dibajak lewat DNS pada Jumat, 31 Oktober 2026. Pengunjung yang mengetik alamat yang benar justru diarahkan ke situs tidak resmi yang bisa menguras dompet mereka. Dalam hitungan jam, perusahaan keamanan Blockaid menemukan pola serangan yang sama di total 12 situs kripto, dengan toolkit drainer bernama StepDrainer sebagai benang merahnya.

Ini bukan peretasan smart contract. Kontrak proyeknya tidak disentuh. Yang dibajak adalah tampilan depan situsnya, lapisan yang setiap hari dipakai pengguna untuk menghubungkan dompet. Dan itu justru yang membuatnya berbahaya: situsnya terlihat resmi, alamatnya terlihat benar, tapi tombol hubungkan dompetnya sudah disusupi.

Kronologi: dari satu domain sampai 12 situs

Rangkaian ini bergerak cepat pada pagi hari waktu Indonesia. Berikut kronologi yang terverifikasi dari pernyataan proyek dan laporan Blockaid:

Urutan ini penting karena menunjukkan serangan ini bukan insiden satu situs yang berdiri sendiri. Begitu satu domain jatuh, tim keamanan menemukan jejak toolkit yang sama di banyak situs lain dalam waktu kurang dari satu jam.

Daftar situs yang disebut Blockaid

Bedakan dua status di bawah ini. Dua proyek mengonfirmasi sendiri domain mereka dibajak, sementara situs lainnya masuk daftar temuan Blockaid yang masih diselidiki. Status ini kami tulis apa adanya, sesuai sumbernya.

Kintsu memberi peringatan paling tegas: pengguna yang menghubungkan dompet atau menandatangani transaksi setelah pukul 00.00 UTC pada 31 Oktober diminta mencabut approval yang mencurigakan dan memindahkan asetnya ke dompet yang aman. Kintsu juga menyebut domainnya terdaftar lewat Vercel Domains dan sudah meneruskan masalah ini ke tim keamanan Vercel dan Name.com.

Cara kerja StepDrainer, dan kenapa dompet bisa terkuras tanpa private key bocor

DNS bisa dibayangkan sebagai buku telepon internet. Ia menerjemahkan nama situs seperti flap.sh menjadi alamat server. Saat DNS dibajak, kamu mengetik alamat yang benar, tapi browser membawamu ke server milik penyerang.

Di server palsu itu, skrip StepDrainer disisipkan ke halaman. Begitu pengguna menekan tombol hubungkan dompet, halaman itu menampilkan permintaan approval atau tanda tangan yang terlihat wajar. Satu tanda tangan yang salah bisa cukup untuk menguras token, karena drainer menyalahgunakan approval token dan tanda tangan off-chain seperti Permit2. Private key korban tidak perlu dicuri sama sekali.

Ini pola yang sama dengan peringatan keamanan lain di dunia kripto: titik terlemahnya sering bukan kontraknya, melainkan situs dan domain yang dipakai untuk mengakses kontrak itu. Pendiri Flap menegaskan Flap tidak menyimpan private key, frasa mnemonik, atau data dompet pengguna di servernya, dan risiko hanya menimpa pengguna yang membuka situs palsu itu lalu menghubungkan dompet atau menandatangani otorisasi sesaat sebelum peringatan keluar.

Kenapa ini penting buat pemburu memecoin

Flap bukan launchpad kecil. Platform ini meluncur pada Juni 2024, menyebut dirinya launchpad token yang bisa diprogram, dan pada 1 Agustus 2026 sempat mencatat pendapatan harian 1,18 juta dolar AS dan melampaui Pump.fun untuk pertama kalinya menurut DefiLlama. Flap juga sudah merambah jaringan lain seperti Robinhood Chain dan X Layer.

Di BNB Chain sendiri, persaingan launchpad sedang panas. Four.Meme sempat menyalip Pump.fun dari sisi pendapatan harian, dan Flap adalah salah satu nama yang ikut memperebutkan arus token baru itu. Ketika launchpad sebesar ini situsnya dibajak, risikonya langsung menimpa trader yang setiap hari berburu token baru di sana.

Risiko di launchpad juga bukan teori. Kasus Kimchi yang dibedah memecoin.id menunjukkan betapa cepatnya token launchpad bisa runtuh sampai 95 persen lebih. Bedanya, kali ini ancamannya bukan dari tim tokennya, melainkan dari situs launchpadnya sendiri yang dibajak.

Yang belum diketahui, dan harus ditulis jujur

• Belum ada angka kerugian yang dikonfirmasi. Sampai artikel ini ditulis, tidak ada proyek maupun Blockaid yang merilis total dana yang terkuras atau jumlah korban.
• Akar masalahnya masih diselidiki. Flap masih memeriksa kemungkinan keterkaitan dengan penyedia layanan domainnya. Belum ada penjelasan resmi soal bagaimana pelaku mengambil alih DNS Flap.
• Belum pasti apakah semua situs berbagi satu titik bobol yang sama. Blockaid mengaitkan 12 situs itu lewat toolkit StepDrainer yang sama, tapi belum menetapkan apakah domain-domain itu berbagi satu titik kompromi yang sama.
• Belum pasti apakah laporan DNS hijacking dan laporan skrip berbahaya itu satu mekanisme yang persis sama. Keduanya sama-sama menyasar tampilan depan situs, bukan smart contract, tapi detail teknisnya masih diselidiki.

Karena itu, artikel ini tidak mengklaim angka kerugian dan tidak menuduh pihak mana pun sebagai pelaku. Yang sudah terkonfirmasi adalah peringatannya, daftar situsnya, dan langkah penyelamatan yang diumumkan proyeknya.

Checklist: apa yang harus kamu lakukan sekarang

1. Jangan buka flap.sh dan situs lain dalam daftar di atas sampai masing-masing proyek mengeluarkan pengumuman all-clear lewat kanal resminya.
2. Kalau kamu sempat menghubungkan dompet atau menandatangani sesuatu di situs itu pada 31 Oktober, anggap dompetmu berisiko. Cabut approval token yang mencurigakan lewat Revoke.cash.
3. Pindahkan sisa aset ke dompet baru yang frasa pemulihannya belum pernah kamu masukkan ke tempat mana pun.
4. Jangan klik tautan Flap dari pesan pribadi, grup, atau iklan. Penipu biasanya ikut memanfaatkan momen seperti ini dengan tautan bantuan palsu.
5. Untuk Flap, akses flap.cool secara langsung dengan mengetik alamatnya sendiri, dan tetap waspada sampai Flap mengonfirmasi situsnya sepenuhnya aman.

Kasus ini datang hanya dua hari setelah peretasan Binance senilai sekitar 6,3 miliar dolar AS, dan di pekan yang sama dengan kompromi front-end Polymarket. Polanya berbeda, tapi pesannya sama: penyerang mencari titik terlemah, dan bagi pengguna biasa, titik itu sering kali adalah tautan dan situs yang kurang diperhatikan.