Au moins 12 sites web de finance décentralisée ont été détournés lors d'une attaque coordonnée après que des hackers ont modifié les enregistrements DNS des domaines au niveau du registraire. Les smart contracts utilisés par les projets concernés n'ont pas été compromis ; les attaquants ont plutôt ciblé les domaines qui redirigent les utilisateurs vers les sites web des projets.

The Block a retracé environ 138 000 $ de fonds volés grâce aux données on-chain. Selon les registres publics consultés par le média, tous les domaines concernés étaient enregistrés chez Name.com.

Comment l'attaque s'est déroulée

La société de sécurité Blockaid a signalé l'incident le 31 octobre 2026, le décrivant comme une attaque front-end. Les attaquants ont modifié les enregistrements DNS des sites web concernés, réécrivant ainsi les entrées qui associent un domaine à son infrastructure d'hébergement. Les serveurs de noms d'un domaine, généralement gérés via son registraire, servent d'annuaire indiquant aux navigateurs où réside réellement un site web. Quiconque contrôle cet annuaire peut rediriger les visiteurs avant toute revue de code, audit ou vérification de contrat.

Les utilisateurs qui saisissaient les adresses web correctes ont été envoyés vers une infrastructure contrôlée par les attaquants, sans aucune indication évidente que les sites avaient été redirigés. Les pages compromises contenaient le toolkit Step Drainer, un script malveillant conçu pour tromper les visiteurs et leur faire signer des transactions permettant de transférer leurs actifs.

Projets touchés

Les victimes identifiées incluent Flap, Kintsu, StonkFun et Pickle Finance, ainsi que d'autres projets. Les projets concernés ne partageaient pas de code et n'opéraient pas sur une même blockchain. Leur point commun était que leurs domaines dépendaient des serveurs de noms propres à Name.com.

En ciblant la couche du registraire, les attaquants ont pu rediriger plusieurs projets sans lien entre eux dans le cadre d'une même campagne. Certaines équipes se sont rétablies rapidement en migrant leurs domaines vers des serveurs de noms exploités par Vercel et Cloudflare, ce qui leur a permis de reprendre le contrôle de leur trafic.

StonkFun a indiqué que ses utilisateurs n'avaient pas été touchés. Les quelque 138 000 $ drainés ne représentent que le montant retracé à ce jour. Name.com n'avait pas reconnu l'incident sur sa page de statut ni sur son blog au moment des signalements, laissant les équipes touchées gérer leur réponse à l'incident sans directive publique du registraire.

Pourquoi le front-end reste négligé

Les discussions sur la sécurité DeFi se concentrent généralement sur les smart contracts. Les audits, les bug bounties et la vérification formelle ciblent tous le code qui détient ou gère les fonds des utilisateurs.

L'attaque a contourné ces protections. Un protocole peut disposer de smart contracts sécurisés et nonetheless exposer les utilisateurs à des pertes si le site web qui les renvoie vers ces contrats est redirigé. Lorsque la confiance est rompue au niveau du DNS, les contrôles de sécurité standard offrent une protection limitée : vérifier l'URL ne sert à rien lorsque l'URL elle-même est correcte mais mène vers une infrastructure contrôlée par les attaquants.

Cette tactique n'est pas inédite. En 2022, la page d'accueil de Curve Finance elle-même avait été redirigée vers un clone frauduleux après une compromission de son domaine au niveau du registraire. L'incident reflète une préoccupation de sécurité plus large dans le secteur DeFi, où la gestion des domaines et la sécurité opérationnelle ont souvent reçu moins d'attention que la sécurité des contrats.

Implications pour les projets et les utilisateurs

Les projets qui se sont rétablis le plus rapidement avaient la capacité de migrer vers les serveurs de noms de Vercel et Cloudflare. Cela suggère que les équipes disposant d'un chemin de migration préparé et d'un contrôle direct de leur configuration DNS étaient mieux placées pour réagir.

L'incident a également exposé un point de défaillance partagé. Une douzaine de projets étaient reliés par le même registraire, permettant à une seule compromission à ce niveau d'affecter plusieurs sites web simultanément. Ce schéma ressemble à une attaque de la chaîne d'approvisionnement dans les systèmes logiciels traditionnels.

Les avertissements de transaction au niveau du portefeuille, notamment les alertes de sociétés comme Blockaid, constituent une couche de défense. Cependant, les conséquences dépassent les fonds volés. Les utilisateurs qui perdent de l'argent via un site web détourné peuvent tenir responsable le projet dont le nom figure sur la page, même lorsque la défaillance sous-jacente s'est produite au niveau du registraire ou du DNS.

Les signalements n'ont pas précisé comment les attaquants ont obtenu l'accès aux enregistrements DNS ni si des protections du registraire, telles que des verrous de transfert ou de registre, étaient activées, et une déclaration publique de Name.com pourrait clarifier ces points.

Source : CryptoBriefing