Au moins 12 sites de cryptomonnaies ont été frappés le 31 octobre par une vague coordonnée d'attaques frontend, après que des attaquants ont compromis l'infrastructure de domaines servant des protocoles de finance décentralisée et des plateformes de lancement de tokens, et y ont injecté du code malveillant redirigeant les visiteurs vers des pages de vidage de portefeuilles.

Les projets touchés incluent Flap, Kintsu et StonkFun, ainsi que plusieurs autres applications de finance décentralisée. La société de sécurité blockchain Blockaid a relié ces incidents à StepDrainer, une boîte à outils malveillante conçue pour voler des cryptomonnaies via de fausses connexions de portefeuille et des approbations de transactions.

Les attaques ont ciblé l'infrastructure des sites web plutôt que les protocoles blockchain sous-jacents. Aucune estimation globale des pertes n'a été confirmée, et les enquêteurs n'ont pas encore établi si les domaines touchés partagent un point de compromission unique.

Blockaid identifie StepDrainer sur 12 sites crypto

Flap, une plateforme de lancement de tokens soutenue par YZi Labs, a été la première à tirer la sonnerie d'alarme, avertissant que son domaine d'origine, flap.sh, avait été détourné et redirigeait les visiteurs vers un site non autorisé. Dans un post sur X, l'équipe a demandé aux utilisateurs d'éviter le domaine et de s'abstenir de connecter leurs portefeuilles ou de signer des transactions pendant qu'elle travaillait avec des partenaires de sécurité pour contenir l'incident.

Peu après, Blockaid a détecté une activité similaire visant Kintsu, un protocole de staking liquide basé sur Monad. La société de sécurité a ensuite identifié 10 sites supplémentaires servant StepDrainer, notamment stonkfun.xyz, pickle.finance, echelon.market, origami.finance, fluxbeam.xyz, stakepoint.app, supswap.xyz, longbow.cash, shprd.finance et apexdefi.xyz, et a révélé ses conclusions dans un post sur X.

L'infrastructure malveillante exploitait les interfaces frontend des sites, présentant potentiellement aux visiteurs des demandes de transactions trompeuses via des pages d'application par ailleurs familières.

Contrairement aux exploits de contrats intelligents, le détournement DNS permet aux attaquants de rediriger des adresses web légitimes vers une infrastructure qu'ils contrôlent, ce qui signifie que les utilisateurs peuvent rencontrer des invites de portefeuille malveillantes même en naviguant vers le domaine reconnu d'un projet. StepDrainer peut ensuite exploiter les approbations de tokens et des signatures malveillantes pour autoriser des transferts d'actifs sans que les attaquants aient à obtenir des clés privées. Les approbations de tokens sont des autorisations permanentes permettant à une adresse ou à un contrat de déplacer des actifs spécifiés au nom d'un utilisateur, c'est pourquoi leur révocation est la première réponse standard recommandée par les projets dès qu'une exposition est suspectée.

Kintsu a confirmé que son domaine avait été compromis au niveau du registrar — la couche qui contrôle où pointent les enregistrements d'un domaine — et a conseillé aux utilisateurs ayant connecté un portefeuille ou signé des transactions après 00:00 UTC le 31 octobre de révoquer les approbations de tokens suspectes et de déplacer les actifs potentiellement exposés vers des portefeuilles sécurisés. Le protocole a ensuite rétabli le routage de son domaine, tout en continuant de mettre en garde contre les interactions avec les portefeuilles pendant la propagation des changements dans les caches DNS, ceux-ci pouvant continuer à servir des destinations obsolètes jusqu'à leur expiration.

Flap migre vers un nouveau domaine tandis que l'enquête se poursuit

Flap a ensuite migré sa plateforme vers flap.cool, recommandant aux utilisateurs d'accéder directement à la nouvelle adresse plutôt que de se fier aux redirections depuis le domaine compromis. Le projet a indiqué que la cause racine faisait toujours l'objet d'une enquête, y compris pour déterminer si l'incident provenait de son fournisseur de services de domaines, et son équipe coordonne ses actions avec Blockaid ainsi qu'avec les fournisseurs d'infrastructure Vercel et Name.com.

StonkFun a également confirmé que son site avait été touché, tout en affirmant que ses opérations on-chain continuaient de fonctionner normalement. La plateforme a déclaré ne pas avoir connaissance d'utilisateurs affectés au moment de son annonce.

Cette vague d'attaques fait suite à une compromission du frontend de Polymarket qui a drainé environ 2,7 millions de dollars plus tôt dans la semaine, après qu'un JavaScript malveillant a été introduit sur le site du marché de prédiction via un fournisseur de surveillance compromis. Des vulnérabilités similaires ont déjà touché des plateformes DeFi : en mai 2025, Curve Finance a subi un incident de détournement DNS qui a temporairement exposé les visiteurs à un site malveillant alors même que ses contrats intelligents sous-jacents restaient sécurisés.

Ces incidents soulignent une faiblesse persistante des applications décentralisées : les contrats blockchain peuvent rester intacts pendant que des attaquants exploitent l'infrastructure web conventionnelle pour cibler les utilisateurs. Dans chacun de ces cas, les couches on-chain sont restées intactes tandis que la compromission s'est jouée dans des composants web conventionnels — l'infrastructure de domaines pour la vague de cette semaine, un fournisseur de surveillance tiers pour Polymarket, et les enregistrements DNS pour Curve.

Les enquêteurs n'ont pas confirmé l'impact financier total ni identifié les auteurs, et il reste à déterminer si les domaines touchés partagent un point de compromission unique ou un registrar ou fournisseur DNS commun. Les utilisateurs affectés restent invités à éviter les domaines compromis jusqu'à ce que les équipes concernées confirment que l'accès est sans danger.

Cet article est initialement paru sur Crypto Adventure.