Un détournement DNS à Halloween a mis hors ligne ou redirigé vers des pages malveillantes au moins une douzaine de sites DeFi. La société de sécurité blockchain Blockaid a identifié l’outil « Step Drainer » sur les interfaces concernées, et les équipes ont averti les utilisateurs de ne pas connecter leurs portefeuilles ni signer de transactions. Ce qui s’est passé - Le 31 octobre, Blockaid a d’abord signalé une possible compromission d’interface ciblant Flap et Kintsu. La société a rapidement élargi son alerte à 10 autres domaines qui, selon elle, diffusaient activement Step Drainer — un outil de drainage qui redirige les utilisateurs vers des pages malveillantes conçues pour leur demander de connecter leur portefeuille ou de signer des transactions. - Le chercheur en sécurité Ogle a signalé indépendamment un script injecté qui redirigeait vers une page de drainage les visiteurs ayant cliqué sur un bouton de connexion de portefeuille, et a exhorté les utilisateurs à éviter de connecter leurs portefeuilles aux sites nommés. Projets concernés La liste de Blockaid recensait 12 sites web distincts : - Flap - Kintsu - StonkFun (stonkfun[.]xyz) - Pickle Finance (pickle[.]finance) - Echelon (echelon[.]market) - Origami Finance (origami[.]finance) - FluxBeam (fluxbeam[.]xyz) - StakePoint (stakepoint[.]app) - SupSwap (supswap[.]xyz) - Longbow - Shprd Finance - APEX Ce que les équipes ont rapporté - Flap a confirmé un détournement DNS : son domaine légitime redirigeait les visiteurs vers une destination non autorisée. L’équipe a demandé aux utilisateurs de ne pas visiter le site, de ne pas connecter leurs portefeuilles et de ne signer aucune transaction. Elle a indiqué qu’elle travaillait à rétablir le service et a invité les utilisateurs à consulter ses comptes officiels sur les réseaux sociaux pour obtenir des mises à jour. - StonkFun a déclaré que son site était touché, mais que les opérations sur la blockchain se poursuivaient normalement. Le projet a mis le site hors ligne, migré vers une nouvelle infrastructure, rétabli le site et conseillé aux utilisateurs d’attendre environ une heure avant de reconnecter leurs portefeuilles, afin de permettre aux réseaux de prendre en compte le changement. Les deux équipes ont déclaré ne connaître aucune victime et n’ont fourni ni estimation des pertes ni plan d’indemnisation. État de l’enquête et impact - Blockaid a indiqué que les autres sites diffusaient le même Step Drainer et que son enquête était en cours. Les alertes n’ont pas désigné d’attaquant confirmé, donné de nombre de victimes ni fourni de montant total des pertes. - Comme l’attaque impliquait des enregistrements DNS, les visiteurs qui saisissaient des domaines familiers dans leur navigateur pouvaient être redirigés vers les pages malveillantes — aucun lien d’hameçonnage ni domaine trompeur imitant un site légitime n’était nécessaire. Blockaid et les projets concernés n’ont pas révélé comment les attaquants avaient accédé aux enregistrements DNS ni quel fournisseur, le cas échéant, avait été compromis. Contexte et précédents - Des incidents similaires d’atteinte aux interfaces et de détournement de domaines ont déjà touché la DeFi. En mai 2025, Curve Finance est passé à un nouveau domaine après que des attaquants ont redirigé son site vers un clone destiné à vider les portefeuilles. Curve a collaboré avec des partenaires de sécurité et son registraire, qui a ensuite bloqué le domaine malveillant. Curve a également déclaré prévoir d’ajouter une adresse ENS comme méthode d’accès alternative. Ce que les utilisateurs doivent faire maintenant - Ne visitez pas les domaines signalés, ne connectez pas vos portefeuilles et ne signez aucune transaction tant que les projets n’ont pas confirmé le rétablissement du service par leurs canaux officiels. - Suivez les comptes officiels des projets sur les réseaux sociaux pour connaître les annonces de rétablissement et les consignes. - Envisagez d’utiliser des portefeuilles matériels et des outils tiers d’examen des transactions afin de réduire votre exposition aux demandes de signature malveillantes. Nous publierons une mise à jour lorsque Blockaid et les équipes concernées communiqueront davantage de détails sur l’attaquant, l’ampleur de l’incident et les éventuelles pertes. Retrouvez d’autres actualités générées par l’IA sur : https://app.chaingpt.org/news