DNS : des pirates dérobent 138 000 $ à 12 sites DeFi

Des pirates ont détourné vendredi soir 12 sites DeFi et utilisé le maliciel Step Drainer pour dérober environ 138 000 $. Les 12 domaines identifiés étaient enregistrés auprès de Name.com. Ce montant couvre les fonds retracés sur des chaînes EVM ; les pertes liées aux sites touchés sur Solana et Aptos pourraient ne pas être incluses. Le nombre de victimes reste inconnu.

Pourquoi c’est important

Les sites n’utilisaient pas tous le même fournisseur DNS et les responsabilités dans ces détournements n’ont pas été établies. Kintsu et Origami Finance ont mis en cause l’infrastructure de Vercel, tandis que Name.com aurait indiqué à au moins un projet touché qu’un émetteur tiers était responsable. Dans sa réponse publique, Name.com a invité les utilisateurs à déposer un signalement d’abus. Vercel n’avait pas réagi publiquement et les deux entreprises indiquaient que leurs systèmes fonctionnaient normalement.

Step Drainer incite les utilisateurs à autoriser des transferts depuis leur portefeuille après qu’ils se sont connectés à un site touché. L’activité onchain montre que les fonds récupérés ont été répartis entre trois portefeuilles, à hauteur de 15 %, 55 % et 30 %. L’attaque a touché plusieurs réseaux : les fonds ont été retracés sur BNB Chain, Ethereum, Robinhood Chain et Monad. Sur Monad, des portefeuilles ont converti du MON mis en staking et effectué des retraits depuis Neverland ; sur Robinhood Chain, un portefeuille a transféré des actions tokenisées NVDA et AAPL depuis Morpho, puis les a échangées contre de l’ETH.

Impact sur le marché

Dix domaines ont été suspendus au niveau du bureau d’enregistrement, avant que les suspensions soient levées samedi en fin de matinée. Les domaines de Flap et Kintsu étaient toujours opérationnels au moment de la publication. Certains projets touchés ont affirmé que leurs contrats onchain n’avaient pas été compromis, mais un contrat sûr n’empêche pas une interface malveillante d’inciter les utilisateurs à autoriser des transferts.

Au moins quatre portefeuilles ont envoyé des fonds aux attaquants sur BNB Chain à eux seuls. FluxBeam n’a signalé aucun utilisateur touché à sa connaissance, tandis que StonkFun a indiqué ne pas en avoir connaissance. L’incident rappelle un risque concret pour les utilisateurs : un site DeFi familier peut se transformer en interface qui vide les portefeuilles si son domaine ou son hébergement est compromis.