Attaque Dns Defi Touche Douze Sites Avec Step Drainer

Imaginez ouvrir le site habituel de votre protocole DeFi préféré un 31 octobre, et basculer sans le savoir vers une page identique qui vide votre portefeuille en un clic. C’est exactement ce qui s’est produit ce matin pour des milliers d’utilisateurs. Au moins douze plateformes ont vu leur nom de domaine détourné, transformé en piège grâce au toolkit baptisé Step Drainer. Blockaid a sonné l’alerte, les équipes projet ont confirmé, et la communauté reste sur le qui-vive.

Un Halloween noir pour la DeFi : douze sites pris en otage

La journée du 31 octobre 2026 a commencé comme n’importe quelle autre dans l’écosystème décentralisé. Sauf que les spécialistes de la sécurité blockchain ont rapidement détecté une vague d’attaques coordonnées. Blockaid a publié plusieurs alertes successives. La première citait Flap et Kintsu. Quelques heures plus tard, la liste s’est allongée de dix noms supplémentaires. Tous servaient activement le même outil malveillant : Step Drainer.

Ce type d’attaque ne repose pas sur une faille dans le code des smart contracts. Il s’attaque à la porte d’entrée, le DNS. En modifiant les enregistrements qui relient un nom de domaine à son serveur, les pirates redirigent les visiteurs vers une copie presque parfaite du site officiel. Une fois sur place, un simple clic sur le bouton de connexion wallet déclenche le drainer.

Comment fonctionne réellement un détournement DNS

Le système de noms de domaine agit comme l’annuaire d’Internet. Quand vous tapez un adresse, votre navigateur interroge ces enregistrements pour savoir où se trouve le serveur. Si un attaquant parvient à modifier ces informations, il peut pointer le domaine légitime vers sa propre infrastructure. L’utilisateur ne voit aucune différence dans la barre d’adresse. C’est précisément ce qui rend ces attaques si dangereuses.

Dans le cas présent, plusieurs projets ont confirmé que leur domaine officiel renvoyait vers une page non autorisée. Flap a été le premier à communiquer clairement. Son équipe a expliqué que les visiteurs étaient redirigés ailleurs et a demandé de ne plus se connecter tant que le problème n’était pas résolu. Le message a été relayé en plusieurs langues pour toucher le plus large public possible.

La liste des plateformes signalées par Blockaid

Blockaid a d’abord alerté sur Flap et Kintsu. Dans une seconde communication, l’entreprise a nommé StonkFun, Pickle Finance, Echelon, Origami Finance, FluxBeam, StakePoint, SupSwap, Longbow, Shprd Finance et APEX. Ces douze sites formaient, selon les analyses, un front commun d’attaque utilisant le même outil.

Des chercheurs indépendants avaient déjà commencé à partager des captures d’écran de scripts injectés. L’un d’eux décrivait un mécanisme qui interceptait le clic sur le bouton de connexion et redirigeait vers une page de drainage. Certaines listes circulant sur les réseaux mentionnaient aussi stonkbrokers.cash, mais la communication officielle de Blockaid s’est concentrée sur les douze domaines principaux.

Les sites concernés servent activement le Step Drainer. Nous recommandons fortement d’éviter toute interaction avec ces interfaces jusqu’à nouvel ordre.

Alertes successives de Blockaid, 31 octobre 2026

Flap confirme le détournement de son domaine officiel

Parmi les premiers touchés, Flap a réagi rapidement. L’équipe a reconnu que son site officiel redirigeait les utilisateurs vers une destination non autorisée. Le message était clair : ne visitez plus le domaine, ne connectez aucun wallet, ne signez aucune transaction tant que la situation n’est pas rétablie.

Le projet a précisé travailler activement à la restauration. Une version en chinois du même avertissement a été diffusée pour s’assurer que la communauté asiatique soit informée. Flap a insisté sur le fait que seuls les canaux sociaux officiels devaient être consultés pour les prochaines mises à jour.

Ce type de confirmation est rare et précieux. Elle prouve que le problème ne venait pas d’une simple imitation de domaine, mais bien d’un détournement des enregistrements DNS légitimes. L’utilisateur qui tapait l’adresse correcte se retrouvait malgré tout sur le piège.

StonkFun restaure son site après migration d’infrastructure

StonkFun a suivi un chemin similaire. Après l’alerte de Blockaid, le projet a d’abord demandé à ses utilisateurs de rester à distance. L’équipe a précisé que seul le site web était impacté. Les contrats intelligents et les opérations on-chain fonctionnaient normalement. À ce stade, elle n’avait connaissance d’aucun utilisateur touché.

Dans une mise à jour ultérieure, StonkFun a annoncé avoir mis le site hors ligne, déplacé l’ensemble de l’infrastructure vers de nouveaux serveurs, puis remis le service en ligne. Le projet a toutefois recommandé d’attendre environ une heure avant de reconnecter un wallet. Certaines réseaux de résolution DNS mettent du temps à propager les changements.

Cette réactivité montre que les équipes DeFi ont appris des incidents précédents. Elles savent désormais qu’il faut parfois abandonner temporairement un domaine et en créer un nouveau plutôt que de laisser le piège ouvert.

Le précédent Curve Finance et les leçons apprises

Ce n’est pas la première fois que la DeFi subit ce genre d’attaque. En mai 2025, Curve Finance avait déjà connu un détournement DNS majeur. Les pirates avaient redirigé le domaine principal vers un clone conçu pour drainer les wallets. L’équipe avait dû migrer vers une nouvelle adresse et collaborer avec son registrar pour geler l’ancien domaine.

L’expérience de Curve avait mis en lumière la lenteur de certains registrars face aux urgences. Le projet avait ensuite annoncé vouloir proposer une adresse ENS comme alternative d’accès. Ce type de solution commence à se répandre. De plus en plus d’équipes envisagent des points d’entrée multiples pour réduire le risque d’un seul point de défaillance.

L’incident de ce 31 octobre prouve que les attaquants continuent d’exploiter la même faiblesse. Tant que les enregistrements DNS restent un maillon fragile, les sites DeFi resteront des cibles privilégiées.

Pourquoi les drainers de frontend restent si efficaces

Les outils comme Step Drainer ne cherchent pas à casser la cryptographie des blockchains. Ils misent sur l’habitude des utilisateurs. Une interface familière, un bouton de connexion habituel, et la plupart des gens cliquent sans vérifier l’adresse de destination réelle.

Une fois le wallet connecté, le script malveillant peut demander des signatures de transactions qui transfèrent les actifs vers des adresses contrôlées par les pirates. Parfois, les victimes ne s’aperçoivent de rien avant plusieurs minutes, le temps que les fonds disparaissent.

Ces attaques sont particulièrement redoutables parce qu’elles ne nécessitent aucune interaction avec des liens suspects ou des e-mails de phishing. L’utilisateur se rend de lui-même sur le domaine qu’il connaît depuis des mois.

Les gestes de protection à adopter immédiatement

Face à ce type de menace, plusieurs réflexes peuvent limiter les dégâts. Le premier reste de ne jamais se connecter à un site DeFi sans vérifier d’abord les annonces officielles sur les réseaux sociaux du projet. En période de doute, mieux vaut rester à l’écart.

Utiliser un wallet dédié aux interactions DeFi, avec des montants limités, constitue une autre barrière. Les utilisateurs expérimentés séparent souvent leurs avoirs principaux d’un portefeuille « hot » destiné aux protocoles.

Certains navigateurs et extensions de sécurité commencent à détecter les scripts de drainers connus. Ils ne sont pas infaillibles, mais ils ajoutent une couche de protection. Vérifier l’empreinte du certificat SSL et les informations de domaine peut aussi révéler des incohérences, même si dans un vrai hijack DNS ces éléments peuvent être parfaitement imités.

Le silence sur les pertes et les questions qui restent ouvertes

À l’heure actuelle, ni Blockaid ni les projets touchés n’ont communiqué de chiffre de victimes ou de montant drainé. Cette absence d’information est à la fois rassurante et inquiétante. Rassurante parce qu’elle peut signifier que la détection a été suffisamment rapide. Inquiétante parce que les utilisateurs touchés n’osent parfois pas se manifester immédiatement.

Les enquêtes continuent. Les spécialistes cherchent à comprendre comment les attaquants ont obtenu l’accès aux enregistrements DNS de plusieurs projets en même temps. Compromission de comptes registrar, ingénierie sociale, faille dans un prestataire commun : toutes les pistes restent ouvertes.

Le fait que plusieurs sites distincts aient servi le même toolkit suggère une campagne organisée plutôt qu’une série d’attaques isolées. Les équipes de sécurité surveillent désormais d’autres domaines susceptibles d’être ciblés.

L’impact psychologique sur la confiance des utilisateurs

Au-delà des pertes financières éventuelles, ces incidents érodent la confiance. Beaucoup d’utilisateurs DeFi ont déjà vécu des hacks de protocoles, des rug pulls ou des exploits de smart contracts. Voir le site officiel lui-même devenir un piège ajoute une couche d’inquiétude supplémentaire.

Certains préféreront temporairement limiter leurs interactions. D’autres passeront à des solutions plus robustes, comme les interfaces accessibles uniquement via des adresses ENS ou des applications décentralisées hébergées sur IPFS. Ces alternatives ne sont pas encore généralisées, mais elles gagnent du terrain à chaque nouvelle attaque.

La DeFi a toujours revendiqué une philosophie de responsabilité individuelle. Chaque utilisateur doit rester vigilant. Pourtant, lorsqu’un domaine officiel est compromis, la responsabilité devient collective. Les projets doivent renforcer leurs processus de gestion de domaine, et les utilisateurs doivent adapter leurs habitudes.

Vers des solutions plus résilientes pour les interfaces DeFi

Plusieurs pistes émergent pour réduire la surface d’attaque. L’utilisation d’adresses ENS comme point d’entrée principal permet de contourner en partie les registrars traditionnels. Certains projets explorent déjà des miroirs sur des domaines alternatifs ou des solutions de résolution décentralisée.

D’autres misent sur des extensions de navigateur qui vérifient l’intégrité du code servi par le frontend. Ces outils comparent le hash du JavaScript chargé avec une version connue et signée. Toute modification non autorisée déclenche une alerte.

Enfin, la formation des équipes projet sur la sécurisation des comptes registrar et des accès DNS devient un enjeu majeur. Trop d’incidents passés ont montré que des identifiants trop faibles ou un manque de double authentification ouvraient la porte aux pirates.

Ce que révèle cette vague d’attaques sur l’état de la sécurité DeFi

L’écosystème a beaucoup progressé sur la sécurité des contrats intelligents. Les audits se multiplient, les programmes de bug bounty sont devenus la norme, et les outils de monitoring on-chain se perfectionnent. En revanche, la couche frontend et la gestion des domaines restent des points faibles récurrents.

Les attaquants l’ont bien compris. Ils n’ont plus besoin de trouver une faille complexe dans un protocole. Il leur suffit de prendre le contrôle de l’interface que les utilisateurs consultent chaque jour. Le rapport effort/récompense est clairement en leur faveur.

Cette asymétrie explique pourquoi les campagnes de type Step Drainer se multiplient. Tant que le coût de protection des domaines restera inférieur au coût d’un exploit de smart contract, les pirates continueront de privilégier cette voie.

Le rôle crucial des sociétés de sécurité comme Blockaid

Sans la détection rapide de Blockaid, le bilan aurait probablement été plus lourd. L’entreprise a publié ses alertes en temps réel, listant les domaines un par un et invitant les utilisateurs à la prudence. Ce type de monitoring proactif devient indispensable.

D’autres acteurs de la sécurité blockchain partagent désormais des informations en open source ou via des canaux dédiés. La collaboration entre chercheurs, projets et utilisateurs forme aujourd’hui la meilleure ligne de défense.

Cependant, même la meilleure détection ne remplace pas la prévention. Les projets doivent intégrer la sécurité DNS dans leur checklist de lancement et de maintenance quotidienne. Un domaine mal protégé peut anéantir des mois de travail en quelques heures.

Comment les utilisateurs peuvent vérifier l’intégrité d’un site

Quelques vérifications simples peuvent faire la différence. Avant de connecter un wallet, il est possible de consulter l’historique récent du domaine via des outils publics. Une modification soudaine des enregistrements DNS constitue un signal d’alarme.

Comparer le code source servi avec une version connue, lorsque c’est possible, apporte aussi une assurance. Certains projets publient désormais des empreintes de leurs frontends pour faciliter cette vérification.

Enfin, l’habitude de ne jamais garder de grands montants sur un wallet utilisé pour les interactions quotidiennes reste la protection la plus efficace. Même si un drainer réussit, les pertes restent limitées.

Les prochaines heures seront décisives

Au moment où ces lignes sont écrites, plusieurs projets travaillent encore à sécuriser ou restaurer leurs interfaces. StonkFun a déjà annoncé un retour progressif. D’autres suivront probablement dans les heures ou les jours à venir.

La communauté surveille attentivement les comptes officiels. Toute nouvelle communication est scrutée. Les utilisateurs qui auraient interagi avec les sites concernés pendant la fenêtre d’attaque sont invités à vérifier l’état de leurs wallets et à révoquer les approvals suspects.

Cette attaque du 31 octobre rappelle une vérité simple : dans la DeFi, la sécurité n’est jamais acquise. Chaque couche de l’écosystème, des contrats intelligents jusqu’aux noms de domaine, doit être défendue avec la même rigueur.

Un appel à la vigilance collective

Les événements de ce Halloween 2026 ne doivent pas être relégués au rang d’anecdote. Ils s’inscrivent dans une série d’incidents qui montrent la maturité encore inégale de l’écosystème. Les protocoles progressent sur le plan technique, mais les interfaces et les points d’accès restent vulnérables.

Pour les utilisateurs, le message est clair. Avant de cliquer sur « Connect Wallet », prenez quelques secondes pour vérifier les canaux officiels. En cas de doute, abstenez-vous. Les opportunités DeFi reviendront. Un wallet vidé, lui, ne se reconstitue pas aussi facilement.

Pour les équipes projet, l’incident doit servir de catalyseur. Renforcer la protection des domaines, multiplier les points d’accès, collaborer plus étroitement avec les sociétés de sécurité : ces mesures ne sont plus optionnelles. Elles conditionnent la confiance à long terme des utilisateurs.

La DeFi a survécu à bien des tempêtes. Celle-ci ne sera probablement pas la dernière. Mais chaque crise bien gérée renforce l’écosystème. À condition que les leçons soient réellement tirées et appliquées.

En attendant, si vous utilisiez l’un des douze sites signalés, restez prudent. Suivez les annonces officielles. Et souvenez-vous que la meilleure protection reste encore le scepticisme face à toute interface, même la plus familière.