Domaines Name.com détournés : un drainer sur douze sites DeFi, les autorisations du 31 octobre à révoquer

Quiconque a consulté, dans la nuit du 30 au 31 octobre 2026, l’un des douze sites DeFi au moins enregistrés auprès du registraire américain Name.com n’est peut-être pas arrivé sur le vrai site. Des attaquants avaient détourné les enregistrements DNS de ces domaines et redirigé les visiteurs vers des copies équipées d’un drainer de portefeuille. L’adresse affichée dans le navigateur paraissait tout à fait normale. Selon l’analyse de Bitquery, 32 portefeuilles ont perdu au total 202 386 dollars ; The Block arrive à environ 138 000 dollars. La conséquence la plus importante pour vous : si vous avez confirmé une transaction ou une signature sur l’un des sites concernés les 30 ou 31 octobre, vous devez révoquer les autorisations accordées à cette occasion.

Les contrats intelligents des projets eux-mêmes sont restés intacts, selon Kintsu, Origami Finance, FluxBeam et StonkFun. L’attaque ne visait pas la blockchain, mais le chemin qui y mène : le site web par lequel les utilisateurs connectent leur portefeuille. C’est précisément pour cela qu’une telle attaque touche directement les particuliers, et précisément pour cela qu’aucun audit du protocole ne vous protège ici.

Détournement chez Name.com : ce qui s’est passé dans la nuit du 31 octobre

Selon la reconstitution de The Block, le site de la plateforme Flap sur la BNB Chain a été signalé comme compromis le vendredi 30 octobre à 21 h 10, heure de la côte est, soit 1 h 10 UTC le samedi. Une centaine de minutes plus tard, la société de sécurité Blockaid a émis une alerte concernant Flap et le service de staking Kintsu sur Monad, en attribuant les deux sites au kit Step Drainer. Blockaid a ensuite cité dix autres sites. Les douze n’avaient qu’un seul point commun : ils étaient enregistrés chez Name.com, un registraire appartenant au groupe Identity Digital.

Ce sont des utilisateurs sur X qui ont les premiers repéré ce dénominateur commun. Peu avant minuit, heure de la côte est, l’un d’eux a écrit que Name.com semblait compromis. Name.com a répondu une bonne demi-heure plus tard en invitant les personnes concernées à remplir le formulaire de signalement d’abus du registraire. Le samedi à 8 h 32, heure de la côte est, le registraire a suspendu dix des domaines ; selon The Block, Flap et Kintsu n’en faisaient pas partie. En fin de matinée, les suspensions avaient été levées et les domaines se résolvaient de nouveau normalement.

Bitquery a recompté les prélèvements sur la blockchain. Selon ses données, ils ont eu lieu le 31 octobre entre environ 0 h et 6 h UTC, pour l’essentiel avant 4 h UTC. Pour les lecteurs en Allemagne, la fenêtre se situait donc dans la nuit de vendredi à samedi, entre 1 h et 7 h, heure allemande, à une heure où beaucoup ne négocient pas, contrairement aux utilisateurs en Asie et aux États-Unis.

Détournement DNS : comment fonctionne la redirection vers de faux sites DeFi

Le Domain Name System, ou DNS, est l’annuaire d’internet : il traduit un nom comme kintsu.xyz en adresse du serveur qui héberge le site. Quiconque peut modifier ces enregistrements chez le registraire ou le fournisseur DNS peut envoyer chaque visiteur vers le serveur de son choix. Ce type d’attaque s’appelle détournement DNS (DNS hijacking) ou détournement de domaine.

Un registraire est l’entreprise auprès de laquelle un domaine est enregistré et géré. Chez Name.com, selon le décompte de Bitquery, six des douze domaines passaient par le service DNS de Vercel, un hébergeur par lequel de nombreux projets Web3 diffusent leurs interfaces. Trois utilisaient NS1, deux Cloudflare et un Name.com lui-même. Le fait que la redirection ait fonctionné avec différents fournisseurs DNS laisse penser que l’intrusion s’est produite à un niveau supérieur. La manière dont les attaquants ont pu modifier les enregistrements n’est toujours pas élucidée.

Ce qui rend la méthode si perfide : la barre d’adresse affiche le vrai nom, et le cadenas de la connexion chiffrée est souvent présent lui aussi. Le faux site ressemble à l’original, car il en est une copie. La seule différence tient à ce que le site soumet à la signature de votre portefeuille.

Pourquoi les favoris ne protègent pas ici

Un conseil fréquent contre l’hameçonnage consiste à n’ouvrir les sites que par ses favoris. Face aux fausses annonces sur les moteurs de recherche et aux domaines à faute de frappe, c’est exact. Lors d’un détournement DNS, le favori mène cependant lui aussi au serveur des attaquants, puisque le nom lui-même y pointe. La seule protection réside alors dans ce qui se passe dans le portefeuille : la lecture de la signature, l’alerte du portefeuille et la séparation entre l’argent utilisé pour la DeFi et le reste.

Step Drainer : le kit derrière les prélèvements

Un drainer de portefeuille est un logiciel malveillant installé sur un site web qui amène les visiteurs, après la connexion de leur portefeuille, à confirmer des transferts ou des autorisations permettant aux attaquants de siphonner les fonds. Selon The Block, LevelBlue SpiderLabs avait décrit Step Drainer dès avril comme une offre de type « malware-as-a-service » : le code source complet coûterait environ 750 dollars, une version en location 150 dollars plus 20 % de chaque butin. Selon sa propre publicité, le kit prend en charge plus de 20 réseaux.

Dans son analyse, Bitquery distingue quatre voies par lesquelles l’argent a été soustrait :

• des transferts directs vers un contrat des attaquants,
• des autorisations de jetons permettant aux attaquants de prélever eux-mêmes les avoirs par la suite,
• des signatures groupées déplaçant plusieurs jetons en une seule transaction,
• une autorisation sur la plateforme de prêt Morpho permettant à un contrat des attaquants de gérer le compte d’un utilisateur.

Une autorisation de jeton (approval) est une permission accordée à un contrat intelligent pour qu’il puisse déplacer des jetons depuis votre portefeuille. Elle reste valable jusqu’à ce que vous la révoquiez, même si vous avez fermé le site depuis longtemps. Selon Bitquery, les victimes ont confirmé des demandes d’apparence anodine, comme un dépôt ou la récupération d’une récompense. Un contrat collecteur a ensuite réparti le butin entre trois portefeuilles selon une clé de 55, 30 et 15 %.

Préjudice : de 138 000 à 202 000 dollars selon le mode de calcul

Les deux montants publiés ne se contredisent pas : ils mesurent des choses différentes. The Block a suivi environ 138 000 dollars sur trois portefeuilles des blockchains EVM, c’est-à-dire Ethereum et les réseaux compatibles, principalement en MON et en ETH sur la Robinhood Chain. Les pertes sur Solana et Aptos n’y figurent pas. Bitquery valorise chaque prélèvement au moment de la sortie et compte aussi les fonds encore en file d’attente. On obtient ainsi 202 386 dollars provenant de 32 portefeuilles sur six blockchains. Selon Bitquery, le solde des portefeuilles des attaquants le soir du 31 octobre, soit environ 139 000 dollars, correspond largement au chiffre de The Block.

Le préjudice est extrêmement inégalement réparti. Un seul staker de Kintsu sur Monad a perdu 160 531 dollars selon Bitquery, soit près de 80 % du total. Plus de la moitié des victimes ont en revanche perdu moins de 100 dollars. Cela montre comment fonctionne un drainer : il prend tout ce que le portefeuille contient. Qui détient une position importante dans le même portefeuille que celui avec lequel il essaie de nouveaux sites expose tout d’un coup en cas d’incident.

Une partie de l’argent n’est peut-être pas encore perdue. Environ 56 600 dollars, sous la forme de 2,64 millions de sMON, se trouvaient selon le relevé de Bitquery du 31 octobre à 18 h 30 UTC dans la file de retrait de Kintsu. La possibilité pour l’équipe de bloquer ces demandes dépend des contrats du projet. Selon les observations de Bitquery, les fonds n’avaient alors atteint ni plateforme ni passerelle.

Sites concernés : Flap, Kintsu, Pickle Finance et neuf autres

The Block cite huit des douze projets repérés par Blockaid : Flap, Kintsu, Pickle Finance, Origami Finance, FluxBeam, Echelon, StonkFun et StakePoint. Bitquery mentionne en outre longbow.cash, apexdefi.xyz, shprd.finance et supswap.xyz. Name.com a pour sa part évoqué 15 domaines clients touchés ; les trois restants n’ont pas été nommés publiquement.

Les projets se répartissent sur plusieurs réseaux. Flap fonctionne sur la BNB Chain, Kintsu sur Monad, Echelon sur Aptos, FluxBeam, StakePoint et StonkFun sur Solana, Pickle Finance et Origami Finance sur Ethereum et d’autres réseaux EVM. FluxBeam et StonkFun ont indiqué n’avoir connaissance d’aucun utilisateur lésé. Origami Finance a déclaré maintenir ses coffres en pause jusqu’à ce que la cause soit identifiée. Selon Bitquery, Kintsu a conseillé à ses utilisateurs de révoquer tout ce qu’ils avaient signé depuis minuit UTC le 31 octobre.

Bitquery a également observé des robots qui tentaient d’imiter les prélèvements avec de faux jetons envoyés depuis des adresses d’apparence similaire. Cet empoisonnement d’adresses est une ruse à part entière : il mise sur le fait que les victimes copieront plus tard une adresse erronée depuis leur historique de transactions.

Name.com et Vercel : ce que disent les entreprises à ce stade

Selon The Block, Name.com a déclaré le 31 octobre avoir rétabli tous les domaines concernés et travailler directement avec les titulaires des comptes. Sur X, le registraire a écrit que les domaines avaient été indûment redirigés tard vendredi afin d’accéder aux portefeuilles des visiteurs. Name.com a conseillé à ses clients de vérifier leurs serveurs de noms et leurs enregistrements DNS à la recherche de modifications non autorisées et d’activer l’authentification à deux facteurs.

Selon The Block, Vercel a confirmé dans un avis de sécurité que dix des domaines touchés étaient reliés à sa plateforme, que Name.com les avait rétablis et que Vercel soutenait l’enquête. Vercel avait choisi Name.com en 2025 comme registraire pour son service de domaines nouvellement créé. Kintsu a écrit sur X que l’incident s’était produit du côté de Vercel et échappait à son contrôle. C’est la version d’un projet concerné, non une cause établie. Ni Name.com ni Vercel n’ont expliqué publiquement à ce jour comment les attaquants avaient pu modifier les enregistrements.

La DeFi en Allemagne : pourquoi personne ne répond du préjudice en cas d’attaque sur l’interface

Pour les investisseurs en Allemagne, l’affaire est aussi instructive parce qu’elle montre où s’arrête la protection apportée par la supervision. Si vous achetez et conservez des cryptoactifs auprès d’un prestataire agréé MiCA, une entreprise dotée d’un siège, d’un agrément et d’un interlocuteur engage sa responsabilité. Si vous utilisez en revanche une application DeFi avec votre propre portefeuille, il n’y a en général personne pour répondre d’une perte : vous avez donné la signature vous-même, et le contrat a correctement exécuté ce que vous avez autorisé. Notre aperçu des plateformes crypto réglementées indique quelles plateformes disposent d’un agrément.

Ce n’est pas un argument contre la DeFi, mais c’en est un en faveur d’une séparation claire. Qui utilise un portefeuille dédié uniquement aux nouvelles applications et n’y garde qu’un petit montant limite le préjudice d’une telle attaque à ce seul montant. Notre comparatif des portefeuilles logiciels recense ceux qui simulent les transactions avant signature et alertent sur les drainers connus. Le reste doit se trouver sur un appareil qui ne signe qu’avec votre confirmation expresse.

Comment se protéger du détournement DNS et des drainers de portefeuille

Ce qui s’est passé : le 31 octobre 2026, entre environ 0 h et 6 h UTC, des attaquants ont redirigé par modification DNS au moins douze domaines DeFi enregistrés chez Name.com vers des copies équipées de Step Drainer. Le préjudice s’élève à environ 138 000 dollars selon The Block et à 202 386 dollars provenant de 32 portefeuilles selon Bitquery (au 31 octobre). Name.com indique avoir rétabli les domaines.

Êtes-vous concerné ? Peut être concerné quiconque a ouvert, dans la nuit du 30 au 31 octobre, l’un des sites cités, comme Flap, Kintsu, Pickle Finance, Origami Finance, FluxBeam, Echelon, StonkFun, StakePoint, longbow.cash, apexdefi.xyz, shprd.finance ou supswap.xyz, y a connecté un portefeuille et a confirmé une opération. Qui n’a pas utilisé ces sites pendant cette période, ou les a seulement consultés sans signer, n’a rien perdu en l’état actuel des connaissances. Trois des 15 domaines n’ont pas été nommés publiquement ; vérifiez donc aussi les autres sites DeFi utilisés cette nuit-là.

1. Retirer les autorisations : ouvrez un outil de contrôle des autorisations comme Revoke.cash, connectez le portefeuille concerné et révoquez chaque autorisation de jeton des 30 et 31 octobre, sur chaque blockchain utilisée.
2. Vérifier les autorisations Morpho : si vous utilisez Morpho, contrôlez dans les paramètres du compte quelles adresses peuvent gérer votre compte et supprimez toute adresse inconnue.
3. Lire les signatures : annulez toute signature qui demande une autorisation illimitée, un transfert vers une adresse inconnue ou un droit sur le compte alors que vous vouliez seulement déposer ou récupérer quelque chose.
4. Prendre au sérieux les alertes du portefeuille : si une alerte signale un site malveillant lors de la connexion, fermez l’onglet même si la barre d’adresse semble correcte, et consultez le compte X officiel du projet pour savoir si l’alerte est levée.
5. Séparer le portefeuille DeFi : créez pour les nouvelles applications un portefeuille dédié contenant un petit montant et conservez les avoirs plus importants sur un portefeuille matériel que vous ne connectez jamais à des sites inconnus.

Notre guide pour conserver ses cryptos en sécurité explique les bases de la conservation, et le comparatif des portefeuilles matériels compare les appareils adaptés.

Cause inconnue : les questions auxquelles Name.com et Vercel doivent encore répondre

La principale inconnue est le point par lequel les attaquants ont pris le contrôle des domaines. Plusieurs hypothèses existent : une intrusion chez le registraire, un accès via l’interface d’un partenaire comme Vercel ou des comptes clients compromis. Aucune n’est démontrée à ce jour, et il serait peu sérieux d’en présenter une comme un fait. En avril, Vercel avait signalé un incident de sécurité que l’entreprise avait attribué à un outil tiers compromis. On ignore s’il existe un lien.

Le schéma n’est pas nouveau. The Block rappelle des attaques DNS similaires contre les plateformes d’échange Aerodrome et Velodrome en novembre 2025 et contre Galxe en octobre 2023. Ce qui est nouveau, c’est l’ampleur : une intrusion au niveau d’un registraire frappe d’un coup des projets sur six blockchains qui n’ont par ailleurs rien en commun. Dès que Name.com ou Vercel auront identifié la cause, il sera plus facile d’évaluer si d’autres clients des mêmes prestataires sont exposés.

Détournement chez Name.com : les autorisations des 30 et 31 octobre restent le risque

Les domaines sont rétablis, mais une autorisation accordée ne s’éteint pas pour autant. Trois étapes suffisent pour éliminer le risque résiduel :

1. Vérifiez et révoquez toutes les autorisations des 30 et 31 octobre. Pour l’avenir, un portefeuille qui simule les transactions avant signature est utile ; le comparatif des portefeuilles logiciels présente des candidats.
2. Transférez les avoirs dont vous n’avez pas activement besoin pour la DeFi vers un appareil du comparatif des portefeuilles matériels, et ne le connectez jamais à des sites que vous ne connaissez pas.
3. Achetez et conservez votre patrimoine de base auprès d’un prestataire agréé ; la liste des plateformes crypto réglementées indique lesquelles disposent d’un agrément MiCA.

(Au 2 novembre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)