Dans la soirée du vendredi 30 octobre 2026, douze sites de finance décentralisée ont été détournés en quelques heures. Tous étaient enregistrés auprès du registrar Name.com et redirigeaient leurs visiteurs vers le kit malveillant Step Drainer, qui a permis de soutirer environ 138 000 dollars. Cette analyse retrace la chronologie, les flux on-chain et les zones d’ombre qui subsistent.
🔑 En bref
- Douze sites DeFi, dont Flap, Kintsu, Pickle Finance et Echelon, ont été redirigés vers des pages piégées.
- Environ 138 000 dollars ont été volés sur les chaînes compatibles EVM, hors Solana et Aptos.
- Dix domaines ont été suspendus au niveau du registrar à 8 h 32 samedi, tandis que Flap et Kintsu restaient actifs.
- Name.com n’a pas confirmé l’incident : l’origine exacte, registrar ou Vercel, reste non établie.
Douze sites DeFi détournés en une seule soirée
Les douze sites touchés appartenaient à des protocoles différents : prêt, staking liquide, plateformes de lancement de jetons et outils de rendement. Parmi eux figuraient Flap, Kintsu, Pickle Finance, Origami Finance, FluxBeam, Echelon, StonkFun et StakePoint. Les visiteurs étaient redirigés vers des pages hébergeant le kit Step Drainer. Le mécanisme est connu : lorsque l’utilisateur connecte son portefeuille au site, la page lui présente une demande d’approbation qui autorise ensuite le transfert de ses actifs. Les contrats intelligents des protocoles n’ont donc pas été exploités directement ; c’est la confiance accordée au nom de domaine et à l’interface qui a été détournée.
Un kit vendu comme un service
Selon Blockaid, les sites étaient équipés de Step Drainer, un kit qui trompe les visiteurs pour qu’ils approuvent des transferts. LevelBlue SpiderLabs avait décrit ce logiciel dès avril comme un service de malveillance vendu sous forme de « Malware-as-a-Service ». Le code source complet était proposé environ 750 dollars, ou 150 dollars pour une version prélevant 20 % de chaque vol. Le kit revendiquait la prise en charge de plus de vingt réseaux blockchain, ce qui explique la dispersion géographique des flux observés.
Chronologie : une heure entre le premier signal et la suspension
La séquence publique s’étend de la fin de journée du vendredi au samedi matin. Elle est reconstituée à partir des signalements, publications et registres consultés par The Block.
| Heure | Événement |
|---|---|
| 21 h 10 (vendredi) | Premier signal public concernant Flap, donné par liquidated0x |
| Environ 22 h (vendredi) | Flap avertit ses utilisateurs d’un « incident de détournement DNS » |
| 22 h 54 (vendredi) | Blockaid alerte sur Flap et Kintsu, puis identifie dix autres sites compromis |
| 23 h 51 (vendredi) | bluexxix signale le registrar commun, Name.com |
| 0 h 27 (samedi) | Name.com répond publiquement et demande un formulaire d’abus |
| 8 h 32 (samedi) | Dix domaines suspendus au niveau du registrar, statut « client hold » |
Le développeur pseudonyme banteg est parvenu à la même conclusion le samedi matin. Punkquidity a ensuite relevé que dix domaines avaient été désactivés en quelques secondes, ce qui illustre la rapidité avec laquelle un registrar peut couper l’accès à un site.
« Cela s’est produit du côté de Vercel et échappait à notre contrôle »
Équipe Kintsu, message public sur X
Name.com a répondu publiquement à 0 h 27 en invitant liquidated0x et bluexxix à remplir son formulaire de signalement d’abus. Cette réponse ne constitue pas une confirmation technique. Selon Crypto Briefing, l’entreprise n’avait pas non plus reconnu l’incident sur son blog ou sur sa page d’état, et les pages d’état de Name.com et de Vercel indiquaient un fonctionnement normal. L’adresse de presse de Name.com n’a pas répondu à The Block, et sa société mère, Identity Digital, n’a pas réagi immédiatement.
Des flux on-chain dispersés sur quatre réseaux
Les fonds ont été orientés vers trois portefeuilles selon des proportions fixes de 15 %, 55 % et 30 %. Cette répartition identique sur plusieurs chaînes suggère une infrastructure commune, sans que l’identité des opérateurs ait été établie. Le total de 138 000 dollars ne comprend que les fonds traçables sur les chaînes compatibles avec la machine virtuelle Ethereum ; il exclut les pertes potentielles sur Solana et Aptos.
| Réseau | Wallets | Flux observés |
|---|---|---|
| BNB Chain | Safe et trois wallets attaquants | Environ 3,1 BNB (≈ 2 200 dollars) reçus de quatre wallets entre 21 h et 21 h 42 ; environ 2,27 BNB restaient dans le Safe le samedi matin |
| Monad | Deux wallets | MON stakés chez Kintsu, retirés du protocole Neverland puis convertis en MON |
| Robinhood Chain | Un wallet | Actions tokenisées NVDA et AAPL extraites de Morpho, échangées contre de l’ETH |
| Solana et Aptos | Non chiffré | FluxBeam, StonkFun, StakePoint (Solana) et Echelon (Aptos) ; pertes non incluses |
Dans la matinée du samedi, les trois portefeuilles détenaient ensemble environ 138 000 dollars, principalement en MON et en ETH sur Robinhood Chain. Presque toutes ces sommes étaient parvenues après le début de l’attaque.
Ce que disent les projets touchés
Aucun projet affecté n’a communiqué de nombre de victimes. FluxBeam a déclaré n’avoir « aucun signalement d’utilisateur affecté », tandis que StonkFun, qui a déplacé son site vers une nouvelle infrastructure pendant la nuit, ne connaissait aucune personne touchée. Kintsu, Origami, FluxBeam et StonkFun affirment que leurs contrats on-chain n’ont pas été touchés. Pourtant, au moins quatre wallets sur BNB Chain ont envoyé des fonds aux attaquants, ce qui montre que des victimes existent.
Responsabilités disputées et précédents : Name.com, Vercel ou un revendeur ?
Les sources divergent sur les serveurs de noms utilisés. The Block indique que les sites ne partageaient pas le même fournisseur DNS : certains employaient Cloudflare, d’autres Vercel, d’autres encore les serveurs de Name.com. Crypto Briefing affirme au contraire que tous les domaines dépendaient des serveurs de Name.com. Ces versions ne peuvent être réconciliées avec certitude. Le fait établi est que les douze domaines partageaient le même registrar, tandis que leur configuration DNS active reste incertaine. Punkquidity résume le doute en se demandant « si Name.com lui-même ou un revendeur comme Vercel était à l’origine ».
Origami Finance a d’abord évoqué « une attaque active sur des serveurs de noms associés à Vercel », avant de maintenir ses coffres suspendus dans l’attente d’une analyse de la cause racine. Vercel avait choisi Name.com comme registrar pour son service de domaines reconstruit en 2025, selon un communiqué de Name.com de décembre 2025, et n’a pas commenté publiquement l’attaque. En avril, Vercel avait divulgué une intrusion dans ses systèmes internes, attribuée à un outil d’intelligence artificielle tiers compromis ; aucun élément publié ne relie toutefois cet épisode au 30 octobre.
Une attaque antérieure distincte avait visé des projets enregistrés auprès de Squarespace. Compound Finance avait vu son domaine principal remplacé par une page de phishing, et Celer Network avait intercepté une tentative avant de restaurer rapidement ses enregistrements DNS. Les domaines concernés avaient été transférés de Google Domains à Squarespace en juin 2023. Les chercheurs Samczsun, Taylor Monahan et Andrew Mohawk estiment que la désactivation de l’authentification multifacteur pendant la migration pourrait être liée à l’incident. The Block cite également les détournements d’Aerodrome et Velodrome en novembre 2025, et celui de Galxe en octobre 2023, où les attaquants avaient accédé au compte du projet chez son registrar Dynadot.
« Notre enquête en cours indique que le vecteur d’attaque impliquait probablement des tiers échappant à notre contrôle »
Celer Network, déclaration officielle
Perspectives : un risque qui migre vers la couche DNS
Cet épisode illustre un déplacement du risque. Les audits, les programmes de bug bounty et la vérification formelle se concentrent sur le code qui conserve les fonds, sans couvrir nécessairement la gestion des domaines, des serveurs de noms ou des comptes de registrar. Les projets ayant migré rapidement vers des infrastructures DNS distinctes ont repris le contrôle de leur trafic plus vite que les autres.
Trois scénarios restent ouverts. Si Name.com ou Vercel confirme une faille, le débat sur la responsabilité des registrars s’intensifiera et l’authentification renforcée des comptes deviendra un point de passage obligé. Une responsabilité partagée avec un revendeur compliquerait en revanche l’indemnisation. Enfin, en l’absence de cause publique définitive, les projets devront renforcer leurs contrôles internes. À court terme, les utilisateurs doivent révoquer les autorisations accordées à des contrats, vérifier l’adresse exacte des sites avant de connecter un portefeuille et suivre les annonces officielles des protocoles.
Sources
Cet article est publié à titre informatif et éducatif. Il ne constitue en aucun cas un conseil en investissement. Faites vos propres recherches (DYOR) avant toute décision.
