Des pirates détournent 12 sites DeFi enregistrés auprès de Name.com et dérobent environ 138 000 dollars

Des pirates se sont emparés vendredi soir d'une douzaine de sites DeFi et les ont utilisés pour vider les portefeuilles de cryptomonnaies de leurs visiteurs. Les registres publics désignent Name.com comme registraire des 12 sites compromis identifiés par la société de sécurité Blockaid. Dix domaines ont été suspendus par l'intermédiaire du registraire samedi à 8 h 32 ET, à quelques secondes d'intervalle. Les domaines suspendus affichent le statut « client hold », qui empêche leur résolution ; ils comprennent notamment Pickle Finance, Origami Finance, FluxBeam, Echelon, StonkFun et StakePoint. Les domaines de Flap et Kintsu étaient toujours opérationnels et n'avaient pas été suspendus à l'heure de publication.

Environ 138 000 dollars de fonds dérobés ont été retracés à l'aide de données onchain jusqu'à trois portefeuilles sur des chaînes EVM. Ces trois portefeuilles détenaient environ 138 000 dollars samedi en fin de matinée, principalement en MON et en ETH sur Robinhood Chain, la quasi-totalité des fonds y étant arrivée après le début de l'attaque. Ce calcul exclut les pertes potentielles concernant FluxBeam, StonkFun et StakePoint, basés sur Solana, ainsi qu'Echelon, basé sur Aptos, car ces fonds aboutiraient dans d'autres portefeuilles. Les données onchain montrent que les attaquants ont réparti les recettes entre les trois portefeuilles selon des parts fixes de 15 %, 55 % et 30 %. Un portefeuille Safe sur BNB Chain a reçu environ 3,1 BNB, d'une valeur d'environ 2 200 dollars, de quatre portefeuilles entre 21 h et 21 h 42 ET vendredi. Safe a réparti les trois premiers dépôts entre les trois portefeuilles destinataires et détenait encore environ 2,27 BNB samedi matin. Les mêmes portefeuilles destinataires ont reçu des paiements répartis dans les mêmes proportions sur Ethereum, Robinhood Chain et Monad, où Kintsu est présent. Deux portefeuilles sur Monad ont converti le jeton MON mis en staking de Kintsu et retiré des fonds de Neverland avant d'échanger les recettes contre des MON. Un portefeuille sur Robinhood Chain a retiré de Morpho des actions tokenisées, dont NVDA et AAPL, puis les a échangées contre des ETH.

Blockaid a indiqué que les sites compromis avaient déployé Step Drainer, une trousse de logiciels malveillants qui trompe les visiteurs en les incitant à approuver des transferts sortants après avoir connecté leurs portefeuilles. LevelBlue SpiderLabs a décrit Step Drainer en avril comme un service de logiciels malveillants, qui serait proposé pour environ 750 dollars avec le code source complet ou 150 dollars pour une version prélevant 20 % de chaque vol. LevelBlue SpiderLabs a indiqué que la trousse annonçait sa compatibilité avec plus de 20 réseaux blockchain.

Un utilisateur de X a signalé une apparente compromission de Flap à 21 h 10 ET vendredi, environ une heure avant que Flap ne mette en garde ses utilisateurs contre un détournement DNS affectant flap.sh. Blockaid a publié une alerte concernant Flap et le protocole de staking liquide Kintsu à 22 h 54 ET, puis a identifié 10 autres sites compromis peu après. À l'heure de publication, la seule réponse publique de Name.com était une réponse sur X publiée à 0 h 27 ET, qui orientait les utilisateurs ayant fait part de leurs inquiétudes vers un formulaire de signalement des abus. L'adresse e-mail de presse publiée par Name.com a rejeté une demande de commentaire, et sa société mère, Identity Digital, n'a pas répondu dans l'immédiat.

Les sites touchés utilisent différents fournisseurs DNS, notamment Cloudflare, Vercel et les serveurs de noms de Name.com. Un utilisateur de X a déclaré que les éléments disponibles ne permettaient pas encore d'établir si la compromission impliquait directement Name.com ou un revendeur comme Vercel. Kintsu a publiquement imputé l'incident à Vercel, l'a qualifié d'indépendant de sa volonté et a indiqué que Vercel n'avait pas répondu. Origami Finance a d'abord mis en garde contre une attaque en cours impliquant des serveurs de noms associés à Vercel. Le protocole a ensuite déclaré que ses coffres resteraient suspendus dans l'attente d'une analyse des causes profondes de Vercel ou de Name.com. Cedric, de Flap Builder, a indiqué peu après minuit que l'équipe contactait les deux sociétés.

Un communiqué de presse de Name.com datant de décembre 2025 indiquait que Vercel avait choisi Name.com l'année précédente comme registraire pour le service de domaines remanié de Vercel. Vercel n'avait fait aucun commentaire public samedi matin, tandis que les pages d'état des deux sociétés indiquaient que tous les systèmes fonctionnaient normalement. Vercel n'a pas répondu dans l'immédiat à une demande de commentaire. En avril, Vercel avait révélé une intrusion dans ses systèmes internes, qu'il attribuait à la compromission d'un outil d'IA tiers.

Aucun projet touché n'avait communiqué le nombre de victimes, même si les données onchain montrent qu'au moins quatre portefeuilles ont transféré des fonds aux attaquants sur BNB Chain uniquement. FluxBeam a déclaré n'avoir reçu aucun signalement d'utilisateurs touchés. StonkFun a transféré son site vers une autre infrastructure dans la nuit et a indiqué que le projet n'avait connaissance d'aucun utilisateur touché. Kintsu, Origami Finance, FluxBeam et StonkFun ont chacun déclaré que les contrats onchain des protocoles n'avaient pas été affectés. L'agence de relations publiques de Blockaid a indiqué que la société examinait les questions qui lui avaient été adressées.

Des détournements DNS avaient déjà touché Aerodrome et Velodrome en novembre 2025. En octobre 2023, des attaquants avaient compromis Galxe en accédant à son compte auprès du registraire de domaines Dynadot.