Attaque Dns Halloween Frappe Douze Sites Defi Avec Step Drainer

Imaginez ouvrir votre navigateur un 31 octobre, taper l’adresse habituelle de votre plateforme DeFi préférée et atterrir sur une page qui ressemble à s’y méprendre à l’originale… sauf que le bouton de connexion mène tout droit vers un drainer. C’est exactement ce qui s’est produit ce samedi 31 octobre 2026. Au moins douze sites ont été frappés par une vague d’attaques DNS coordonnées utilisant le toolkit Step Drainer. Les alertes se sont succédé en quelques heures, les équipes projet ont commencé à publier des messages d’urgence, et les utilisateurs se sont retrouvés face à un choix simple mais vital : ne rien signer, ne rien connecter.

Une vague d’attaques DNS frappe le monde DeFi en plein Halloween

La journée a commencé par une première alerte de la société de sécurité blockchain Blockaid. Flap et Kintsu figuraient en tête de liste. Quelques heures plus tard, la même entreprise élargissait son avertissement à dix domaines supplémentaires. Le bilan officiel est passé à douze sites distincts, tous servant activement le même outil de drainage. Parmi les noms cités figurent StonkFun, Pickle Finance, Echelon, Origami Finance, FluxBeam, StakePoint, SupSwap, Longbow, Shprd Finance et APEX.

Ce qui rend cette attaque particulièrement insidieuse, c’est son mode opératoire. Il ne s’agit pas d’un simple phishing par e-mail ou d’un lien malveillant partagé sur les réseaux. Les enregistrements DNS des domaines officiels ont été détournés. Autrement dit, l’adresse que tout le monde connaît et en laquelle on a confiance redirigeait vers une infrastructure contrôlée par des attaquants. Aucune faute de frappe n’était nécessaire. Aucun lien suspect à cliquer. Il suffisait de se rendre sur le site habituel.

Comment le toolkit Step Drainer a été déployé

Selon les observations des chercheurs en sécurité, un script injecté interceptait l’action de connexion au portefeuille. Dès qu’un utilisateur cliquait sur le bouton « Connect Wallet », il était redirigé vers une page de drainage malveillante. Le toolkit Step Drainer est conçu pour automatiser ce type d’opération : il présente une interface crédible, demande des signatures et, une fois les permissions obtenues, vide les actifs accessibles.

Les alertes publiques n’ont pour l’instant donné aucun chiffre officiel sur le nombre de victimes ni sur le montant total des fonds détournés. Les équipes concernées affirment pour la plupart n’avoir connaissance d’aucun utilisateur touché, mais cette absence de données ne signifie pas absence de pertes. Dans ce genre d’incidents, les victimes individuelles mettent souvent plusieurs jours à se manifester, surtout si les montants sont modestes ou si l’utilisateur hésite à communiquer publiquement.

Flap confirme le détournement de son domaine officiel

Flap a rapidement publié un communiqué clair. L’équipe a reconnu que son domaine officiel redirigait les visiteurs vers une destination non autorisée. Le message était sans ambiguïté : ne visitez plus le site, ne connectez aucun portefeuille, ne signez aucune transaction jusqu’à nouvel ordre. Une version en chinois a également été diffusée pour s’adresser à une partie importante de la communauté.

Le projet a précisé qu’il travaillait activement à la restauration et qu’il communiquerait dès que la situation serait sécurisée. Aucune information n’a été donnée sur le fournisseur DNS compromis ni sur la manière exacte dont les attaquants ont obtenu l’accès aux enregistrements. Cette opacité est fréquente dans les premières heures d’un incident : les équipes préfèrent d’abord neutraliser la menace avant de publier un post-mortem technique détaillé.

StonkFun restaure son site après un changement d’infrastructure

StonkFun a suivi un chemin similaire. Après avoir demandé aux utilisateurs de rester à l’écart, l’équipe a annoncé avoir mis le site hors ligne, déplacé l’infrastructure vers un nouvel environnement, puis remis le service en ligne. Elle a cependant recommandé d’attendre au moins une heure avant toute connexion, le temps que la propagation DNS se stabilise sur les différents réseaux.

Le projet a insisté sur un point important : les contrats intelligents et les opérations on-chain n’avaient pas été affectés. Seul le frontend web avait été compromis. Cette distinction est essentielle. Dans de nombreuses attaques DNS, la blockchain elle-même reste intacte. Le danger se concentre entièrement sur l’interface utilisateur et sur les signatures que l’utilisateur accepte de donner.

Nous n’avons connaissance d’aucun utilisateur touché à ce stade. Les opérations on-chain fonctionnent normalement. Merci de patienter encore un peu avant de reconnecter vos portefeuilles.

Ce type de message rassure, mais il ne doit jamais être interprété comme un feu vert immédiat. Les caches DNS locaux, les résolveurs d’opérateurs télécoms et les proxies d’entreprise peuvent encore pointer vers l’ancienne infrastructure malveillante pendant plusieurs heures, parfois plus d’une journée.

Une technique déjà vue et pourtant toujours efficace

Les attaques DNS contre des projets DeFi ne sont pas nouvelles. En mai 2025, Curve Finance avait déjà été forcé de migrer vers un nouveau domaine après qu’un détournement similaire ait redirigé son site officiel vers un clone de drainage. L’équipe avait collaboré avec ses partenaires de sécurité et son registrar. Les délais de réaction du registrar avaient même été cités comme un facteur ayant poussé le projet à abandonner définitivement l’ancien nom de domaine.

Le registrar avait finalement gelé le domaine compromis, ce qui avait neutralisé le drainer. Curve avait ensuite annoncé l’ajout d’une adresse Ethereum Name Service comme option d’accès supplémentaire. Cette décision illustrait une prise de conscience croissante : dépendre d’un seul nom de domaine classique constitue un point de défaillance unique particulièrement fragile.

L’attaque de ce 31 octobre reprend exactement le même schéma. Les attaquants ne cherchent pas à briser les smart contracts. Ils s’attaquent à la confiance que les utilisateurs placent dans l’adresse web. Une fois cette confiance capturée, le reste du processus de drainage devient presque trivial.

Pourquoi les DNS restent le talon d’Achille de nombreux projets

Le système de noms de domaine a été conçu à une époque où la sécurité n’était pas la priorité absolue. Aujourd’hui encore, la majorité des projets DeFi s’appuient sur des registrars et des fournisseurs DNS traditionnels. Ces services peuvent être compromis de plusieurs manières : vol d’identifiants, ingénierie sociale ciblant le support client, failles dans les systèmes d’authentification à deux facteurs, ou même corruption interne.

Une fois les enregistrements DNS modifiés, l’attaquant peut faire pointer le domaine vers n’importe quel serveur qu’il contrôle. Le certificat TLS peut être obtenu légitimement via des autorités de certification automatisées, ce qui donne à la page malveillante le fameux cadenas vert. Pour l’utilisateur moyen, tout paraît parfaitement légitime.

Les projets les plus matures commencent à adopter des stratégies de défense en profondeur : surveillance continue des enregistrements DNS, verrouillage de domaine (registry lock), utilisation de plusieurs canaux de communication (réseaux sociaux, Discord, Telegram, ENS), et parfois même des miroirs décentralisés. Mais ces mesures ne sont pas encore généralisées.

Les réflexes à adopter immédiatement

Face à ce type d’incident, la règle d’or reste la même : en cas de doute, ne rien faire. Voici les gestes concrets que chaque utilisateur devrait appliquer dès qu’une alerte de ce genre circule.

Premièrement, vérifier systématiquement les canaux officiels du projet avant toute interaction. Un simple message sur le compte X ou Discord de l’équipe suffit souvent à confirmer qu’un problème est en cours. Deuxièmement, éviter absolument de cliquer sur le bouton de connexion tant que le projet n’a pas explicitement déclaré que le site est de nouveau sûr. Troisièmement, utiliser des extensions de navigateur ou des outils qui affichent les adresses de contrats avant signature. Quatrièmement, privilégier autant que possible les interfaces décentralisées ou les applications mobiles officielles lorsque celles-ci existent.

Le rôle croissant des entreprises de sécurité on-chain

Blockaid a joué un rôle central dans la détection et la communication de cette vague d’attaques. L’entreprise a publié les listes de domaines touchés en temps quasi réel, permettant aux utilisateurs avertis de se mettre à l’abri. D’autres chercheurs indépendants ont également relayé des informations complémentaires, notamment sur le script d’injection observé.

Cette collaboration entre acteurs privés de la sécurité et communautés de projets illustre une évolution notable de l’écosystème. Les alertes publiques, même lorsqu’elles sont encore incomplètes, sauvent souvent plus de fonds que les analyses post-mortem publiées plusieurs jours plus tard. La vitesse de diffusion de l’information est devenue un facteur critique de résilience.

Il reste cependant un défi majeur : la coordination. Certains projets communiquent très vite, d’autres restent silencieux pendant de longues heures. Les listes de domaines touchés circulent parfois de manière fragmentée, créant de la confusion. Une standardisation des procédures d’alerte serait bénéfique pour l’ensemble du secteur.

Ce que cette attaque révèle sur la maturité de l’écosystème

Le fait qu’une attaque DNS puisse encore frapper simultanément une douzaine de sites en 2026 montre que certains fondamentaux de sécurité web ne sont pas encore suffisamment intégrés dans les pratiques de nombreux projets DeFi. Les smart contracts font l’objet d’audits coûteux et approfondis. Les frontends, en revanche, restent souvent traités comme des éléments secondaires.

Pourtant, pour l’utilisateur final, le frontend est la seule interface visible. C’est là que se joue la confiance. Une interface compromise peut neutraliser tous les efforts de sécurisation on-chain. Les équipes qui ont déjà vécu ce type d’incident le savent parfaitement. Celles qui ne l’ont jamais vécu ont tendance à sous-estimer le risque.

Les migrations de domaine, comme celle qu’avait effectuée Curve Finance, deviennent une option de plus en plus envisagée. Certains projets expérimentent également des solutions basées sur IPFS ou des passerelles décentralisées. Ces approches ne sont pas encore parfaites, mais elles réduisent la dépendance aux infrastructures DNS centralisées.

Les questions qui restent en suspens

Plusieurs points restent pour l’instant sans réponse claire. Qui se trouve derrière cette vague d’attaques ? Existe-t-il un lien entre les différents domaines touchés, au-delà du toolkit commun ? Les attaquants ont-ils exploité une faille chez un registrar ou un fournisseur DNS partagé par plusieurs projets ? Combien d’utilisateurs ont réellement interagi avec les pages malveillantes avant les alertes ?

Les prochains jours devraient apporter davantage d’éléments. Les post-mortems techniques, lorsqu’ils sont publiés de manière transparente, constituent une source d’apprentissage précieuse pour tout l’écosystème. Ils permettent d’identifier les vecteurs d’attaque, de renforcer les procédures et d’éviter que le même scénario se reproduise à l’identique.

En attendant, la prudence reste de mise. Même si certains sites ont déjà annoncé leur restauration, la propagation DNS n’est jamais instantanée. Un utilisateur situé dans une région où les caches n’ont pas encore été mis à jour peut encore atterrir sur la version malveillante plusieurs heures après le rétablissement officiel.

Vers une meilleure résilience collective

Les attaques de ce type rappellent que la sécurité en DeFi ne se limite pas aux contrats intelligents. Elle englobe l’ensemble de la chaîne de confiance : le nom de domaine, le certificat, le frontend, les canaux de communication et les habitudes des utilisateurs. Chaque maillon faible peut faire basculer l’ensemble.

Les projets qui investissent dans la surveillance DNS, le registry lock, la communication multi-canaux et l’éducation de leur communauté se placent dans une position nettement plus favorable. Ceux qui considèrent encore le frontend comme un simple « site vitrine » prennent un risque disproportionné.

Pour les utilisateurs, l’épisode de ce 31 octobre constitue un nouveau rappel : la méfiance reste une qualité. Vérifier deux fois, attendre les confirmations officielles, utiliser des portefeuilles cloisonnés et ne jamais se précipiter restent les meilleurs réflexes face à ce type de menace.

L’attaque DNS Halloween 2026 n’est probablement pas la dernière. Tant que les infrastructures centralisées de nommage resteront un point de passage obligé, les attaquants continueront de les cibler. La bonne nouvelle, c’est que chaque incident de ce genre pousse un peu plus l’écosystème à se renforcer. La question n’est plus de savoir si de nouvelles attaques surviendront, mais si les projets et les utilisateurs seront mieux préparés la prochaine fois.

En conclusion, ce samedi 31 octobre a rappelé à toute la communauté DeFi que la sécurité ne s’arrête pas à la blockchain. Elle commence bien avant, dès l’adresse que l’on tape dans la barre du navigateur. Les douze sites touchés, le toolkit Step Drainer, les confirmations de Flap et de StonkFun, les alertes successives de Blockaid : autant d’éléments qui dessinent un tableau clair. La vigilance collective et la rapidité de réaction restent aujourd’hui les meilleures protections disponibles.

Les semaines à venir permettront sans doute d’y voir plus clair sur l’ampleur réelle des pertes et sur les mesures concrètes que les projets concernés mettront en place. En attendant, le message le plus simple et le plus efficace reste inchangé : en cas de doute, n’interagissez pas. Votre portefeuille vous remerciera.