12 sites DeFi touchés par une attaque front-end via Step Drainer

CoinDesk rapporte que Blockaid a signalé au moins 12 sites DeFi visés lors d’une attaque survenue le 31 octobre, jour d’Halloween, la boîte à outils Step Drainer apparaissant sur les pages concernées. L’équipe de sécurité invite les utilisateurs à ne pas connecter leur portefeuille ni signer de transactions. Blockaid a identifié Flap, Kintsu et dix autres sites dans son alerte sur ces attaques front-end. Flap confirme une compromission de son DNS et la redirection de son domaine officiel vers un site non autorisé. StonkFun a rétabli son site après avoir migré son infrastructure ; l’entreprise dit ignorer si des utilisateurs ont été affectés. Les alertes recensent les sites compromis, mais le nombre de victimes et les pertes éventuelles restent non confirmés. La première alerte de Blockaid, le 31 octobre, désignait Flap et Kintsu comme cibles potentielles. Dans une alerte suivante, la société de sécurité blockchain a ajouté dix domaines, affirmant qu’ils diffusaient activement Step Drainer. Les équipes concernées ont commencé à publier leurs propres avertissements. Flap a confirmé que les visiteurs de son adresse officielle étaient redirigés ailleurs. StonkFun a ensuite indiqué avoir remis son site en ligne après l’avoir mis hors service et migré vers une nouvelle infrastructure. Blockaid rapporte que 12 sites DeFi sont affectés par Step Drainer. Lors de l’alerte initiale, Blockaid a conseillé de ne pas interagir avec Flap et Kintsu jusqu’à résolution. Sa liste élargie comprend StonkFun, Pickle Finance, Echelon, Origami Finance et FluxBeam. Les autres projets sont StakePoint, SupSwap, Longbow, Shprd Finance et APEX. Avec Flap et Kintsu, la liste couvre 12 sites différents. Blockaid précise que les sites nouvellement ajoutés proposent tous le même drainer et que l’enquête se poursuit. L’alerte n’a confirmé ni l’identité des attaquants, ni le nombre de victimes, ni le montant total des pertes. Auparavant, le chercheur en sécurité Ogle avait averti qu’un script injecté redirigeait les visiteurs cliquant sur le bouton de connexion au portefeuille vers une page de drainer malveillante. Il appelait les utilisateurs à ne pas connecter leur portefeuille à ces sites. La capture d’écran de l’avertissement initial qui circulait mentionnait aussi stonkbrokers[.]cash. L’alerte publique ultérieure de Blockaid a d’abord nommé Flap et Kintsu, avant d’être élargie à dix autres domaines : la capture ne contient donc pas exactement la même liste. Flap a confirmé que son site officiel avait été victime d’un détournement DNS. L’équipe indique que le site redirige les visiteurs vers une destination non autorisée et demande de ne pas y accéder, de ne pas connecter son portefeuille et de ne pas signer de transactions jusqu’à nouvel ordre. Flap dit travailler à la restauration du site et préviendra lorsqu’il sera sûr de l’utiliser. Une annonce en chinois accompagnait le message et invitait à se fier aux informations publiées sur les comptes sociaux officiels du projet. Les enregistrements DNS dirigent les navigateurs d’un domaine vers l’infrastructure qui héberge le site. Selon la description de Flap, l’adresse légitime elle-même envoyait les visiteurs vers un site non autorisé. L’avertissement vise donc les personnes qui saisissent directement le domaine familier du projet, sans cliquer sur une adresse mal orthographiée ou un lien promotionnel non sollicité. Flap n’a pas précisé quel prestataire était responsable des enregistrements compromis ni comment les attaquants y ont accédé. StonkFun a confirmé que son site avait été visé par une attaque de domaine signalée par Blockaid. Dans un premier message, l’équipe a invité les utilisateurs à éviter le site et à ne pas connecter leur portefeuille pendant la reprise. Le projet précise que l’incident n’a touché que le site, les fonctions onchain restant pleinement opérationnelles. Il indique ignorer qui, le cas échéant, a été affecté. Dans une mise à jour ultérieure, StonkFun a déclaré avoir mis le site hors ligne et migré vers une nouvelle infrastructure. Le site est rétabli, mais l’équipe demande encore d’attendre une heure avant de connecter un portefeuille, certains réseaux pouvant nécessiter ce délai pour prendre en compte le changement. Le message de rétablissement répète que les opérations onchain fonctionnent normalement et que l’équipe n’a connaissance d’aucun utilisateur affecté. Aucune des deux déclarations de StonkFun n’a fourni d’estimation des pertes ni annoncé de procédure d’indemnisation. Des attaques DNS antérieures ont déjà poussé des projets DeFi à changer le mode d’accès des utilisateurs. En mai 2025, crypto.news a rapporté que Curve Finance avait migré vers un nouveau domaine après que des attaquants eurent redirigé son site d’origine vers un site clone destiné à voler des portefeuilles. Curve a contacté ses partenaires de sécurité et son registraire de domaine pendant la réponse. L’équipe a cité la lenteur du registraire parmi les raisons de l’abandon de l’ancien domaine. Le registraire a ensuite gelé Curve.fi, désactivant le drainer malveillant. Curve a confirmé par la suite prévoir d’introduire une adresse Ethereum Name Service comme option d’accès alternative.