Piratage DNS DeFi : Name.com compte 15 domaines, Blockaid a nommé 12 sites, et la cause reste à confirmer

Mise à jour du 2 novembre 2026, 6 h 03 UTC : Name.com affirme désormais que 15 domaines de clients ont été touchés, selon The Block, alors que Blockaid a nommé 12 sites ; aucune source que nous avons lue ne concilie ces deux chiffres. Vercel indique dans un bulletin que 10 domaines qui lui sont associés ont été touchés. Bitquery compte 202 386 $ pris à 32 portefeuilles sur six chaînes, contre environ 138 000 $ sur les chaînes EVM dans le décompte de The Block : deux méthodes différentes, et aucune n’inclut Solana ni Aptos. La cause n’est toujours pas confirmée.

Des pirates ont pris le contrôle des adresses web de projets DeFi tard dans la soirée du vendredi 30 octobre, heure américaine, soit tôt le samedi en UTC, et s’en sont servis pour livrer un kit de vidage de portefeuilles à des internautes qui avaient pourtant saisi la bonne URL. Name.com affirme que 15 domaines de clients ont été touchés dans ce piratage DNS, a rapporté The Block, tandis que la société de sécurité Blockaid a nommé 12 sites ; aucune source que nous avons lue ne donne la liste des 15 ni ne concilie les deux chiffres. Les estimations de pertes varient selon la méthode : environ 138 000 $ sur les chaînes EVM dans le décompte de The Block, et 202 386 $ dans celui de Bitquery. Aucune n’inclut Solana ni Aptos.

Kintsu, Origami, FluxBeam et StonkFun affirment que leurs contrats onchain n’ont pas été touchés, et Longbow dit la même chose des siens. Ce qui a changé, c’est le chemin entre un nom de domaine et le site qui se trouve derrière. Environ 16 heures après le moment où le premier site est apparu compromis, Name.com a déclaré sur X à 17 h 13 UTC samedi qu’« un certain nombre de domaines chez name.com ont été redirigés de manière abusive vendredi soir, dans le cadre d’un plan visant à accéder aux portefeuilles crypto des visiteurs ». Le registrar ajoute que les domaines concernés sont rétablis et que l’enquête se poursuit. blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">Il n’a pas dit comment les redirections ont été réalisées.

Name.com compte 15 domaines, mais ne donne aucun point d’entrée

Avant ce message, la seule réaction publique rapportée du registrar était une réponse sur X à 04 h 27 UTC, qui invitait deux utilisateurs à remplir son formulaire de signalement d’abus, selon The Block. Le média indique que l’adresse de presse de Name.com n’a pas accepté sa demande de commentaire, et que la maison mère Identity Digital n’avait pas répondu. La déclaration de Name.com sur X ne cite aucun domaine et ne donne aucun chiffre : elle ne relie donc pas, à elle seule, le registrar à chacun des 12 sites.

Les enregistrements de domaine, eux, le font. Coindaro a consulté les registres publics à 17 h 55 UTC samedi, via RDAP et, pour flap.sh de Flap, via le serveur WHOIS du .sh : les 12 domaines indiquent Name.com, Inc. comme registrar, ce qui rejoint la vérification de The Block. Un registrar commun est une piste, pas une conclusion. FinanceFeeds fait la même remarque : cela n’établit pas que les systèmes propres de Name.com ont été piratés.

Le chiffre est arrivé plus tard samedi. Dans une mise à jour publiée à 19 h 37 UTC, The Block a rapporté que Name.com comptait 15 domaines de clients touchés. Un porte-parole a expliqué au média que Name.com avait « identifié une activité non autorisée tard vendredi 30 octobre », qu’il avait rétabli tous les domaines concernés et qu’il travaillait avec les titulaires des comptes. « Nous poursuivons l’enquête et avons pris des mesures pour sécuriser les comptes concernés », précise la déclaration. Le message de Name.com sur X invitait aussi ses clients à vérifier leurs enregistrements DNS et à activer l’authentification à deux facteurs, selon The Block.

Aucune liste n’accompagne ce chiffre. Sans les 15 noms, impossible de le comparer aux 12 sites de Blockaid, et aucune source que nous avons lue n’explique l’écart. Le blog de Name.com ne comportait aucun article sur l’incident quand nous l’avons consulté le 2 novembre ; son dernier billet date du 23 octobre.

Comment le piratage DNS a touché des utilisateurs qui avaient tapé la bonne adresse

Le DNS est l’annuaire du web. Il indique à un navigateur quel serveur se cache derrière un nom comme pickle.finance. Si l’on modifie cette entrée à la source, le nom reste correct alors que la destination est fausse : un favori ou une URL saisie avec soin n’offre aucune protection. Il n’y a pas de domaine imitateur mal orthographié à repérer.

Flap a écrit sur X que son site « redirigeait vers un site non autorisé ». Le chercheur en sécurité Ogle a décrit un script injecté qui envoyait les visiteurs cliquant sur le bouton de connexion vers une page de drainer, d’après crypto.news. Blockaid affirme que les sites « servaient activement le Step Drainer ».

Step Drainer est un logiciel malveillant vendu comme un service. Il fonctionne en poussant un visiteur à approuver un transfert ou à signer un message piégé après la connexion de son portefeuille. LevelBlue SpiderLabs l’a décrit en avril : il se vendrait environ 750 $ avec son code source complet, ou environ 150 $ plus 20 % de chaque vol, a rapporté The Block. Crypto Briefing écrit qu’il fonctionnerait sur plus de 20 réseaux. Le kit n’a besoin de la clé privée de personne. Le préjudice dépend de ce qu’un utilisateur approuve ou signe, et une approbation reste valable après la fermeture de l’onglet.

La liste de Blockaid : 12 sites, et pourquoi les autres listes diffèrent

Nous nous appuyons sur les publications de Blockaid elles-mêmes, ouvertes sur X, plutôt que sur les versions relayées par les médias. Sa première alerte, à 02 h 21 UTC samedi, citait flap.sh, kintsu.xyz et stonkbrokers.cash. À 02 h 54 UTC, l’heure que donne The Block pour l’alerte, il a modifié ce message et retiré stonkbrokers.cash. Le fondateur de StonkBrokers a qualifié l’alerte de faux positif et précisé que ce domaine n’était pas le site officiel de la plateforme, a rapporté EconoTimes. Des copies de l’avertissement d’Ogle portaient aussi ce nom, note crypto.news, ce qui explique le 13e site de certaines listes. À 03 h 16 UTC, Blockaid a ajouté dix domaines. L’article de The Block en nomme huit sur les 12.

Le tableau porte sur les 12 sites de Blockaid tels que nous les avons lus le 31 octobre, pas sur les 15 domaines comptés par Name.com. Il faut lire la colonne des serveurs de noms avec prudence. Elle montre vers quoi pointe chaque domaine aujourd’hui, pas vers quoi il pointait vendredi : elle ne permet donc pas de dire quelle configuration a été visée. Crypto Briefing écrit que les domaines détournés dépendaient tous des serveurs de noms de Name.com et que certaines équipes ont repris la main en passant chez Vercel et Cloudflare. The Block et FinanceFeeds décrivent au contraire une configuration mixte entre Cloudflare, Vercel et Name.com. « Aucune déclaration trouvée » signifie seulement que nos recherches n’ont rien donné.

Dix domaines ont été placés en « client hold » à 12 h 32 UTC samedi, a rapporté The Block : c’est un statut posé par le registrar, qui empêche un nom de résoudre. Flap et Kintsu n’en faisaient pas partie. En soirée, ces blocages avaient disparu : aucun des 12 enregistrements ne portait ce statut à 17 h 55 UTC. Onze avaient été modifiés pour la dernière fois entre 14 h 22 et 16 h 06 UTC, et flap.sh à 06 h 30 UTC. Un domaine qui répond n’est pas un feu vert du projet, et le tableau montre combien peu en ont donné un.

Deux estimations, 138 000 $ et 202 386 $, et aucune ne compte Solana ni Aptos

The Block a trouvé environ 138 000 $ dans trois portefeuilles d’attaquants tard samedi matin, heure américaine, surtout en MON et en ETH de Robinhood Chain. Le butin était réparti selon des parts fixes de 15 %, 55 % et 30 %. Sur Monad, deux portefeuilles ont racheté des MON stakés de Kintsu et retiré des fonds du marché de prêt Neverland. Sur Robinhood Chain, un portefeuille a retiré de Morpho des actions tokenisées, dont NVDA et AAPL, et les a échangées contre de l’ETH.

Une autre piste commence plus tôt. Entre 01 h 00 et 01 h 42 UTC, quatre portefeuilles ont envoyé des fonds vers un portefeuille multisig Safe sur BNB Chain, qui a reçu environ 3,1 BNB, soit à peu près 2 200 $ selon l’estimation de The Block. Environ 2,27 BNB s’y trouvaient encore samedi matin.

Bitquery, une société de données blockchain, arrive à un autre chiffre par une autre voie. Son rapport du 31 octobre compte ce que chaque victime a perdu, au prix du moment de chaque vidage : 202 386 $ pris à 32 portefeuilles sur six chaînes, entre 01 h 00 et 05 h 33 UTC. Un staker de Kintsu sur Monad a perdu 160 531 $, soit environ 79 % du total, et deux portefeuilles concentrent 96 % des pertes. Quinze autres portefeuilles ont perdu moins de 1 $ chacun et ne figurent pas parmi les 32.

Nous n’additionnons pas ces deux chiffres et n’en faisons pas la moyenne : ils ne mesurent pas la même chose. Celui de The Block est un solde, ce que détenaient trois portefeuilles d’attaquants. Celui de Bitquery part des victimes, et la société indique que ces portefeuilles détenaient environ 139 000 $ ce soir-là. L’essentiel de l’écart, d’après Bitquery, vient d’environ 56 600 $ de stake Kintsu volé, toujours en attente et non réclamé dans la file de déstaking de Kintsu. Si les contrats de Kintsu permettent à l’équipe de bloquer ou d’annuler une demande, écrit Bitquery, cet argent pourrait encore être arrêté ; les sources que nous avons lues ne disent pas si c’est le cas.

Bitquery présente ses propres chiffres comme un plancher, car un contrat collecteur qui aurait reçu des fonds sans jamais les reverser lui échapperait. La société précise aussi qu’une variation de 10 % du MON déplace son total d’environ 16 300 $. Elle retrouve la même répartition de 55 %, 30 % et 15 % que The Block. Elle voit aussi dans le Safe de BNB Chain le collecteur du drainer, pas un coffre-fort : cette adresse a reversé trois paiements en quelques secondes et détenait encore 2,27 BNB ce soir-là.

Aucun de ces chiffres n’est la facture complète. FluxBeam, StonkFun et StakePoint tournent sur Solana et Echelon sur Aptos, et The Block comme Bitquery laissent ces chaînes de côté ; Bitquery précise qu’aucune adresse de drainer n’a été publiée pour elles. Aucun projet n’a publié de nombre de victimes, aucun attaquant n’a été identifié et aucune perte totale n’a été confirmée. FluxBeam fait état d’« aucun signalement d’utilisateurs touchés » et StonkFun dit n’« avoir connaissance de personne de touché ». Les transferts sur BNB Chain relevés par The Block montrent qu’au moins quatre portefeuilles ont bien envoyé de l’argent, et Bitquery en compte sept vidés sur cette chaîne.

La chronologie de samedi, convertie en UTC

L’heure de la côte Est américaine, celle qu’utilise The Block, avait quatre heures de retard sur l’UTC à ces dates, et Paris une heure d’avance. Les heures des messages viennent de X ; la fenêtre des vidages est celle de Bitquery ; les autres sont celles de The Block.

Cause toujours pas confirmée : Vercel et Name.com sont soupçonnés, rien n’est prouvé

Personne n’a montré par où les attaquants sont entrés. Les soupçons visent deux entreprises, et ils viennent de projets touchés. Kintsu a écrit que kintsu.xyz était « enregistré via @vercel Domains » et détourné au niveau du registrar, y voyant une apparente attaque de la chaîne d’approvisionnement, et a déclaré à The Block : « C’est arrivé du côté de Vercel, hors de notre contrôle. » Longbow a avancé la même chose : « Le détournement s’est produit chez @vercel Domains, le registrar de longbow[.]cash ». Origami a d’abord évoqué « une attaque active contre les serveurs de noms associés à Vercel », puis dit attendre « l’analyse de la cause racine de Vercel / name[.]com », deux citations rapportées par The Block.

Les deux noms pourraient désigner une seule et même voie. Name.com a indiqué en décembre 2025 que Vercel l’avait choisi comme registrar pour son service de domaines reconstruit, selon The Block : un domaine acheté via Vercel afficherait donc Name.com dans les registres publics. Cela cadre avec ce que nous avons lu, mais ne montre pas que chaque domaine touché est passé par Vercel. Punkquidity a dit à The Block ne pas pouvoir encore déterminer « si c’est Name.com lui-même ou un revendeur comme Vercel qui en est responsable ». Le dernier message de Kintsu que nous avons lu, à 05 h 27 UTC, dit seulement que l’équipe travaille encore avec son registrar pour confirmer la cause.

Vercel s’est exprimé depuis. Un bulletin daté du 31 octobre sur son site indique : « Nous avons connaissance de 10 domaines associés à Vercel qui ont été touchés. » Il présente Name.com comme « un partenaire d’enregistrement de domaines », explique que celui-ci enquête sur une campagne de prise de contrôle visant des sociétés crypto et a rétabli ces domaines, et précise que Vercel est en contact avec les clients concernés et participe à l’enquête. La mention « aucune action n’est requise de la part des clients » s’adresse aux clients de Vercel, pas à ceux qui ont connecté un portefeuille.

Le bulletin n’explique pas comment la prise de contrôle a fonctionné, ne dit pas si les systèmes de Vercel étaient en cause et ne cite pas les 10 domaines. Aucune source que nous avons lue n’indique qu’il s’agit des dix domaines placés en « client hold », et un fait va plutôt dans l’autre sens : Kintsu, qui dit avoir enregistré son domaine via Vercel, n’était pas bloqué.

La position de Name.com sur la responsabilité n’est connue que de seconde main. Cloakd, le développeur de FluxBeam, a écrit sur X que son interlocuteur chez Name.com « soutient que ce n’est pas eux mais les émetteurs tiers », a rapporté The Block. C’est le récit d’un échange privé par un seul projet, et les déclarations publiées de Name.com ne disent pas cela. Le rapport de Bitquery considère lui aussi que la cause n’est pas confirmée.

Avant ce bulletin, Vercel n’avait fait aucun commentaire public samedi matin, heure américaine, et n’avait pas répondu à The Block. Son historique de statut n’indiquait aucun incident pour les 30 ou 31 octobre quand nous l’avons consulté vers 17 h 55 UTC, et sa page de bulletins de sécurité n’en mentionnait alors aucun sur le sujet. Vercel a révélé une intrusion interne en avril 2026, liée à un outil d’IA tiers compromis ; aucune source que nous avons lue ne relie cet épisode à cette vague.

Que faire si vous avez connecté un portefeuille les 30 ou 31 octobre

La fenêtre de Kintsu est la plus précise publiée : toute personne qui s’est connectée ou a signé depuis environ 00 h 00 UTC le 31 octobre devrait révoquer ses approbations et déplacer ses fonds. Le fondateur de Flap a dit que les connexions antérieures à l’incident n’étaient pas concernées, selon EconoTimes. Ces deux fenêtres valent pour un projet précis : appliquez-les au site que vous avez utilisé.

• Restez à l’écart des domaines listés tant que le projet lui-même n’a pas publié de feu vert sur ses comptes officiels, même si le site paraît normal. Longbow a prévenu que certains réseaux peuvent afficher le site malveillant jusqu’à une heure, le temps que les caches DNS se vident.
• Vérifiez dans l’historique récent de votre portefeuille, sur chaque chaîne que vous utilisez, les transferts que vous ne reconnaissez pas. Sur les sites Solana ou Aptos, lisez la liste d’activité de votre portefeuille et regardez si votre outil de gestion des approbations couvre ce réseau.
• Examinez et annulez les approbations de jetons que vous ne reconnaissez pas. Kintsu a renvoyé ses utilisateurs vers Revoke.cash, et notre guide pour utiliser un DEX en sécurité explique comment les vérifier et les révoquer. Chaque révocation est une transaction qui coûte du gaz ; elle empêche les transferts futurs sans rendre ce qui a déjà été pris.
• Si vous avez signé quoi que ce soit de suspect, déplacez ce qui reste vers un nouveau portefeuille doté d’une nouvelle phrase de récupération, car un message signé peut ne pas apparaître dans une liste d’approbations. Kintsu a demandé à ses utilisateurs de révoquer et de déplacer leurs fonds.

FinanceFeeds rappelle que connecter un portefeuille ne signifie pas à lui seul que les fonds sont perdus, mais qu’une approbation malveillante peut autoriser un transfert longtemps après la visite. Un portefeuille matériel n’y change rien : si vous signez, la signature est valable. Notre guide pour éviter les arnaques crypto couvre les réflexes plus larges, à commencer par lire ce que le portefeuille affiche avant de confirmer.

Les registrars ont déjà été un maillon faible de la DeFi

Galxe a été touché en octobre 2023 via le registrar Dynadot. Le 1er novembre 2023, Frax Finance a perdu la maîtrise de frax.finance et frax.com, eux aussi enregistrés chez Name.com, qui a ensuite confirmé qu’ils pointaient de nouveau vers les bons serveurs de noms. En juillet 2024, le site de Compound, sur un domaine enregistré chez Squarespace, a été redirigé vers une page de phishing, tandis que Celer disait avoir intercepté une tentative de prise de contrôle. Curve a changé de domaine en mai 2025 après que des attaquants ont redirigé son site vers un clone voleur, et Aerodrome et Velodrome ont subi un détournement similaire en novembre 2025.

L’audit d’un smart contract ne couvre rien de tout cela. Cette vague a atteint au moins 12 projets sur plusieurs chaînes en environ deux heures, entre le premier signalement sur Flap et la deuxième liste de Blockaid. Un point de défaillance commun l’expliquerait, mais personne n’en a établi l’existence.

La suite

Name.com a promis des mises à jour dans son fil sur X, et c’est là qu’apparaîtraient en premier une cause racine, la liste des 15 domaines ou le point d’entrée. Les coffres d’Origami sont le dossier ouvert le plus visible : le titre de The Defiant indique que son DNS est rétabli mais que ses coffres restent suspendus. Deux chiffres sont aussi attendus : un total pour Solana et Aptos, et un nombre de victimes de la part de l’un des 12 projets.