Quels projets crypto ont perdu des utilisateurs à cause d'un détournement DNS ?

Que s'est-il passé pour Curve Finance en 2022 et 2025 ?

Curve a perdu des utilisateurs à cause d'un détournement DNS côté registraire à deux reprises, à près de trois ans d'intervalle. Le 9 août 2022, des utilisateurs ont été redirigés vers un clone qui demandait des signatures de portefeuille ; les médias ont rapporté des pertes d'environ 530,000 $ à 573,000 $ et les chiffres divergent. Le 12 mai 2025, vers 20:55 UTC, la délégation de curve.fi a été modifiée chez le registraire, et Curve l'a découvert à 21:20 UTC. Les utilisateurs ont atteint un leurre statique qui copiait la page d'accueil et demandait des signatures.

L'avis de Curve indique que les contrats n'ont pas été touchés, qu'aucune donnée d'utilisateur n'a été compromise, et que plus de 400 millions de dollars de volume on-chain ont été traités pendant l'interruption. L'équipe a dirigé les utilisateurs vers curve.finance comme adresse officielle provisoire et a qualifié la réponse du registraire de lente. L'avis ne signale aucune perte. La leçon concerne le registraire : quand la délégation change là, tous les enregistrements DNS que vous détenez deviennent sans effet tant que vous n'avez pas récupéré le domaine.

Qu'était la vague Squarespace de juillet 2024 ?

Entre le 9 et le 12 juillet 2024, au moins une douzaine d'organisations, surtout des entreprises crypto, ont vu leurs domaines pris en main après une migration de registraire. Squarespace avait racheté environ 10 millions de domaines à Google Domains en juin 2023 et migrait les clients. Des chercheurs de MetaMask et de Paradigm ont expliqué qu'un attaquant pouvait créer un compte avec une adresse e-mail liée à un domaine migré avant le propriétaire. L'analyse post-incident de Squarespace du 23 juillet a mis en cause une faiblesse des connexions OAuth, corrigée en quelques heures, et a contesté la lecture des chercheurs en affirmant qu'aucun compte à connexion par e-mail non vérifié n'était concerné.

Parmi les victimes nommées dans le rapport de Krebs on Security figurent Celer Network, Compound Finance, Pendle Finance et Unstoppable Domains. Dans certains cas, les domaines détournés redirigeaient les visiteurs vers des sites de phishing visant à voler des cryptomonnaies. La leçon : lors de toute migration de registraire, créez et sécurisez vous-même le compte du nouveau côté, avec l'authentification à deux facteurs activée, avant que quiconque d'autre ne le fasse.

Qu'ont montré les détournements de 2026 ?

Les cas de 2026 montrent des attaquants qui visent les comptes de registraire et le personnel des registraires, pas le protocole. Entre le 16 et le 23 février 2026, Blockaid a suivi cinq compromissions de front-end qui ont diffusé le drainer AngelFerno. OpenEden et Curvance ont été touchés par un transfert de registraire de GoDaddy vers Namecheap. Avantis a perdu son compte Squarespace après que des attaquants ont obtenu des informations de facturation lors d'un appel au support. Les utilisateurs de Nerochain ont été envoyés vers mainnet.live-nerochain.io, avec des certificats génériques émis pour nerochain.io. Dans plusieurs cas, les certificats ont été émis le jour même du changement de DNS.

Le 30 octobre 2026, les domaines d'une douzaine de sites DeFi enregistrés chez Name.com ont été redirigés dans la soirée et chargés avec le kit Step Drainer, a rapporté The Block. Dix domaines ont été suspendus à 8:32 a.m. ET le 31 octobre, et Name.com a dit avoir rétabli tous les domaines concernés et en avoir compté 15 de clients, et non 12. Environ 138,000 $ ont été retracés sur trois portefeuilles EVM, sans pertes sur Solana ni Aptos. Vercel a rattaché dix des domaines à sa plateforme ; Kintsu et Origami ont désigné Vercel, et la cause reste contestée.

Un certificat émis le jour même est la raison pour laquelle surveiller la transparence des certificats pour votre marque fait partie de la défense, à côté des verrous et de la sécurité du compte.

Quel point commun ont ces incidents ?

Dans chaque cas depuis 2022, le point faible était le compte de domaine, le fournisseur DNS ou le processus du registraire, pas les contrats intelligents. Curve, Kintsu, Origami, FluxBeam et StonkFun ont tous dit que leurs contrats on-chain n'avaient pas été touchés. Un détournement change la destination du nom : les utilisateurs qui saisissent la bonne adresse atteignent donc quand même l'attaquant.

Quatre mesures répondent directement à ces cas. La première est un compte qu'on ne peut pas convaincre de réinitialiser : voir comment protéger votre compte de registraire contre la prise de contrôle. La deuxième est un verrou qui bloque les transferts et, lorsque le registre le permet, les modifications faites avec les seuls identifiants : le verrou du registre et le verrou du registraire diffèrent par qui peut les lever. La troisième est la surveillance des certificats et du DNS. La quatrième est un plan écrit pour la première heure, dans comment sécuriser votre domaine contre le détournement DNS.

Wardmint propose un verrou de transfert que vous activez ou désactivez pour chaque domaine dans l'espace client ; le code de transfert (EPP) s'y demande aussi. Il ne propose pas de verrou du registre.

Combien de cas contient le tableau ?

Selon le décompte de Wardmint du 12 novembre 2026, le tableau liste 8 incidents d'avril 2018 à octobre 2026, dont 7 survenus depuis août 2022.

Nous avons écarté des cas de mars et avril 2026 (Neutrl, BonkFun, CoW Swap, eth.limo) parce que nous n'avons pas pu ouvrir leurs sources, ainsi qu'une campagne de phishing par e-mail visant Trezor et Ledger parce qu'elle n'impliquait pas le détournement du domaine propre d'un projet.