Réponse rapide
Que faire quand un site de phishing usurpe votre projet ?
Quand un site de phishing usurpe votre projet, vérifiez d'abord que votre propre domaine résout toujours correctement, puis prévenez les utilisateurs depuis des canaux vérifiés en donnant votre vraie adresse, signalez le site à son registraire et à son hébergeur en parallèle, et renouvelez tout accès qu'un attaquant pourrait détenir. Chainalysis a compté une hausse d'environ 1,400 % des arnaques par usurpation d'identité en 2025. Wardmint agit dans les 24 heures suivant un signalement bien documenté.
La première heure, minute par minute
| Fenêtre | Action | Propriétaire |
|---|---|---|
| 0 à 10 minutes | Confirmer le faux, vérifier votre propre DNS, désigner un responsable d'incident | Responsable sécurité |
| 10 à 25 minutes | Publier un avertissement sur chaque canal vérifié avec la vraie adresse ; suspendre toute campagne de signature | Responsable de la communauté |
| 25 à 40 minutes | Envoyer le dossier de preuves au registraire et à l'hébergeur ; signaler l'URL sur les listes d'alerte | Responsable sécurité |
| 40 à 60 minutes | Vérifier l'accès au compte du registraire, renouveler les mots de passe et la 2FA, passer en revue les enregistrements DNS | Responsable des opérations |
| Après la première heure | Suivre les signalements, informer les utilisateurs, décider d'une plainte UDRP | Responsable d'incident |
La liste de contrôle de la première heure
Distinguer un sosie d'un détournement
Exécutez la vérification DNS ci-dessous. Un sosie est un autre domaine ; les utilisateurs qui ont tapé ou cliqué par erreur y sont arrivés. Un détournement signifie que votre propre domaine pointe désormais ailleurs, et le cas est une urgence auprès de votre registraire.
Désigner un seul responsable d'incident
Une seule personne gère le calendrier, le dossier de preuves et chaque message sortant. Les autres exécutent ; ils n'improvisent pas.
Prévenir les utilisateurs depuis des canaux de confiance
Publiez la vraie adresse sur la bannière de votre site, vos comptes sociaux, votre serveur communautaire et les canaux d'intégration des portefeuilles. Dites clairement : ne signez jamais une demande provenant d'une autre adresse. Écrivez la fausse adresse désactivée, par exemple example[.]com, pour que personne ne clique dessus.
Lancer les signalements en parallèle
Registraire et hébergeur d'abord, puis Safe Browsing, Netcraft, Chainabuse et les listes de blocage des portefeuilles. Le guide de signalement contient les commandes RDAP.
Verrouiller vos propres accès
Passez en revue les connexions au compte du registraire, au fournisseur DNS et à l'hébergement. Renouvelez les mots de passe, remplacez la 2FA par SMS par une clé matérielle, et vérifiez les enregistrements DNS ligne par ligne. Voir comment protéger votre compte de registraire contre la prise de contrôle.
Aider les utilisateurs qui ont déjà signé
Dites-leur de transférer les fonds restants vers un nouveau portefeuille, d'examiner et de révoquer les autorisations de jetons avec un vérificateur d'autorisations d'explorateur de blocs, et de vous envoyer le hash de la transaction. Ne promettez pas de remboursement dans le premier message.
dig +short NS yourdomain.com
dig +short A yourdomain.com
dig +short TXT yourdomain.com
curl -sL https://rdap.org/domain/yourdomain.com | jq '{status: .status, nameservers: [.nameservers[].ldhName], changed: [.events[] | select(.eventAction=="last changed") | .eventDate]}'
# compare with the values you recorded in your runbook; a changed nameserver or a new "last changed" date you did not make is a hijackComment distinguer un site sosie d'un détournement de votre propre domaine ?
Si votre domaine résout toujours vers vos serveurs et que ses serveurs de noms sont les vôtres, le faux se trouve sur un autre domaine. La vérification prend moins d'une minute avec les commandes ci-dessus. Un sosie signifie que l'attaquant détient un autre domaine et compte sur les fautes de frappe des utilisateurs, un clic sur une publicité ou un lien suivi.
Un détournement est différent. Le 12 mai 2025, le domaine de Curve Finance a été redirigé au niveau du registraire vers 20:55 UTC ; l'équipe l'a découvert à 21:20 UTC et a demandé aux utilisateurs d'utiliser curve.finance comme adresse provisoire, en précisant que les contrats et les données des utilisateurs n'étaient pas touchés. Dans la soirée du 30 octobre 2026, les domaines d'une douzaine de front-ends DeFi enregistrés chez Name.com ont été redirigés vers un kit de drainer, et The Block a rapporté que dix domaines avaient été suspendus à 8:32 a.m., heure de la côte Est, le lendemain matin. En cas de détournement, appelez votre registraire avant toute autre chose.
Que doit dire l'avertissement aux utilisateurs ?
Un bon avertissement donne la vraie adresse, dit quoi refuser et ne désigne personne comme coupable. Limitez-le à quatre lignes : ce qui s'est passé, l'unique adresse officielle, la consigne de rejeter toute demande de signature provenant d'une autre adresse, et l'heure de la prochaine mise à jour.
Ne mettez pas de lien vers le faux site. Ne devinez pas les pertes. L'avis de Curve de mai 2025 est un modèle du genre : il disait ce qui avait été redirigé, quelle adresse utiliser, et que les contrats n'étaient pas touchés. Épinglez l'avis sur chaque canal et modifiez-le sur place quand les faits changent, avec l'heure de chaque modification. L'étape à plus long terme est un lot défensif de vos propres variantes pour que les faux évidents ne soient pas à vendre à un attaquant.
Que faire des signalements et des preuves ?
Envoyez un seul dossier de preuves à chaque destinataire dans la même heure. Le dossier contient l'URL, des captures d'écran datées, la demande de signature, les adresses de portefeuille destinataires et la sortie RDAP. L'ordre complet des contacts est dans comment faire retirer un site de phishing qui copie votre dApp.
Tenez un journal de chaque signalement avec son heure, son destinataire et son numéro de référence. Une plainte UDRP ultérieure, une plainte auprès de l'ICANN Compliance ou un dépôt de plainte à la police part de ce journal. Les pertes dues aux drainers sont importantes : ScamSniffer a compté 106,106 victimes et 83.85 millions USD de pertes dues aux drainers de portefeuilles sur les chaînes EVM en 2025 ; un journal propre aide donc les utilisateurs qui déposent leurs propres signalements.
Dans quelle mesure la préparation change-t-elle la première heure ?
Un guide d'intervention écrit fait gagner les minutes dont vous ne disposez pas. Selon le relevé de Wardmint du 12 novembre 2026, son dossier de recherche contient quatre cas de détournement avec une source primaire depuis juillet 2024 : la vague Squarespace (juillet 2024), Curve Finance (mai 2025), un groupe de cinq projets (février 2026) et des clients de Name.com (octobre 2026). Chaque source relie l'attaque à la couche du domaine, du registraire ou du DNS plutôt qu'aux contrats intelligents, bien que la cause d'octobre 2026 soit contestée entre Name.com et Vercel. Notez à l'avance, avant d'en avoir besoin : qui détient la connexion au registraire, où sont conservées les clés 2FA, les enregistrements DNS attendus et le contact pour chaque canal.
Pour le renforcement avant un incident, voir comment sécuriser votre domaine contre le détournement DNS. Support chez Wardmint : réponses par e-mail sous 12 heures, 7 jours sur 7, y compris pour l'aide sur DNSSEC, les enregistrements CAA et les signalements d'abus.
Questions sur les incidents d'usurpation
Dois-je mettre mon vrai site hors ligne pendant un incident ?
Seulement si votre propre domaine est détourné ou compromis. Pour un sosie sur un autre domaine, gardez votre site en ligne et rendez la vraie adresse plus visible.
Dois-je annoncer l'incident publiquement ?
Oui, une fois qu'il est confirmé. Les utilisateurs signent la fausse demande dans les minutes qui précèdent l'annonce : un court avis factuel depuis des canaux vérifiés fait donc plus de bien qu'un rapport complet rédigé plus tard.
Les utilisateurs peuvent-ils récupérer leurs fonds ?
Ne le promettez pas. Dites aux utilisateurs comment protéger les fonds restants et demandez-leur de partager les hashs de transaction ; la récupération dépend de la chaîne, du drainer et de toute action des forces de l'ordre.
Dans quel délai le registraire agira-t-il sur mon signalement ?
Aucun délai ne lie tous les registraires. L'ICANN exige des registraires accrédités qu'ils agissent rapidement face à des preuves exploitables de phishing depuis le 5 avril 2024. Chez Wardmint, l'action intervient dans les 24 heures suivant un signalement bien documenté.
En résumé
- Vérifiez d'abord votre propre DNS : un sosie et un détournement n'appellent pas les mêmes démarches.
- Prévenez les utilisateurs depuis des canaux vérifiés avec la vraie adresse et aucun lien actif vers le faux.
- Envoyez les signalements au registraire et à l'hébergeur en parallèle avec un seul dossier de preuves.
- Renouvelez les accès au registraire, au DNS et à l'hébergement et passez à la 2FA matérielle.
- Chainalysis a compté une hausse d'environ 1,400 % des arnaques par usurpation d'identité en 2025.
- ScamSniffer a compté 83.85 millions USD perdus à cause des drainers de portefeuilles sur les chaînes EVM en 2025.
- Wardmint agit dans les 24 heures suivant un signalement bien documenté.
Sources (7)
- Incident de domaine de Curve — Curve Finance (relevé le 2026-11-12)
- Des pirates détournent une douzaine de sites DeFi, tous enregistrés chez Name.com — The Block (relevé le 2026-11-12)
- Arnaques crypto 2026 : rapport Chainalysis — Chainalysis (relevé le 2026-11-12)
- Rapport 2025 de ScamSniffer : les pertes dues au phishing crypto reculent de 83 % à 84 millions de dollars — ScamSniffer (relevé le 2026-11-12)
- Détournement de front-end et surface d'attaque Web2 — Blockaid (relevé le 2026-11-12)
- Chercheurs : des paramètres de sécurité par défaut faibles ont permis le détournement de domaines Squarespace — Krebs on Security (relevé le 2026-11-12)
- 2024 Global Amendments to the Registrar Accreditation Agreement: DNS abuse — ICANN (relevé le 2026-11-12)