Comment sécuriser les domaines d'un protocole DeFi ?

Qu'est-ce qui tourne mal au niveau du domaine dans la DeFi ?

Un attaquant qui contrôle le domaine contrôle ce que chaque utilisateur signe. Les contrats restent intacts, de sorte que les audits et les programmes de bug bounty ne le détectent pas.

Le schéma est constant dans les incidents ci-dessus. L'avis de Curve du 12 mai 2025 indique que les utilisateurs ont été redirigés vers un leurre statique copiant la page d'accueil et demandant des signatures, les contrats et les données des utilisateurs n'étant pas compromis. Blockaid, qui a suivi le groupe de février 2026, a rapporté que les attaquants avaient obtenu des certificats SSL le jour même du changement DNS, et que les utilisateurs de Nerochain avaient été envoyés vers un hôte ressemblant, avec des certificats génériques émis pour le vrai nom.

D'après l'index de Wardmint du 12 novembre 2026, 3 des 7 incidents au niveau du domaine de son tableau depuis 2022 sont datés d'après mai 2025 ; le risque ne recule donc pas. Wardmint vend des enregistrements, pas de la surveillance, et ne peut pas arrêter une prise de contrôle de compte chez un autre registraire ; elle fournit les noms ainsi que les outils et procédures gratuits pour les renforcer.

De quels contrôles un protocole a-t-il besoin sur son domaine principal ?

Quatre contrôles couvrent les défaillances ci-dessus : la sécurité du compte, un verrou, DNSSEC et les enregistrements CAA.

• Compte : utilisez une boîte mail de rôle, un mot de passe long et unique, l'authentification à deux facteurs et aucun identifiant partagé. Voir le guide sécuriser un domaine contre le détournement DNS.
• Verrou : un verrou de transfert empêche un passage chez un autre registraire. Un verrou de registre, que Verisign propose pour .com et .net via des registraires participants, bloque aussi les modifications DNS et de propriété faites avec les seuls identifiants. Wardmint ne propose pas de verrou de registre ; une équipe qui en a besoin pour son .com principal doit détenir ce nom chez un registraire qui en propose un.
• DNSSEC : activez DNSSEC pour que les résolveurs puissent détecter les réponses falsifiées. Cela ne sert à rien si le compte du registraire lui-même est compromis.
• CAA : configurez les enregistrements CAA pour que seule l'autorité de certification choisie puisse émettre des certificats pour le domaine.

Wardmint fournit hébergement DNS gratuit avec enregistrements A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV et CAA, DNSSEC géré, et vos propres serveurs de noms si vous préférez (2 à 13) pour la zone.

Quelles variantes un protocole DeFi devrait-il enregistrer ?

Enregistrez votre nom exact sur les extensions que vos utilisateurs pourraient essayer, plus les fautes de frappe et les mots de la finance qui correspondent à votre produit. Pour un protocole, les ensembles utiles sont l'ensemble de base (.com, .net, .org, .io, .xyz, .app, $128.94 par an), l'ensemble de lancement (.com, .io, .xyz, .app, .finance, .network, $195.94 par an) et les mots de la finance (.finance, .exchange, .money, .cash, .capital, .fund, $296.94 par an).

Faites pointer chaque variante vers le site principal avec la redirection d'URL gratuite, et appliquez le modèle DNS « sans e-mail » aux noms inutilisés pour qu'ils ne puissent pas envoyer de courrier au nom de votre marque. Wardmint enregistre les variantes propres d'un protocole pour ce protocole ; elle n'enregistre pas de noms ressemblant à celui d'un autre projet. Le calendrier d'un lancement figure dans quels domaines enregistrer avant le lancement d'un jeton.

Que doit préparer le protocole avant un incident ?

Préparez une adresse provisoire, un canal d'état et un contact chez le registraire avant d'en avoir besoin. Après le détournement du 12 mai 2025, Curve a déplacé les utilisateurs vers curve.finance comme point d'accès officiel provisoire. Une adresse provisoire n'est possible que si un second domaine est déjà enregistré, ce que fournit un ensemble défensif.

Rédigez dès maintenant la procédure : qui peut modifier le DNS, qui peut joindre le support du registraire, comment on dit aux utilisateurs d'arrêter de signer, et comment la révocation des autorisations est expliquée. La liste des cas passés et de ce que chacun a enseigné figure dans Quels projets crypto ont fait perdre des utilisateurs à cause du détournement DNS ?.