Détournement DNS de Kintsu (campagne StepDrainer)

Le 31 octobre 2026, Kintsu — le protocole de liquid staking sur Monad — a averti ses utilisateurs que son site web avait été détourné au niveau du DNS et redirigé vers une page malveillante siphonnant les wallets. La société de sécurité Blockaid a indiqué que cette activité s'inscrivait dans une campagne coordonnée StepDrainer qui visait également les front ends de Flap et StonkBrokers. Aucun montant de perte n'a été communiqué et les smart contracts des protocoles n'ont jamais été touchés.

Ce qui s'est passé

Kintsu a déclaré que la compromission était un détournement DNS au niveau de son registrar de domaine, et non une intrusion dans ses propres systèmes : l'attaquant a modifié les enregistrements pointant kintsu.xyz vers ses serveurs, de sorte que les visiteurs étaient discrètement redirigés vers un front end cloné embarquant un siphonneur de wallet. Blockaid a signalé des attaques de front end présumées sur trois dApps à la fois — Kintsu, la plateforme de jetons Flap et StonkBrokers — en rattachant l'activité au kit StepDrainer. Les pages injectées ciblaient le flux « Connect Wallet » : les utilisateurs qui se connectaient et approuvaient des transactions sur les sites falsifiés pouvaient voir leurs actifs siphonnés via des demandes malveillantes d'approbation et de signature. Selon Kintsu, toute personne ayant connecté un wallet ou signé une transaction à partir de 20 h ET le 30 octobre (00:00 UTC, 31 octobre) se trouvait dans la fenêtre d'exposition, et l'équipe a averti que les caches DNS pouvaient continuer d'acheminer certains utilisateurs vers la page malveillante jusqu'à une heure après le rétablissement des enregistrements corrects.

Conséquences

Kintsu a exhorté les utilisateurs à éviter le site, révoquer toute approbation via un outil tel que Revoke et déplacer leurs actifs, en précisant qu'un suivi serait publié une fois la sûreté du site vérifiée. Flap a indiqué avoir mis hors ligne ses front ends affectés et travailler avec Blockaid, l'hébergeur Vercel et le registrar Name.com ; son fondateur a confirmé que l'équipe coordonnait la réponse. StonkBrokers n'a été cité que comme un site sous enquête. L'enquête de Blockaid restait ouverte au moment de la publication, sans montant de perte ni nombre de victimes confirmés. Comme l'attaque s'est déroulée entièrement au niveau du DNS et du service web, les contrats on-chain des trois protocoles n'ont pas été affectés — le risque se limitait aux utilisateurs ayant interagi avec les front ends falsifiés.

Pourquoi c'est important

L'épisode est une attaque manuel de détournement DNS vers siphonneur de wallet, le même schéma qui a frappé Curve Finance en 2022 : compromettre le domaine ou son registrar, servir un clone au pixel près et laisser les utilisateurs signer eux-mêmes la sortie de leurs fonds. Elle est survenue la même semaine que la compromission de front end par chaîne d'approvisionnement de Polymarket, renforçant un thème récurrent du catalogue — à savoir que la couche web, et non le smart contract, est désormais une surface d'attaque majeure dans la DeFi. Les prises de contrôle au niveau du registrar sont particulièrement dangereuses car elles contournent toute protection on-chain et tout audit : les contrats peuvent être irréprochables pendant que les utilisateurs sont siphonnés via un front end hostile. Le caractère coordonné et multiprotocole de la vague StepDrainer montre aussi comment un seul kit siphonneur peut viser d'un coup les front ends de tout un écosystème.