Le principal DEX Aerodrome de Base aurait été victime d'une faille de sécurité présumée sur son interface frontend

Un détournement DNS impose un confinement d'urgence du protocole

Aerodrome Finance, la principale plateforme d'échange décentralisée (DEX) sur la blockchain Base, a récemment subi une attaque sophistiquée de détournement DNS qui a compromis son infrastructure de domaines centralisés. Ce piratage a exposé les utilisateurs à des tentatives de phishing ciblant spécifiquement les NFT, ETH et USDC, via des requêtes de signature malveillantes insérées dans l'interface frontend détournée.

L'enquête sur cet incident a commencé quand l'équipe technique d'Aerodrome a détecté une activité anormale sur l'infrastructure de domaine principale, environ six heures avant la diffusion d'alertes publiques auprès de la communauté. Cette détection précoce s'est avérée essentielle pour limiter l'impact potentiel, l'équipe ayant pu activer les mesures d'urgence avant que l'attaque n'atteigne son maximum.

Face à la gravité de la situation, le protocole a immédiatement signalé à son fournisseur de domaines, Box Domains, une compromission potentielle et demandé une réaction urgente. Le détournement DNS est l'un des vecteurs d'attaque les plus redoutés dans l'écosystème DeFi, car il permet de rediriger à leur insu les utilisateurs légitimes vers des sites malveillants, contournant de nombreux dispositifs de sécurité classiques.

En quelques heures, l'équipe a confirmé que ses deux domaines centralisés — extensions .finance et .box — avaient été détournés et restaient sous contrôle des attaquants. Cette compromission double révélait une attaque systématique contre l'infrastructure de Box Domains, plutôt qu'un incident isolé visant une seule plateforme.

Le protocole a alors coupé l'accès à toutes les URL principales afin de limiter l'exposition des utilisateurs à l'interface malveillante. Parallèlement, deux alternatives sécurisées et vérifiées ont été mises à disposition : aero.drome.eth.limo et aero.drome.eth.link. Ces miroirs décentralisés reposent sur l'Ethereum Name Service (ENS), indépendant du DNS traditionnel et intrinsèquement résistant à ce type d'attaque.

Pendant toute la durée de l'événement, l'équipe a insisté sur un point essentiel pour maintenir la confiance des utilisateurs : la sécurité des smart contracts n'a jamais été compromise. La brèche s'est limitée uniquement aux points d'accès frontend, la logique du protocole et les fonds stockés dans les smart contracts n'ayant jamais été menacés. Cette distinction est déterminante pour comprendre la différence entre attaques frontend et exploits de smart contracts.

Dans le même temps, Velodrome — un protocole apparenté à Aerodrome — a fait face à des menaces similaires, poussant son équipe à publier des alertes sur la sécurité des domaines. La synchronisation de ces avertissements laisse supposer une attaque coordonnée contre l'infrastructure de Box Domains, visant plusieurs plateformes DeFi et affectant potentiellement un ensemble plus large de projets utilisant ce fournisseur.

Des utilisateurs rapportent des tentatives agressives de drainage multi-actifs

L'impact concret du détournement DNS est apparu à travers des témoignages d'utilisateurs ayant été confrontés à l'interface malveillante. L'un d'eux a fourni un récit détaillé de son expérience, vécue avant la diffusion des alertes officielles, révélant la sophistication de la méthode d'attaque des pirates.

Le frontend compromis orchestré une attaque trompeuse en deux phases, exploitant la confiance dans l'interface habituelle. Dans un premier temps, le site détourné demandait une signature apparemment anodine, ne comportant que le chiffre « 1 ». Cette demande avait pour but d'établir la connexion initiale du portefeuille et de rassurer l'utilisateur sur la légitimité de l'opération.

Aussitôt la première signature validée, l'interface malveillante déclenchait une succession agressive de demandes d'approbation illimitée visant divers actifs : NFT, ETH, USDC et WETH. Cette approche rapide visait à déstabiliser l'utilisateur et à exploiter la confiance instaurée lors de la première étape, selon un schéma classique d'ingénierie sociale dans les attaques de phishing évoluées.

La victime a fait preuve de rigueur en documentant toute la séquence : captures d'écran et enregistrements vidéo à l'appui. Ces éléments ont permis de retracer chaque étape, de la demande de signature initiale aux multiples essais de drainage, fournissant des preuves clefs pour l'enquête d'Aerodrome et la compréhension globale du risque par la communauté.

Compte tenu de la complexité technique de l'attaque, l'utilisateur a mené sa propre enquête, assisté par IA, passant en revue la configuration du navigateur, les extensions, les paramètres DNS et les points d'accès RPC. Cette analyse méthodique a permis d'écarter d'autres vecteurs avant de conclure que le schéma correspondait bien à un détournement DNS, et non à un malware ou à une compromission du navigateur.

L'incident a aussi fait écho auprès d'un autre membre, qui a partagé une expérience récente de drainage, se présentant comme vétéran crypto et développeur full-stack. Ce témoignage souligne une réalité : même avec une expertise technique avancée et une forte sensibilisation à la sécurité, il reste possible d'être victime de méthodes d'attaque de plus en plus sophistiquées, exploitant des failles subtiles de l'expérience utilisateur.

Malgré son expertise, cet utilisateur a perdu une part significative de ses fonds et a ensuite passé trois jours à élaborer un script sur mesure, basé sur Jito bundle, pour tenter de récupérer les actifs volés par opérations furtives on-chain. Grâce à ces efforts, il a pu récupérer environ 10 à 15 % des fonds, illustrant à quel point la récupération reste difficile, mais aussi le potentiel des contre-mesures techniques si les attaquants laissent des traces exploitables.

Ces expériences mettent en avant la sophistication croissante des attaques frontend, l'importance d'une vigilance accrue, même sur des plateformes connues, et la valeur du partage d'expérience communautaire pour mieux comprendre et contrer les menaces émergentes dans la DeFi.

Le mois écoulé affiche les pertes par piratage crypto les plus faibles de l'année

L'incident Aerodrome s'est produit alors que le marché des cryptomonnaies atteignait un jalon inattendu : le niveau de pertes mensuelles par piratage le plus bas de l'année. Cette tendance fournit un contexte précieux pour évaluer la gravité des incidents dans un environnement global de sécurité en amélioration.

Selon les données de la société de sécurité blockchain PeckShield, seuls 18,18 millions de dollars ont été volés lors de 15 incidents distincts sur la période, soit une chute de 85,7 % par rapport aux 127,06 millions de dollars du mois précédent. Cette baisse marquée suggère que de meilleures pratiques de sécurité, une réponse aux incidents plus efficace et peut-être une activité réduite des attaquants ont contribué à ce résultat.

En analysant plus finement, PeckShield indique qu'en l'absence d'un exploit de fin de mois visant Garden Finance, les pertes totales n'auraient été que de 7,18 millions de dollars, soit le niveau le plus bas depuis début 2023, signalant un possible tournant dans la lutte du secteur contre les menaces de sécurité.

L'analyse montre que trois incidents majeurs ont concentré la majeure partie des pertes : Garden Finance, Typus Finance et Abracadabra totalisent à eux seuls 16,2 millions de dollars dérobés, illustrant à quel point quelques exploits importants peuvent dominer les statistiques mensuelles.

Garden Finance, protocole peer-to-peer Bitcoin, a révélé en fin de mois une perte de plus de 10 millions de dollars après la compromission d'un de ses « solvers », entités spécialisées dans le fonctionnement du protocole. Le projet a précisé que la brèche n'a concerné que l'inventaire du solver compromis, sans affecter les fonds utilisateurs sur les smart contracts, limitant l'impact global.

Typus Finance a été victime à la mi-mois d'une attaque par manipulation d'oracle, ayant drainé environ 3,4 millions de dollars de ses pools de liquidité. L'équipe sécurité a remonté l'exploit à une faille critique d'un contrat TLP (Token Liquidity Pool). L'impact sur le marché a été immédiat, le token natif du projet chutant d'environ 35 % après l'annonce dans les communautés de trading. Les attaques de manipulation d'oracle sont particulièrement préoccupantes dans la DeFi, car elles remettent en cause les mécanismes de prix dont dépendent de nombreux protocoles.

La plateforme DeFi Abracadabra a subi son troisième exploit depuis son lancement, perdant près de 1,8 million de dollars en MIM stablecoin. L'attaque a réussi car les pirates ont trouvé une méthode pour contourner les contrôles de solvabilité via une vulnérabilité de smart contract. La récurrence des exploits sur cette plateforme soulève des questions sur la qualité des audits de sécurité et les difficultés à maintenir un code fiable dans des protocoles DeFi complexes.

Si ces incidents représentent des pertes importantes, ils illustrent aussi la diversité des vecteurs d'attaque qui persistent dans la DeFi : manipulation d'oracle, failles de smart contracts, compromission de solver ou attaques frontend. Le niveau globalement faible des pertes suggère une amélioration, mais la persistance d'exploits majeurs montre qu'il reste encore beaucoup à faire pour sécuriser l'écosystème.

FAQ

Qu'est-ce qu'Aerodrome et quel est son rôle sur la blockchain Base ?

Aerodrome est la DEX principale de Base, permettant l'échange de tokens, la fourniture de liquidité et le yield farming. Elle facilite les transactions et le déploiement de capitaux au sein de l'écosystème Base grâce à son mécanisme de market maker automatisé.

Quelle est la vulnérabilité de sécurité du frontend ? Quel impact sur la sécurité des fonds utilisateurs ?

La faille du frontend a compromis l'interface du DEX, exposant potentiellement les données de session et de transaction des utilisateurs. Toutefois, les fonds sont restés sécurisés dans les smart contracts, la vulnérabilité n'ayant pas touché la couche blockchain. Les utilisateurs ont subi des interruptions temporaires, mais il n'y a pas eu de perte d'actifs directe.

Quelles mesures d'urgence les utilisateurs d'Aerodrome doivent-ils prendre pour protéger leurs fonds ?

Déconnectez immédiatement les portefeuilles de la plateforme, révoquez les autorisations de tokens via les explorateurs blockchain, transférez les actifs vers des portefeuilles en auto-conservation sécurisés, activez la protection multi-signature, surveillez vos comptes pour détecter toute transaction non autorisée et n'utilisez plus l'interface affectée tant que les correctifs de sécurité ne sont pas confirmés comme appliqués.

Quelle est la différence entre une vulnérabilité frontend et une vulnérabilité de smart contract ? Quel risque est le plus important ?

Les vulnérabilités frontend affectent l'interface utilisateur et peuvent permettre le phishing ou le vol de données, tandis que les failles de smart contracts compromettent directement les fonds et transactions on-chain. Les failles de smart contracts présentent un risque supérieur, car elles peuvent entraîner une perte définitive d'actifs, alors que les brèches frontend touchent surtout les informations utilisateur.

Des brèches frontend similaires ont-elles déjà touché d'autres DEX ? Comment les prévenir ?

Oui, plusieurs DEX ont déjà été victimes d'attaques sur le frontend. Les mesures préventives incluent l'usage de wallets matériels, la vérification minutieuse des URLs, l'installation d'extensions de vérification de domaine, le contrôle des enregistrements DNS et l'utilisation exclusive des liens officiels. La sécurité multi-signature et les audits réguliers contribuent aussi à renforcer la protection.

Quelles sont les implications et l'impact de cet incident pour les autres DEX sur Base ?

Cet incident met en avant l'importance cruciale des audits de sécurité frontend pour toutes les plateformes DEX sur Base. Les autres plateformes doivent renforcer leurs dispositifs, mettre en place une protection multicouche et conduire des évaluations régulières afin d'éviter des compromissions similaires et de protéger les actifs des utilisateurs.