Project 0 signale les pertes des utilisateurs suite à un détournement de domaine dans le contexte d'une augmentation des pertes sur Ethereum

Dans une alerte partagée par MacBrennan Peet, fondateur de Project 0 (P0), l'exécutif s'est engagé à rembourser intégralement les pertes confirmées après que des attaquants ont infiltré son système pour rediriger les visites des utilisateurs de son site web vers un site de vol de cryptomonnaies.

Le message de MacBrennan a confirmé qu'au moins un utilisateur a perdu 1 000 $ lorsqu'il a essayé le nouveau site « par curiosité ».

L'incident de sécurité ciblant Project 0 s'ajoute à un nombre record de vols de cryptomonnaies par des acteurs malveillants exploitant la mise à jour Fusaka, qui était censée rendre les frais de transaction négligeables pour les utilisateurs du réseau Ethereum, s'ajoutant à une série d'attaques ciblant les lieux riches en liquidités.

Project 0 signale le dernier détournement de domaine DeFi

Selon le divulgation par MacBrennan, les attaquants ont obtenu l'accès au compte GitHub d'un membre de l'équipe de l'application, ce qui leur a permis de rediriger les visites des utilisateurs entre 21 h 45 et 22 h 19. 

Bien qu'il n'ait pas précisé son fuseau horaire, les utilisateurs qui ont essayé de visiter le site web de Project 0 pendant la fenêtre d'attaque de 40 minutes ont été redirigés vers un autre site web qui a entraîné la perte d'au moins 1 000 $. 

Selon les données de Defillama, Project 0, un courtage en gros natif DeFi qui permet aux utilisateurs d'emprunter contre l'ensemble de leur portefeuille DeFi sur plusieurs plateformes, détient actuellement près de 90 millions de dollars de valeur totale bloquée (TVL), atteignant un pic supérieur à 110 millions de dollars depuis le début du suivi à la fin de 2025. Le projet revendique également le soutien de Multicoin, Pantera et Solana Ventures. 

Ce niveau d'activité et ce statut, bien qu'attractifs pour les utilisateurs, constituent également une cible pour les attaquants à la recherche de cibles à haute valeur. 

Cryptopolitan a rapporté que OpenEden et BonkFun a subi des attaques similaires lorsque les attaquants ont compromis les domaines enregistrés au nom des projets. 

Dans les deux cas, l'attaque n'a pas affecté les coffres-forts des projets ni les positions des utilisateurs, car les dégâts dans ce type d'attaques sont généralement limités aux visiteurs du site web pendant la fenêtre d'exploitation, qui est généralement rapidement atténuée par des équipes réactives. 

Bien que le montant exact perdu reste non confirmé, MacBrennan s'est engagé à étendre l'aide au remboursement à toute autre perte client vérifiée survenue lors de l'attaque. 

Les utilisateurs d'Ethereum deviennent la cible d'attaques par empoisonnement d'adresse

Lorsque les développeurs d'Ethereau ont déployé la mise à jour Fusaka en décembre 2025, ils ont présenté cette mise à jour comme le « boss final » pour rendre les transactions sur le réseau principal abordables. 

Ce qu'ils n'avaient pas prévu, c'est qu'elle deviendrait la dernière pièce du puzzle pour les attaquants traquant les cibles à haute valeur dans l'écosystème Ethereum riche en liquidités, qui détient près de 60 milliards de dollars dans les protocoles DeFi et plus de 160 milliards de dollars de capitalisation boursière en stablecoins.  

Le compte officiel Etherscan sur X a dénoncé la menace croissante dans son article « Les attaques par empoisonnement d'adresse augmentent sur Ethereum ». Le rapport citait une étude de 2025 comparant les tentatives d'empoisonnement avant et après la mise à jour Fusaka pour mettre en évidence la prolifération de ces attaques depuis la mise à jour de décembre. 

Les transferts de poussière, qui sont de petits dépôts (inférieurs à 0,01 $) destinés à remplacer les adresses dans l'historique des transactions des utilisateurs par des portefeuilles contrôlés par les attaquants, ont suivi la tendance à mesure que l'activité des transactions sur le réseau principal Ethereum augmentait d'environ 30 % dans l'ensemble dans les 90 jours suivant la mise à jour Fusaka, avec une augmentation concomitante de 78 % des nouvelles créations d'adresses. 

Tableau comparant le taux des attaques par empoisonnement d'adresse avant et après la mise à jour Fusaka. 

C'est un jeu de chiffres

Cryptopoitan a a rapporté plusieurs pertes de haut profil face au nouveau fléau des utilisateurs d'Ethereau, avec le Perte de 50 millions de dollars de décembre ayant créé la plus grande une. Apparemment, la victime de l'incident a envoyé 50 $ dans une transaction de test pour s'assurer qu'elle avait la bonne adresse. 

Cependant, pendant le temps nécessaire pour tester l'adresse et initier le transfert réel de 50 millions de dollars, les acteurs malveillants ont ponctué l'historique des transactions de l'expéditeur avec leurs propres transferts de poussière, ce qui a finalement conduit à la perte. 

Cet incident met en évidence l'échelle et la vitesse de ces opérations, car les attaquants rivalisent effectivement pour empoisonner les adresses de leurs victimes potentielles. Comme l'a souligné Etherscan, « seulement deux transferts de stablecoins » par un utilisateur de son service ont déclenché « plus de 89 e-mails d'alerte de surveillance d'adresse ». 

Seulement environ 1 tentative sur 10 000 est couronnée de succès, mais lorsque l'on compare les 79 millions de dollars de pertes confirmées sur 17 millions de tentatives ciblant environ 1,3 million d'utilisateurs, les mathématiques jouent en faveur de ces attaquants, qui engagent moins de 1 $ par tentative.