Yield Yak suit Gitcoin dans la dernière attaque de draineur de portefeuille

L'entreprise de cybersécurité blockchain Blockaid a détecté une faille front-end sur le site web de la plateforme d'agrégation de rendement DeFi, Yield Yak, le 24 juin 2026. Selon Blockaid, le front-end du site de Yield Yak avait été compromis par des scripts malveillants de vidage de portefeuille. Cela marque la deuxième fois en quelques jours qu'une attaque de cette nature a eu lieu contre une grande plateforme d'échange crypto et s'ajoute à la tendance récente de failles front-end ciblant les grandes plateformes crypto.

Selon le processus de détection de Blockaid, le sous-domaine vote.yieldyak.com avait été compromis avec du code d'un logiciel appelé « Eleven drainer ». Le draineur de portefeuille est un type de script malveillant qui trompe les utilisateurs pour qu'ils envoient leurs actifs numériques à un attaquant via des transactions approuvées par les utilisateurs. Le code malveillant force l'approbation d'actions ou envoie des actifs à un attaquant au moment même où les utilisateurs connectent leurs portefeuilles, et souvent avant même qu'ils ne sachent ce qu'ils font. Ni Blockaid ni Yield Yak n'ont fourni d'informations sur le nombre de pertes subies en raison de la faille au moment de la publication.

L'attaquant utilise un manuel classique

La faille chez Yield Yak ressemble à la vulnérabilité repérée sur Gitcoin, une plateforme de financement open-source, il y a seulement quelques jours. Selon Blockaid le 21 juin, files.gitcoin.co, un sous-domaine de Gitcoin, avait le même code drainer Eleven et a mis en garde les gens de rester à l'écart de la plateforme car elle était en cours de vérification. Blockaid a directement associé les deux piratages, notant que l'attaque chez Yield Yak « suit l'incident d'hier sur Gitcoin, qui a fonctionné de manière similaire ».

🚨Le système de Blockaid a identifié une attaque front-end sur yieldyak[.]com par @yieldyak_. Le sous-domaine du site – vote[.]yieldyak[.]com contient maintenant le code du draineur eleven.

Cela fait suite à l'incident d'hier sur @gitcoin qui a fonctionné de manière similaire pic.twitter.com/YFmWEYfa7D

— Blockaid (@blockaid_) Juin 24, 2026

Dans les deux cas, les sous-domaines ont été compromis au lieu des interfaces d'application principales. Le produit principal de Yield Yak, un protocole de farming de rendement à capitalisation automatique sur Avalanche, fonctionne sur le domaine principal. Le sous-domaine de vote compromis semble être un point d'entrée secondaire, mais quiconque y accédait risquait de voir son portefeuille vidé.

L'absence de chiffres de perte définitifs ne signifie pas toujours des conséquences minimes. Les vulnérabilités front-end passent généralement par un processus d'investigation pendant des heures, voire des jours, lorsque les équipes de sécurité identifient les interactions entre les portefeuilles et vérifient si les utilisateurs ont exécuté des transactions malveillantes. Dans d'autres cas de draineurs cette année, les pertes variaient de plusieurs milliers de dollars à des millions de dollars en fonction du nombre de personnes connectant leurs portefeuilles jusqu'à ce que le code malveillant soit supprimé. Par exemple, dans l'un des incidents surveillés par Blockaid, les pirates ont pris environ 3,2 millions de dollars à 86 portefeuilles Safe en mai en exploitant une vulnérabilité de module tiers. Le deuxième exemple est l'exploitation de TrustedVolumes pour les fournisseurs de liquidité, ce qui a entraîné des pertes de 5,9 millions de dollars.

Augmentation des attaques front-end

Les piratages mentionnés de Yield Yak et Gitcoin font partie d'une tendance plus large qui a secoué la communauté des cryptomonnaies cette année. L'attaque front-end, lorsqu'un attaquant exploite le site web d'un projet sans affecter les contrats intelligents, a augmenté en fréquence sur les principales plateformes DeFi.

Plus tôt cette année, OpenEden, Curvance et Maple Finance ont tous subi des attaques front-end en une seule semaine en février. Ces attaques utilisaient un kit de draineur différent appelé AngelFerno mais suivaient la même méthode : obtenir l'accès à l'infrastructure web d'un projet, insérer du code qui hijack les connexions de portefeuille et attendre que les utilisateurs interagissent.

Blockaid a documenté un schéma encore plus agressif en avril 2026. Suite aux exploits de haut profil sur Drift Protocol, KelpDAO et d'autres plateformes, les opérateurs de draineurs ont créé des domaines similaires en quelques heures pour intercepter les utilisateurs paniqués cherchant des moyens de révoquer les approbations de tokens. L'entreprise a décrit avril 2026 comme « le pire mois pour le vol de crypto de l'histoire », citant plus de 629 millions de dollars drainés sur plus de 20 incidents.

Ce que les utilisateurs de Yield Yak devraient savoir

Yield Yak est un protocole DeFi sur Avalanche qui capitalise automatiquement les récompenses de farming de rendement et exploite un agrégateur d'échange décentralisé, selon son listing sur Alchemy. Les utilisateurs qui ont déposé des actifs via les contrats intelligents de la plateforme principale ne sont pas directement affectés par une compromission front-end, car les contrats sous-jacents restent inchangés. Le risque s'applique à quiconque a visité le sous-domaine compromis et a connecté un portefeuille ou signé une transaction.

À la date de publication, ni Yield Yak ni Gitcoin n'ont publié de déclarations publiques concernant le statut de la réparation des incidents qui les ont touchés. Aucune société de sécurité ni aucun enquêteur blockchain n'a rapporté publiquement des pertes confirmées liées à la compromission de Yield Yak, et il n'existe actuellement aucune preuve on-chain indiquant l'ampleur d'un éventuel vol. Blockaid a conseillé aux utilisateurs de ne pas interagir avec les sites web concernés, car l'incident est en cours d'enquête et de résolution.

Les utilisateurs qui soupçonnent d'avoir interagi avec vote.yieldyak.com devraient révoquer toutes les approbations de tokens accordées pendant la session à l'aide d'un outil de confiance et surveiller leurs portefeuilles pour détecter tout transfert non autorisé.