CoW DAO approuve les remboursements volontaires malgré aucune violation du protocole lors du détournement de domaine

CoW DAO a approuvé une proposition visant à rembourser les utilisateurs concernés par le piratage du domaine cow.fi en avril 2026, bien que le protocole lui-même n'ait jamais subi de rupture de contrat intelligent.

La proposition de gouvernance autorise un programme de subventions discrétionnaire pour les utilisateurs qui ont perdu des fonds lors de l'attaque de phishing, qui découle d'une prise de contrôle de domaine au niveau du registraire plutôt que d'une compromission de l'infrastructure du protocole CoW.

Selon l'autopsie du projet, les utilisateurs ont perdu environ 1,2 million de dollars lors de l'incident après que les attaquants ont redirigé le domaine cow.fi vers un site Web de phishing qui a incité les visiteurs à signer des transactions de portefeuille malveillantes.

La proposition permet aux victimes éligibles de recevoir jusqu’à 100 % de remboursement pour les pertes vérifiées en utilisant les fonds de la réserve de défense juridique de CoW DAO.

La proposition établit une limite entre le phishing et la négligence des utilisateurs

La mesure approuvée comprend des conditions strictes d’éligibilité à l’indemnisation.

Les utilisateurs doivent prouver que :

leur portefeuille a interagi avec le contrat de draineur malveillant lié à la fausse interface CoW,

le portefeuille avait utilisé CoW Swap avant l'attaque,

et le demandeur termine un processus de vérification KYC.

Le DAO ne compensera pas les utilisateurs qui ont saisi les phrases de départ de leur portefeuille dans de fausses invites lors de l'attaque.

Cette distinction reflète une position de gouvernance plus large au sein de la proposition. CoW DAO traite les approbations de transactions malveillantes liées à l'interface usurpée différemment de la divulgation directe des phrases de récupération.

Les réclamations doivent être soumises avant le 14 mai via les canaux d’assistance de CoW avant le début du processus de vérification.

Aucune reconnaissance de responsabilité

Bien que le DAO ait approuvé les remboursements, la proposition indique à plusieurs reprises que les paiements restent volontaires et ne représentent pas un aveu de responsabilité ou de faute juridique.

Le document décrit les subventions comme des paiements « à titre gracieux », ce qui signifie que CoW DAO les fournit comme un geste de bonne volonté plutôt que comme une obligation légale.

Ce langage peut s’avérer important car l’incident n’implique pas une défaillance des contrats intelligents, de l’infrastructure backend ou des systèmes de règlement du protocole CoW.

Au lieu de cela, les attaquants ont exploité les faiblesses du processus de transfert du bureau d’enregistrement de domaines .fi via une campagne d’ingénierie sociale ciblant l’infrastructure de registre de domaines finlandaise.

Le site de phishing est resté actif pendant plusieurs heures avant que l'équipe ne reprenne le contrôle du domaine.

Fonds du Trésor pour couvrir les remboursements

Les remboursements proviendront de la réserve de défense juridique de CoW DAO, une allocation de trésorerie initialement conçue pour les actions juridiques et défensives.

La proposition décrit le paiement comme une exception ponctuelle et indique explicitement qu'il ne devrait pas créer un précédent pour de futurs incidents.

Une fois les paiements d'indemnisation terminés, le trésor du DAO prévoit de reconstituer la réserve jusqu'à ce qu'elle revienne à son niveau précédent de 5 millions de dollars.

Pourquoi la décision est importante

Le vote met en évidence un débat croissant au sein de DeFi sur la responsabilité du protocole lors des attaques sur l'infrastructure Web2.

Dans ce cas, les contrats du protocole CoW ont continué à fonctionner normalement, mais les utilisateurs ont quand même perdu des fonds car les attaquants ont détourné le domaine du projet et déployé une interface de phishing convaincante.

En approuvant quand même l’indemnisation, CoW DAO signale que la protection de la confiance à long terme des utilisateurs peut l’emporter sur les définitions techniques strictes de la responsabilité protocolaire.

Résumé final

CoW DAO a approuvé les remboursements volontaires pour les victimes de l'attaque de phishing cow.fi d'avril, qui a causé environ 1,2 million de dollars de pertes.

Le DAO affirme que les paiements ne représentent pas un aveu de responsabilité car le protocole lui-même n'a jamais été violé.