Defibank.online: une étude de cas d'un rug-pull

Récemment, le nom de marque «Defibank.online» est apparu avec une fréquence croissante sur les forums de crypto et les groupes de télégrammes, présentés comme une «nouvelle banque décentralisée» capable d'offrir des rendements à trois chiffres via le jeton de banque $.

Recently, the brand name ‘DefiBank.online’ has been appearing with increasing frequency on crypto forums and Telegram groups, presented as a ‘new decentralised bank’ capable of offering triple-digit returns via the $BANK token. A preliminary analysis, however, reveals a number of inconsistencies: a domain registered only a few weeks ago, a front-end lacking white-papers and audits, references to a DAO LLC that do not appear in official records, social profiles with minimal engagement, and an immediate invitation to connect the wallet by granting unlimited authorisations.

Récemment, le nom de marque «Defibank.online» est apparu avec une fréquence croissante sur les forums de crypto et les groupes de télégrammes, présentés comme une «nouvelle banque décentralisée» capable d'offrir des rendements à trois chiffres via le jeton de banque $. Une analyse préliminaire, cependant, révèle un certain nombre d'incohérences: un domaine enregistré il y a seulement quelques semaines, un frontal dépourvu de papiers blancs et des audits, des références à une DAO LLC qui n'apparaissent pas dans les documents officiels, les profils sociaux avec un engagement minimal et une invitation immédiate pour relier le portefeuille en accordant des autorisations illimitées.

The following reconstructs, point by point, the anatomy of the DefiBank.online case-from the WHOIS data to the source code to the on-chain clues suggesting its potentially fraudulent nature-and provides an operational checklist to help recognise similar schemes in the DeFi landscape.

Les reconstructions suivantes, point par point, l'anatomie de la Defibank.online à partir des données WHOIS au code source aux indices en chaîne suggérant sa nature potentiellement frauduleuse et fournit une liste de contrôle opérationnelle pour aider à reconnaître des schémas similaires dans le paysage Defi.

Decripto offers a support and advisory service via on-chain analysis and forensic reports to claim the recovery of funds lost in cryptocurrency scams. For more information CLICK HERE. For the official Telegram group link below (LINK).

DeMIPTO propose un service d'assistance et de conseil via l'analyse sur chaîne et les rapports médico-légaux pour réclamer la récupération des fonds perdus dans les escroqueries de crypto-monnaie. Pour plus d'informations, cliquez ici. Pour le lien officiel du groupe télégramme ci-dessous (lien).

The domain defibank.online

Le domaine Defibank.online

The domain defibank.online was only registered on 11 November 2024 and extended for only one year, with the only update on 20 December 2024. The choice of a one-year horizon – combined with a mass registrar such as Go Daddy – suggests a hit-and-run strategy: it is unlikely that an entity aspiring to operate as a decentralised bank would establish such a short life window from the outset.

Le domaine Defibank.online n'a été enregistré que le 11 novembre 2024 et prolongé pour seulement un an, avec la seule mise à jour le 20 décembre 2024. Le choix d'un horizon d'un an - combiné avec un registraire de masse tel que Go Daddy - suggère une stratégie de délit de fuite: il est peu probable qu'un entité aspirante à opérer.

The infrastructure rests entirely on DigitalOcean name-servers. It is a perfectly legitimate cloud but designed for quick and inexpensive deployments, and thus easily dismantled or moved elsewhere should the project become problematic. It also lacks minimal DNS hardening components: DNSSEC has not been activated, nor are there any SPF or DMARC records, indications of very little attention to domain reputation and integrity.

L'infrastructure repose entièrement sur les serveurs de noms numériques. Il s'agit d'un cloud parfaitement légitime mais conçu pour des déploiements rapides et peu coûteux, et donc facilement démantelé ou déplacé ailleurs si le projet devient problématique. Il manque également de composants de durcissement DNS minimaux: le DNSEC n'a pas été activé, ni les enregistrements SPF ou DMARC, les indications de très peu d'attention à la réputation et à l'intégrité du domaine.

The picture is complicated by looking at the homepage markup: the code delivered to the browser is a React shell devoid of static content, which only downloads obfuscated JavaScript bundles after loading. Even the URL app.ray.sx, remnant of a template reused by another application, appears within the meta-tags. This structure prevents crawlers and anti-phishing tools from inspecting the site without executing code – a recurring pattern in front-ends used as bait for wallet-drain operations.

L'image est compliquée en regardant le balisage de la page d'accueil: le code livré au navigateur est un shell React dépourvu de contenu statique, qui télécharge uniquement les faisceaux de JavaScript obscurcis après le chargement. Même l'URL app.ray.sx, respect d'un modèle réutilisé par une autre application, apparaît dans les méta-tags. Cette structure empêche les robots d'exploitants et les outils anti-phishing d'inspecter le site sans exécuter de code - un motif récurrent en fronts utilisé comme appât pour les opérations de drain de portefeuille.

The VirusTotal analysis returns an even more compromising picture. Two reputation engines – alphaMountain.ai and Forcepoint ThreatSeeker – classify defibank.online as ‘Suspicious’ and even ‘hacking’ respectively.

L'analyse Virustotal renvoie une image encore plus compromettante. Deux moteurs de réputation - Alphamountain.ai et ForcePoint ThreatSeker - classent respectivement Defibank.online comme «suspect» et même «piratage».

alphaMountain.ai: Suspicious – Forcepoint: Hacking/tool

alphamountain.ai: suspect - Forcepoint: piratage / outil

These are not isolated false positives: the site was first sent to VirusTotal on 8 March 2024 and re-examined until 19 March 2025, a sign that the domain or IP had been on the blacklist radar for a long time.

Ce ne sont pas des faux positifs isolés: le site a été envoyé pour la première fois à Virustotal le 8 mars 2024 et réexaminé jusqu'au 19 mars 2025, signe que le domaine ou la propriété intellectuelle était sur le radar de liste noire depuis longtemps.

The HTTP response confirms that the host (65.109.173.253) serves a simple Nginx on Ubuntu; the body of the home page weighs a mere 9 KB, a further indication of a front-end reduced to the bone that refers all logic to external JavaScript bundles. Most striking is the Open Graph section: the og:url tag points to app.ray.sx, a domain unrelated to the alleged banking project and already identified in the site’s markup. The preview image, the title (‘Buy $BANK…’) and the bombastic description confirm the purely promotional nature of the landing page, in stark contrast to the claim of institutional seriousness.

La réponse HTTP confirme que l'hôte (65.109.173.253) sert un simple nginx sur Ubuntu; Le corps de la page d'accueil ne pèse que 9 Ko, une autre indication d'un frontal réduit à l'os qui fait référence à toute logique aux faisceaux javascript externes. Le plus frappant est la section graphique ouverte: la balise OG: URL pointe vers app.ray.sx, un domaine sans rapport avec le projet bancaire présumé et déjà identifié dans le balisage du site. L'image de prévisualisation, le titre («acheter $ bank…») et la description explosive confirment la nature purement promotionnelle de la page de destination, en contraste frappant avec la revendication de la gravité institutionnelle.

Finally, five tracking platforms emerge in the traffic – Google Analytics, Google Tag Manager, Facebook Pixel, Yandex Metrica and Facebook Custom Audience – an abnormal density for a product that proclaims itself ‘decentralised’ and attentive to user privacy. In summary, VirusTotal does not detect executable malware, but it does gather a number of risk signals (hacking classification, inconsistent meta-tags, massive tracking) that reinforce what has already been observed at the domain and site structure level: DefiBank.online acts more like an advertising funnel than a reliable financial platform.

Enfin, cinq plates-formes de suivi émergent dans le trafic - Google Analytics, Google Tag Manager, Facebook Pixel, Yandex Metrica et Facebook Custom Audience - une densité anormale pour un produit qui se proclame «décentralisé» et attentif à la confidentialité des utilisateurs. En résumé, Virustotal ne détecte pas les logiciels malveillants exécutables, mais il rassemble un certain nombre de signaux de risque (classification du piratage, méta-tags incohérentes, suivi massif) qui renforcent ce qui a déjà été observé au niveau du domaine et de la structure du site: Defibank.online agit plus comme un entonnoir publicitaire qu'à une plate-forme financière fiable.

The rebus of the $BANK token

Le rébus du jeton de banque $

Once past the front of the site, one discovers that the entire project revolves around a utility token called $BANK. It is here that the inconsistencies become macroscopic.

Une fois après le devant du site, on découvre que l'ensemble du projet tourne autour d'un jeton d'utilité appelé $ Bank. C'est ici que les incohérences deviennent macroscopiques.

The token is presented with a pre-mining phase, then an Angel fund-raising round (with a price of $0.04), followed by a Pre-Seed round at $0.07 and a Seed round at $0.1. According to the project’s statements, the token will be launched on two chains (ETH and BNB) and will be listed on tier-one exchanges by the third quarter of 2025. In total, $BANK will have a supply of 1 billion units, to be released over a period of 18

Le jeton est présenté avec une phase de pré-mine, puis une ronde de collecte de fonds Angel (avec un prix de 0,04 $), suivi d'un cycle pré-série à 0,07 $ et d'un tour de semences à 0,1 $. Selon les déclarations du projet, le jeton sera lancé sur deux chaînes (ETH et BNB) et sera répertorié sur les bourses de niveau 1 d'ici le troisième trimestre de 2025. Au total, $ Bank aura une offre de 1 milliard d'unités, qui sera publiée sur une période de 18 ans