Mindestens 12 Websites im Bereich der dezentralen Finanzen wurden im Rahmen eines koordinierten Angriffs gekapert, nachdem Hacker deren Domain-Name-System-Einträge auf Registrar-Ebene verändert hatten. Die von den betroffenen Projekten eingesetzten Smart Contracts wurden nicht kompromittiert; stattdessen richteten sich die Angriffe gegen die Domains, die Nutzer zu den Websites der Projekte leiten.

The Block hat mithilfe von On-Chain-Daten etwa 138.000 $ an gestohlenen Mitteln zurückverfolgt. Laut öffentlichen Registrierungseinträgen, die das Medium eingesehen hat, war jede betroffene Domain bei Name.com registriert.

Wie der Angriff funktionierte

Das Sicherheitsunternehmen Blockaid meldete den Vorfall am 31. Oktober 2026 und beschrieb ihn als Frontend-Angriff. Die Angreifer änderten die DNS-Einträge der betroffenen Websites und schrieben damit effective die Einträge um, die eine Domain zu ihrer Hosting-Infrastruktur leiten. Die Nameserver einer Domain, die in der Regel über den Registrar betrieben werden, fungieren als Verzeichnis, das Browsern mitteilt, wo sich eine Website tatsächlich befindet. Wer dieses Verzeichnis kontrolliert, kann Besucher umleiten, bevor überhaupt eine Code-Überprüfung, ein Audit oder ein Contract-Check zum Tragen kommt.

Nutzer, die die korrekten Webadressen eintippten, wurden auf eine von den Angreifern kontrollierte Infrastruktur geleitet – ohne erkennbaren Hinweis darauf, dass die Seiten umgeleitet worden waren. Die kompromittierten Seiten enthielten das Step-Drainer-Toolkit, ein bösartiges Skript, das Besucher dazu verleiten sollte, Transaktionen zu signieren, die deren Vermögenswerte übertragen konnten.

Betroffene Projekte

Zu den namentlich genannten Opfern gehörten Flap, Kintsu, StonkFun und Pickle Finance sowie weitere Projekte. Die betroffenen Projekte teilten keinen Code und betrieben keine gemeinsame Blockchain. Ihre gemeinsame Verbindung war, dass ihre Domains von den eigenen Nameservern von Name.com abhingen.

Indem die Angreifer die Registrar-Ebene ins Visier nahmen, konnten sie mehrere voneinander unabhängige Projekte in derselben Kampagne umleiten. Einige Teams erlangten schnell wieder die Kontrolle, indem sie ihre Domains zu Nameservern von Vercel und Cloudflare migrierten und so die Kontrolle über ihren Traffic zurückerlangten.

StonkFun erklärte, seine Nutzer seien nicht betroffen gewesen. Die etwa 138.000 $ an abgezogenen Mitteln entsprechen lediglich dem bislang zurückverfolgten Betrag. Name.com hatte den Vorfall zum Zeitpunkt der Berichte weder auf seiner Statusseite noch in seinem Blog bestätigt, sodass die betroffenen Teams ihre Reaktion auf den Vorfall ohne öffentliche Anleitung des Registrates bewältigen mussten.

Warum das Frontend oft übersehen wird

Sicherheitsdiskussionen im DeFi-Bereich konzentrieren sich in der Regel auf Smart Contracts. Audits, Bug-Bounties und formale Verifikation richten sich zumeist an den Code, der Nutzergelder verwahrt oder verwaltet.

Der Angriff umging diese Schutzmaßnahmen. Ein Protokoll kann über sicherere Smart Contracts verfügen und Nutzer dennoch Verlusten aussetzen, wenn die Website, die zu diesen Contracts führt, umgeleitet wird. Versagt das Vertrauen auf DNS-Ebene, bieten übliche Sicherheitsprüfungen nur begrenzten Schutz: Die URL zu überprüfen hilft nicht, wenn die URL selbst korrekt ist, aber zu einer von Angreifern kontrollierten Infrastruktur führt.

Diese Taktik ist nicht ohne Beispiel. Im Jahr 2022 wurde die eigene Startseite von Curve Finance auf einen gefälschten Klon umgeleitet, nachdem ihre Domain auf Registrar-Ebene kompromittiert worden war. Der Vorfall spiegelt ein breiteres Sicherheitsproblem im DeFi-Sektor wider, bei dem Domain-Management und operative Sicherheit oft weniger Aufmerksamkeit erhalten als die Sicherheit der Contracts.

Auswirkungen für Projekte und Nutzer

Die Projekte, die sich am schnellsten erholten, konnten zu Nameservern von Vercel und Cloudflare migrieren. Das deutet darauf hin, dass Teams mit einem vorbereiteten Migrationsweg und direkter Kontrolle über ihre DNS-Konfiguration besser aufgestellt waren, um zu reagieren.

Der Vorfall legte zudem einen gemeinsamen Single Point of Failure offen. Ein Dutzend Projekte war über denselben Registrar verbunden, sodass ein einziger Kompromitt auf dieser Ebene mehrere Websites gleichzeitig betraf. Dieses Muster ähnelt Supply-Chain-Angriffen in traditionellen Softwaresystemen.

Transaktionswarnungen auf Wallet-Ebene, darunter Warnungen von Unternehmen wie Blockaid, stellen eine Verteidigungsebene dar. Die Konsequenzen gehen jedoch über die gestohlenen Gelder hinaus: Nutzer, die über eine gekaperte Website Geld verlieren, machen möglicherweise das Projekt verantwortlich, dessen Name auf der Seite stand – unabhängig davon, wo der eigentliche Fehler auftrat.

Die Berichte gingen nicht darauf ein, wie die Angreifer Zugriff auf die DNS-Einträge erlangten oder ob Registrar-Schutzmaßnahmen wie Transfer- oder Registry-Locks aktiviert waren; eine öffentliche Stellungnahme von Name.com könnte diese Punkte klären.

Quelle: CryptoBriefing