Mindestens 12 Krypto-Websites wurden am 31. Oktober in einer koordinierten Welle von Frontend-Angriffen getroffen, nachdem Angreifer die Domänen-Infrastruktur kompromittiert hatten, die DeFi-Protokolle und Token-Launchplattformen bedient, und bösartigen Code eingeschleust hatten, der Besucher auf Wallet-Draining-Seiten umleitete.

Zu den betroffenen Projekten gehören Flap, Kintsu und StonkFun sowie mehrere weitere DeFi-Anwendungen. Das Blockchain-Sicherheitsunternehmen Blockaid brachte die Vorfälle mit StepDrainer in Verbindung, einem bösartigen Toolkit, das darauf ausgelegt ist, Kryptowährungen durch betrügerische Wallet-Verbindungen und Transaktionsfreigaben zu stehlen.

Die Angriffe zielten auf die Website-Infrastruktur und nicht auf die zugrunde liegenden Blockchain-Protokolle ab. Eine umfassende Verlustschätzung wurde nicht bestätigt, und die Ermittler haben noch nicht geklärt, ob die betroffenen Domänen eine einzige Kompromittierungsquelle teilen.

Blockaid identifiziert StepDrainer auf 12 Krypto-Websites

Flap, eine von YZi Labs unterstützte Token-Launchplattform, war die erste, die Alarm schlug, und warnte, dass seine ursprüngliche Domäne, flap.sh, gekapert worden sei und Besucher auf eine nicht autorisierte Website umleite. In einem Beitrag auf X wies das Team die Nutzer an, die Domäne zu meiden und darauf zu verzichten, Wallets zu verbinden oder Transaktionen zu signieren, während es mit Sicherheitspartnern an der Eindämmung des Vorfalls arbeitete.

Kurz darauf entdeckte Blockaid ähnliche Aktivitäten gegen Kintsu, ein auf Monad basierendes Liquid-Staking-Protokoll. Das Sicherheitsunternehmen identifizierte anschließend 10 weitere Websites, die StepDrainer auslieferten, darunter stonkfun.xyz, pickle.finance, echelon.market, origami.finance, fluxbeam.xyz, stakepoint.app, supswap.xyz, longbow.cash, shprd.finance und apexdefi.xyz, und veröffentlichte die Ergebnisse in einem Beitrag auf X.

Die bösartige Infrastruktur nutzte die Frontend-Schnittstellen der Websites aus und konnte Besuchern über ansonsten vertraute Anwendungsseiten täuschende Transaktionsanfragen präsentieren.

Anders als bei Smart-Contract-Exploits ermöglicht DNS-Hijacking Angreifern, legitime Webadressen auf Infrastruktur umzuleiten, die sie kontrollieren. Das bedeutet, dass Nutzer auf bösartige Wallet-Aufforderungen stoßen können, selbst wenn sie die offiziell bekannte Domäne eines Projekts aufrufen. StepDrainer kann dann Token-Freigaben und bösartige Signaturen ausnutzen, um Vermögenstransfers zu autorisieren, ohne dass Angreifer private Schlüssel benötigen. Token-Freigaben sind dauerhafte Berechtigungen, die einer Adresse oder einem Contract erlauben, bestimmte Vermögenswerte im Namen eines Nutzers zu bewegen – deshalb ist das Widerrufen dieser Freigaben die Standard-Ersteinstellung, die Projekte empfehlen, sobald eine mögliche Exposition vermutet wird.

Kintsu bestätigte, dass seine Domäne auf Registrierungsebene kompromittiert wurde – also auf der Ebene, die steuert, wohin die Domänen-Einträge zeigen – und riet Nutzern, die nach 00:00 UTC am 31. Oktober Wallets verbunden oder Transaktionen signiert hatten, verdächtige Token-Freigaben zu widerrufen und potenziell exponierte Vermögenswerte in sichere Wallets zu übertragen. Das Protokoll stellte sein Domänen-Routing später wieder her, warnte aber weiterhin vor Wallet-Interaktionen, während sich DNS-Caches verbreiteten, da zwischengespeicherte Einträge veraltete Ziele bis zu ihrem Ablauf weiter ausliefern können.

Flap migriert auf neue Domäne, während die Untersuchung läuft

Flap migrierte seine Plattform anschließend auf flap.cool und empfahl Nutzern, die neue Adresse direkt aufzurufen, statt auf Umleitungen von der kompromittierten Domäne zu vertrauen. Das Projekt teilte mit, dass die Ursache weiterhin untersucht werde, einschließlich der Frage, ob der Vorfall von seinem Domänendienstleister ausging, und sein Team koordinierte sich mit Blockaid sowie den Infrastrukturanbietern Vercel und Name.com.

StonkFun bestätigte ebenfalls, dass seine Website betroffen war, erklärte jedoch, seine On-Chain-Abläufe funktionierten weiterhin normal. Die Plattform erklärte, ihr seien zum Zeitpunkt ihrer Ankündigung keine betroffenen Nutzer bekannt.

Der Angriffswelle ging eine Kompromittierung des Polymarket-Frontends voraus, die Anfang der Woche rund 2,7 Millionen US-Dollar abgeschöpft hatte, nachdem bösartiges JavaScript über einen kompromittierten Monitoring-Anbieter in die Website des Prognosemarkts gelangt war. Ähnliche Schwachstellen haben DeFi-Plattformen bereits zuvor getroffen: Im Mai 2025 erlebte Curve Finance einen weiteren DNS-Hijacking-Vorfall, der Besucher vorübergehend einer bösartigen Website aussetzte, obwohl die zugrunde liegenden Smart Contracts sicher blieben.

Die Vorfälle unterstreichen eine hartnäckige Schwachstelle dezentraler Anwendungen: Blockchain-Contracts können unangetastet bleiben, während Angreifer konventionelle Web-Infrastruktur ausnutzen, um Nutzer anzugreifen. In all diesen Fällen blieben die On-Chain-Ebenen intakt, während sich die Kompromittierung in konventionellen Web-Komponenten abspielte – in dieser Welle die Domänen-Infrastruktur, bei Polymarket ein externer Monitoring-Anbieter und bei Curve die DNS-Einträge.

Die Ermittler haben die gesamte finanzielle Auswirkung nicht bestätigt und die Täter nicht identifiziert; zudem ist unklar, ob die betroffenen Domänen eine einzige Kompromittierungsquelle oder einen gemeinsamen Registrar- oder DNS-Anbieter teilen. Betroffene Nutzer werden weiterhin gebeten, die kompromittierten Domänen zu meiden, bis die jeweiligen Teams bestätigen, dass ein Zugriff sicher ist.

Dieser Artikel erschien ursprünglich auf Crypto Adventure.