LONDON (IT BOLTWISE) – Angreifer haben nach dem Zugriff auf mehrere DeFi-Websites Ende letzter Woche offenbar einen DNS-Umleitungs- und Wallet-Draining-Angriff gestartet. Betroffen waren Domains, die bei Name.com registriert waren, und deren Webfrontends wurden genutzt, um Besucher zu Wallet-Transaktionen zu verleiten. Bisher lassen sich auf On-Chain-Daten rund 138.000 US-Dollar verfolgen, die über mehrere Netzwerke hinweg auf wenige Empfänger-Wallets gebündelt wurden. Parallel wurde ein Teil der Domains am Registrar-Level zeitweise gesperrt und später wieder entsperrt.
Mehrere DeFi-Projekte mussten innerhalb kurzer Zeit feststellen, dass ihre Webfrontends kompromittiert wurden – nicht über einen gemeinsamen Hosting-Anbieter, sondern über eine missbräuchliche Umleitung der zugehörigen Domains. Nach Auswertung öffentlich zugänglicher Registrierungsdaten wurden insgesamt zwölf Domains mit Name.com als Registrar in Verbindung gebracht, von denen zehn am Samstagmorgen frühzeitig auf Registrar-Ebene blockiert werden konnten. Die Sperrung führte jeweils zu einem „client hold“-Status, bei dem die Domain nicht mehr auflösbar ist. Diese Konstellation ist technisch interessant, weil DNS-Umleitungen häufig eher bei der Zuordnung zu einem bestimmten Zielsystem angreifen; hier ging es aber zusätzlich darum, den Besucherpfad so zu manipulieren, dass er sein Wallet zum Abfluss autorisiert.
Das Angriffsmuster wird in der Szene als Draining über Webfrontends beschrieben: Die betroffenen Seiten waren laut Sicherheitsunternehmen mit Step Drainer ausgestattet, einem Malware-Toolkit, das Nutzer beim Verbindungsaufbau dazu bringt, ungewollte Token-Transfers zu genehmigen. Der Kern liegt in der Wallet-Interaktion nach dem Laden der kompromittierten Webseite: Sobald das Wallet dem Transfer zustimmt, kann der Angreifer die autorisierten Bewegungen auslösen. Für die konkrete Implementierung nennt der Kontext On-Chain-Spuren mit drei festen Anteilen (15%, 55% und 30%), die sich bei mehreren Transaktionen wiederholen. Auf BNB Chain etwa soll eine Safe-Wallet, die in den Wallet-Analysen auffiel, in einem Zeitfenster von rund 42 Minuten mehrere Einzahlungen von vier Wallets erhalten und intern weiter aufgeteilt haben; ein wesentlicher Restbetrag blieb dabei zum späteren Zeitpunkt noch in der Safe-Wallet liegen.
Über die Netzwerke hinweg ergibt sich ein konsistentes Bild: Dieselben drei Empfänger-Wallets sollen auch auf Ethereum, Robinhood Chain und Monad Zahlungen erhalten haben, jeweils in identisch aufgeteilten Schemata. Auf Monad werden in den Spuren Vorgänge sichtbar, die zu MON-Token aus gestakten Beständen führen und anschließend über ein Lending-Protokoll abgezogen wurden, bevor der Erlös in MON umgewandelt wurde. Auf Robinhood Chain wiederum sind Schritte dokumentiert, bei denen tokenisierte Aktienwerte (u. a. mit Bezug auf bekannte US-Börsentitel) aus einem Protokoll gezogen und anschließend in ETH getauscht wurden. Bis zum späten Samstagvormittag lässt sich die Summe in den betrachteten EVM-Netzen auf etwa 138.000 US-Dollar schätzen; nicht erfasste Bereiche kommen dadurch hinzu, dass einzelne kompromittierte Projekte auf anderen Ketten laufen (Solana und Aptos), wo Verluste gegebenenfalls in weiteren Wallets liegen, die in der hier betrachteten EVM-Fokus-Analyse nicht vollständig enthalten sind.
Während viele Angriffe in der DeFi-Welt an zentraler Infrastruktur scheitern, wird hier die Verantwortlichkeit zwischen Domain-Registrar, DNS-Hosting und Cloud-Infrastruktur diskutiert. Die kompromittierten Projekte verwenden offenbar keinen identischen DNS-Provider: Einige Seiten laufen über Cloudflare, andere über Vercel oder auch über Nameserver direkt im Registrar-Umfeld. In der Folge wurde zunächst unklar, ob die Lücke bei Name.com oder bei einem Reseller wie Vercel zu verorten ist. Kintsu erklärte in einem öffentlichen Kommentar sinngemäß, dass „etwas auf der Seite von Vercel“ passiert sei und es außerhalb der eigenen Kontrolle lag; zugleich hieß es, dass eine Antwort von Vercel noch ausstehe. Origami Finanz berichtete dagegen über eine aktive Angriffsphase im Umfeld von über Vercel verknüpften Nameservern und ließ seine „Vaults“ pausiert, bis eine Ursachenanalyse vorliegt.
Dass Domain-Frontends wiederholt Ziel solcher Manipulationen werden, ist kein Einzelfall. In früheren Fällen hatten Angreifer teils über Registrar-Zugriffe oder DNS-Ketten kompromittierte Inhalte verteilt, darunter auch bekannte Beispiele aus dem DACH-Umfeld der DeFi-Ökosysteme, bei denen Tokens und Benutzerkonten indirekt über Umleitungen angegriffen wurden. Für die aktuelle Welle ist zusätzlich relevant, dass sich der Ablauf zeitlich verdichtet: Mehrere Nutzerhinweise auf soziale Plattformen korrelierten mit dem späteren Muster, dass zehn Domains innerhalb weniger Sekunden gleichzeitig deaktiviert wurden. Für betroffene Teams ist das wichtig, weil eine schnelle Erkennung am Registrar-Level oft der einzige Hebel ist, um weitere Wallet-Autorisierungen zu stoppen, bevor die Malware massenhaft Transaktionen auslösen kann.
Am Samstagmorgen wurden die Sperrungen laut Registerdaten später wieder aufgehoben; die Domains sollen wieder auflösen, dabei aber mit Locks versehen worden sein, die Transfers und für die meisten Domains auch weitere Änderungen verhindern. Name.com bestätigte gegenüber dem betroffenen Kontext, dass es gegen Ende des 30. Oktobers „unauthorized activity“ festgestellt habe, die Domains über die Plattform umleitete, um Besucher-Wallets zu kompromittieren. In der veröffentlichten Stellungnahme heißt es, Name.com habe alle betroffenen Domains wiederhergestellt, arbeite direkt mit den betroffenen Kontoinhabern und treibe die weitere Untersuchung voran. Außerdem wurde auf Kundenebene empfohlen, DNS-Einträge zu prüfen und die Zwei-Faktor-Authentifizierung zu aktivieren. Parallel heißt es in einem Sicherheitsbulletin, zehn der betroffenen Domains stünden im Zusammenhang mit der Vercel-Plattform, Name.com habe sie wiederhergestellt und sei in die Untersuchung eingebunden.
Unklar bleibt bislang die genaue Zahl der Opfer. Einige Projekte äußerten, sie hätten keine Berichte betroffener Nutzer erhalten oder wüssten von keinen konkreten Schadensfällen; andere verweisen darauf, dass On-Chain-Verträge unverändert geblieben seien. Allein auf BNB Chain zeigt die Datenlage jedoch mindestens vier Wallets, die in die Angreiferpfade eingezahlt haben – ein Hinweis, dass nicht jeder Projektbericht bereits vollständige Erkenntnisse enthält oder dass nicht alle Verluste in den beobachteten Wallets unmittelbar zuordenbar sind. Für Unternehmen im Web3-Umfeld ergibt sich daraus eine harte Lehre: Security-Checks dürfen sich nicht nur auf Smart-Contract-Ebene beschränken. Gerade bei DeFi zählt die Kette vom Domain-Setup über Hosting, DNS-Weiterleitung und Frontend-Integrität bis zur Wallet-Interaktion. Wenn diese Kette an einer Stelle kompromittiert wird, entscheidet oft Minuten- statt Wochen-Taktik darüber, wie groß der finanzielle Schaden tatsächlich ausfällt.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "DNS-Hijacking bei DeFi: Name.com-registrierte Domains werden per Step Drainer missbraucht" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "DNS-Hijacking bei DeFi: Name.com-registrierte Domains werden per Step Drainer missbraucht" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »DNS-Hijacking bei DeFi: Name.com-registrierte Domains werden per Step Drainer missbraucht« bei Google Deutschland suchen, bei Bing oder Google News!