DNS-Hijacker stehlen 138.000 Dollar von 12 DeFi-Websites

Hacker kaperten am späten Freitag 12 DeFi-Websites und stahlen mit der Schadsoftware Step Drainer rund 138.000 $. Alle 12 identifizierten Domains waren über Name.com registriert. Die Summe umfasst Gelder, die auf EVM-Chains nachverfolgt wurden. Verluste auf den betroffenen Solana- und Aptos-Seiten könnten darin fehlen. Wie viele Nutzer betroffen sind, ist weiterhin unklar.

Warum das wichtig ist

Die Seiten nutzten nicht denselben DNS-Anbieter, und die Verantwortung für die Übernahmen ist noch nicht geklärt. Kintsu und Origami Finance machten die Infrastruktur von Vercel verantwortlich, während Name.com einem betroffenen Projekt Berichten zufolge mitteilte, ein Drittanbieter sei dafür verantwortlich. In einer öffentlichen Stellungnahme bat Name.com Nutzer, einen Missbrauchsbericht einzureichen. Vercel hatte sich öffentlich nicht dazu geäußert. Beide Unternehmen gaben an, ihre Systeme seien betriebsbereit.

Step Drainer verleitet Nutzer nach dem Aufruf einer betroffenen Seite dazu, Wallet-Überweisungen zu genehmigen. Onchain-Aktivitäten zeigten, dass die Erlöse auf drei Wallets im Verhältnis 15 %, 55 % und 30 % verteilt wurden. Der Angriff erstreckte sich über mehrere Netzwerke: Gelder wurden auf BNB Chain, Ethereum, Robinhood Chain und Monad nachverfolgt. Auf Monad lösten Wallets gestakte MON ein und hoben Gelder von Neverland ab. Auf Robinhood Chain verschob eine Wallet tokenisierte NVDA- und AAPL-Aktien von Morpho und tauschte sie gegen ETH.

Auswirkungen auf den Markt

Zehn Domains wurden auf Registrar-Ebene gesperrt. Bis Samstagvormittag wurden die Sperren wieder aufgehoben. Die Domains von Flap und Kintsu waren zum Zeitpunkt der Veröffentlichung weiterhin erreichbar. Einige betroffene Projekte erklärten, ihre Onchain-Verträge seien nicht angetastet worden. Ein sicherer Vertrag kann jedoch nicht verhindern, dass eine schädliche Benutzeroberfläche Nutzer zur Genehmigung von Überweisungen auffordert.

Allein auf BNB Chain überwiesen mindestens vier Wallets Gelder an die Angreifer. FluxBeam meldete keine bekannten betroffenen Nutzer, und StonkFun erklärte, von keinen Betroffenen zu wissen. Der Vorfall macht ein konkretes Risiko deutlich: Eine vertraute DeFi-Seite kann zur Schnittstelle für den Abzug von Wallet-Geldern werden, wenn ihre Domain oder Hosting-Infrastruktur kompromittiert wird.