In der Nacht zum 31. Oktober 2026 haben Angreifer per DNS-Hijacking mindestens zwölf DeFi- und Token-Launch-Websites übernommen. Wer die echte Adresse etwa von Flap, Kintsu, Pickle Finance oder Origami Finance aufrief, landete auf Seiten mit dem Wallet-Drainer „Step Drainer“, der Besucher dazu bringt, ihre Token per Signatur freizugeben. Die Smart Contracts der Projekte waren nach deren Angaben nicht betroffen. Angegriffen wurde die Ebene darüber: die Domain. Alle betroffenen Domains laufen über den Registrar Name.com, mehrere davon wurden über Vercel Domains registriert. Die Ursache ist bislang ungeklärt.
Für Krypto-Nutzer zeigt der Fall, dass auch die richtige URL keine Sicherheit garantiert, für Webentwickler, wie viel Vertrauen in Registrar-Konten steckt. Wir fassen zusammen, was gesichert ist und was Betreiber jetzt prüfen sollten.
Key Takeaways
- Die Sicherheitsfirma Blockaid warnte ab 03:21 Uhr MEZ zunächst vor Flap und Kintsu und meldete gegen 04:16 Uhr MEZ zehn weitere Domains, die aktiv den Step Drainer ausspielten.
- Laut Registry-Daten, die The Block ausgewertet und wir per RDAP nachgeprüft haben, sind die Domains bei Name.com registriert. Vercel nutzt Name.com seit September 2025 als Upstream-Registrar für Vercel Domains.
- Kintsu spricht von einer Übernahme „auf Registrar-Ebene“ und sieht die Verantwortung bei Vercel. Weder Vercel noch Name.com haben bis Samstagnachmittag eine Ursache genannt, beide Statusseiten melden keinen Vorfall.
- The Block hat bislang rund 138.000 US-Dollar an Beute auf EVM-Chains nachverfolgt. Verluste auf Solana und Aptos sind darin nicht enthalten, eine offizielle Gesamtsumme gibt es nicht.
- Wer seit etwa 01:00 Uhr MEZ am 31. Oktober auf einer der Seiten eine Wallet verbunden oder etwas signiert hat, sollte Freigaben widerrufen und Guthaben in eine neue Adresse verschieben.
DNS-Hijacking in der Nacht: der Ablauf
Laut The Block fiel einem X-Nutzer gegen 02:10 Uhr MEZ auf, dass die Website des Token-Launchpads Flap offenbar kompromittiert war. Um 03:13 Uhr MEZ bestätigte Flap auf X, die offizielle Adresse flap.sh sei von einem DNS-Hijacking betroffen und leite auf eine nicht autorisierte Website weiter.
Kurz darauf schlug Blockaid Alarm. Das System des Unternehmens habe einen möglichen Frontend-Angriff auf Flap und Kintsu erkannt. Gegen 04:16 Uhr MEZ legte Blockaid nach: Derselbe Angriff sei auf weiteren Seiten identifiziert worden, die aktiv den Step Drainer ausspielten. Genannt wurden stonkfun.xyz, pickle.finance, echelon.market, origami.finance, fluxbeam.xyz, stakepoint.app, supswap.xyz, longbow.cash, shprd.finance und apexdefi.xyz.
Kintsu, ein Liquid-Staking-Protokoll auf Monad, meldete um 04:35 Uhr MEZ einen DNS-Hijack „bei unserem Registrar“. Um 05:11 Uhr MEZ wurde das Projekt deutlicher: Die Domain kintsu.xyz sei über Vercel Domains registriert, auf Registrar-Ebene übernommen worden und liefere einen Wallet-Drainer aus. Es handle sich offenbar um einen Lieferkettenangriff außerhalb der eigenen Kontrolle. Ab 05:15 Uhr MEZ zeigte kintsu.xyz laut Kintsu wieder auf die eigene Infrastruktur. Wegen zwischengespeicherter DNS-Antworten könnten manche Netze aber noch bis zu einer Stunde die bösartige Seite anzeigen.
Flap zog um 06:21 Uhr MEZ auf eine Ausweichdomain um und meldete um 08:33 Uhr MEZ, die offizielle Adresse sei wieder erreichbar. Die Solana-Börse FluxBeam nahm ihre Website am Nachmittag vorsorglich vom Netz. On-Chain laufe alles normal, Berichte über betroffene Nutzer gebe es nicht.
Name.com und Vercel: Was über die Ursache bekannt ist
Den gemeinsamen Nenner hat The Block über öffentliche Registry-Einträge gefunden: Alle zwölf von Blockaid genannten Domains sind bei Name.com registriert. Wir haben das am Samstagnachmittag per RDAP, dem Nachfolger von Whois, nachgeprüft: Für elf der zwölf Domains ist Name.com eingetragen, für flap.sh liefert RDAP keine Daten.
Die Verbindung zu Vercel ergibt sich aus dem Geschäftsmodell: Vercel hat im September 2025 seinen Domain-Dienst neu aufgebaut und dabei Name.com als Upstream-Registrar angebunden. Vercel-Domains liegen technisch also bei Name.com. Kintsu und Origami Finance machen Vercel öffentlich verantwortlich. Origami lässt laut The Block seine Vaults pausiert, bis eine Ursachenanalyse von Vercel und Name.com vorliegt.
Einen gemeinsamen DNS-Anbieter gibt es allerdings nicht. Laut The Block laufen einige über Cloudflare, einige über Vercel und einige über die Nameserver von Name.com. Auch unsere RDAP-Abfrage zeigt derzeit gemischte Nameserver, wobei Projekte diese während der Wiederherstellung umgestellt haben können. Ein Angriff, der verschiedene DNS-Anbieter gleichzeitig trifft, deutet eher auf die Registrar-Ebene, wo festgelegt wird, welche Nameserver für eine Domain zuständig sind. Ob das Problem bei Name.com selbst, bei einem Reseller wie Vercel oder in einzelnen Kundenkonten lag, ist nicht geklärt.
Öffentlich reagiert hat Name.com bislang kaum. Um 05:27 Uhr MEZ bat der Registrar zwei Nutzer auf X lediglich, sein Abuse-Formular auszufüllen. Am Samstagvormittag wurden laut The Block zehn der Domains innerhalb von Sekunden auf den Status „client hold“ gesetzt, der eine Domain nicht mehr auflösen lässt. In unserer RDAP-Abfrage gegen 17:10 Uhr MEZ trug keine der elf Domains diesen Status mehr, alle Einträge waren zwischen 15:22 und 17:06 Uhr MEZ zuletzt geändert worden. Die Statusseiten von Vercel und Name.com listeten zu diesem Zeitpunkt keinen Vorfall.
So arbeitet der Step Drainer
Der Step Drainer ist kein neues Werkzeug. Die Sicherheitsforscher von LevelBlue SpiderLabs haben ihn im April 2026 ausführlich analysiert. Es handelt sich um ein Malware-as-a-Service-Angebot, das nach eigenen Angaben mehr als 20 Blockchain-Netzwerke unterstützt. Der Quellcode wurde laut LevelBlue für rund 750 US-Dollar angeboten, eine Variante mit 20 Prozent Provision pro erfolgreichem Diebstahl für 150 US-Dollar. Das Stager-Skript fanden die Forscher auf mehr als 3.000 Domains.
Technisch setzt der Drainer auf Täuschung statt auf Exploits. Über Web3Modal zeigt er ein echt wirkendes Fenster zur Wallet-Verbindung. Danach analysiert er die Bestände und wählt die lukrativste Methode: NFT-Freigaben über OpenSeas Seaport-Protokoll, Permit-Signaturen nach EIP-2612 oder klassische approve-Transaktionen. Die Seed-Phrase braucht er dafür nicht. Auch eine Hardware-Wallet schützt nicht, wenn der Nutzer die bösartige Freigabe selbst bestätigt.
Die Spuren in diesem Fall passen dazu. Laut der On-Chain-Auswertung von The Block verteilten die Angreifer die Erlöse in festen Anteilen von 15, 55 und 30 Prozent auf drei Wallets, und zwar auf BNB Chain, Ethereum, Robinhood Chain und Monad. Zusammen hielten die drei Adressen am Samstagvormittag rund 138.000 US-Dollar. Wie viele Nutzer betroffen sind, hat bislang kein Projekt beziffert.
Was Nutzer jetzt tun sollten
Kintsu nennt einen klaren Zeitraum: Wer seit etwa 01:00 Uhr MEZ am 31. Oktober eine Wallet mit der Seite verbunden oder eine Transaktion signiert hat, soll erteilte Freigaben über ein Revoke-Werkzeug widerrufen und Guthaben verschieben. Das gilt sinngemäß für alle betroffenen Seiten. Außerdem gilt:
- Updates nur über offizielle Kanäle der Projekte verfolgen, Folge-Phishing ist bei solchen Vorfällen üblich.
- Signaturanfragen genau lesen. Unbegrenzte Freigaben oder Permit-Signaturen für eine angeblich einfache Aktion sind ein Warnsignal.
Mehr dazu, wie Drainer und andere Maschen funktionieren, steht in unserem Guide zu Krypto-Scams.
Was Website-Betreiber daraus lernen
Es ist nicht der erste Infrastruktur-Vorfall dieser Woche. Beim Polymarket-Hack über ein DebugBear-Skript lieferte ein eingebundener Drittanbieter manipulierten Code aus. DebugBear erklärte am 31. Oktober kurz nach Mitternacht MEZ, seine DNS-Einträge seien über den Domain-Registrar kompromittiert worden. Laut RDAP ist debugbear.com allerdings bei Namecheap registriert, nicht bei Name.com. Ein gemeinsamer Täter oder eine gemeinsame Ursache ist nicht belegt. Wie schnell Vertrauen in fremde Lieferketten kippen kann, zeigte auch die manipulierte Claude Code Extension im Cursor-Marketplace.
Für Betreiber jeder Art ergeben sich daraus Prüfpunkte:
- Registrar- und Reseller-Konten absichern: starke Zwei-Faktor-Authentifizierung, möglichst per Hardware-Schlüssel, wenige berechtigte Personen und regelmäßige Kontrolle, wer Zugriff hat.
- Sperren nutzen: Neben dem üblichen Transfer-Schutz bieten viele Registries eine Registry-Lock-Option, bei der Änderungen an Nameservern nur nach manueller Bestätigung möglich sind. Für kritische Domains lohnt sich die Nachfrage.
- Änderungen überwachen: Nameserver und DNS-Einträge automatisch auf Abweichungen prüfen, ebenso Certificate-Transparency-Logs auf unerwartet ausgestellte Zertifikate für die eigene Domain.
- Notfallplan bereithalten: Ausweichdomain, vorbereitete Warnmeldungen und ein klarer Kanal für Entwarnungen. Bei Kintsu kam die Korrektur wegen DNS-Caches nur verzögert an.
DNSSEC hilft in diesem Szenario nur begrenzt. Es schützt vor gefälschten DNS-Antworten unterwegs, aber nicht davor, dass jemand mit Zugriff auf die Registrar-Ebene die Delegation selbst ändert.
Einordnung
Neu ist die Masche nicht. Laut The Block wurden die Frontends von Aerodrome und Velodrome im November 2025 auf ähnliche Weise übernommen, Galxe traf es im Oktober 2023 über das Konto beim Registrar Dynadot. Neu ist die Breite: Zwölf voneinander unabhängige Projekte an einem Abend, verbunden nur durch den Registrar, deuten auf einen Angriffspunkt oberhalb der einzelnen Kundenkonten hin. Bewiesen ist das aber nicht, und solange Vercel und Name.com schweigen, bleibt jede Schuldzuweisung vorläufig.
Die bekannte Schadenssumme ist bisher klein. Unangenehm ist der Vorfall trotzdem, denn er trifft eine Schwachstelle, die kein Smart-Contract-Audit findet: Ein Audit sagt nichts darüber, ob die Website, über die Nutzer mit dem Code interagieren, noch dem Projekt gehört.
Fazit
Das DNS-Hijacking vom 31. Oktober zeigt, wie lang die Vertrauenskette zwischen Nutzer und DeFi-Protokoll ist: Domain, Registrar, Reseller, DNS-Anbieter, Hosting. Fällt ein Glied, landen Nutzer trotz korrekter Adresse in einer Falle. Betroffene sollten jetzt ihre Freigaben prüfen, Betreiber ihre Registrar-Konten und Domain-Sperren, auch wenn sie nicht bei Name.com sind. Ob Vercel, Name.com oder einzelne Konten das Einfallstor waren, muss die Ursachenanalyse zeigen.
