Angreifer haben Ende Oktober die Websites mehrerer DeFi-Protokolle auf gefälschte Seiten umgeleitet. Nach Angaben der Projekte blieben die Smart Contracts unberührt, der Schaden entstand bei der Domain-Verwaltung. Für Investoren, die digitale Assets halten oder tokenisierte Produkte prüfen, rückt damit eine oft übersehene Schwachstelle in den Blick.
Was in der Nacht zum 31. Oktober passiert ist
Der Registrar Name.com bestätigte gegenüber The Block unbefugte Aktivitäten am Abend des 30. Oktober. Betroffen waren 15 Kundendomains, darunter die Seiten von Flap, Kintsu, Pickle Finance und Origami Finance. Alle Domains sind laut Name.com wiederhergestellt. Auf X riet das Unternehmen Kunden, ihre DNS-Einträge zu prüfen und die Zwei-Faktor-Anmeldung zu aktivieren.
Das Sicherheitsunternehmen Blockaid fand auf den manipulierten Seiten den sogenannten Step Drainer. Die Software verleitet Nutzer dazu, beim Verbinden ihrer Wallet Überweisungen freizugeben. Laut LevelBlue SpiderLabs wird das Werkzeug als Dienstleistung an Kriminelle verkauft.
The Block verfolgte am 31. Oktober rund 138.000 US-Dollar Beute auf drei Wallets. Verluste auf Solana und Aptos sind darin nicht enthalten. Eine Auswertung von Bitquery kommt auf rund 202.000 US-Dollar aus 32 Wallets (Stand 1. November 2026).
Warum die Schwachstelle außerhalb der Blockchain liegt
Der Angriff zeigt eine Lücke zwischen Protokoll und Nutzer. Die Verträge auf der Blockchain sind öffentlich einsehbar und oft extern geprüft. Die Website, über die Nutzer sie ansprechen, hängt dagegen an klassischer Internetinfrastruktur: Registrar, DNS-Anbieter, Hosting. Wer die Domain kontrolliert, bestimmt, was Nutzer sehen und signieren.
Wo genau die Kette brach, ist offen. Kintsu und Origami Finance verwiesen auf den Hosting-Anbieter Vercel, der Name.com als Registrar für seinen Domain-Dienst nutzt. Vercel erklärte in einem Sicherheitshinweis, zehn der Domains seien mit seiner Plattform verbunden. Name.com sieht die Verantwortung laut einem betroffenen Entwickler bei Drittanbietern.
Auffällig ist ein Detail aus den On-Chain-Daten von The Block. Auf der Robinhood Chain zogen die Angreifer tokenisierte Aktien wie Nvidia und Apple aus dem Kreditprotokoll Morpho ab. Die Lücke im Frontend trifft damit auch Produkte, die klassische Wertpapiere abbilden.
Was Entscheider daraus ableiten können
Für institutionelle Anleger ist der Fall vor allem eine Frage der operativen Due Diligence. Die Prüfung eines DeFi-Protokolls endet häufig beim Audit der Smart Contracts. Domain-Sicherheit, Registrar-Sperren und die Abhängigkeit von wenigen Dienstleistern gehören nach Einschätzung von altii ebenso auf die Prüfliste.
Hinzu kommt die eigene Organisation. Wer über Weboberflächen mit Protokollen arbeitet, braucht Freigaberegeln, die jede Signatur unabhängig von der angezeigten Seite prüfen. Verwahrsysteme mit Transaktionssimulation und festen Adresslisten senken das Risiko, ausschließen können sie es nicht.
Offen ist noch die Ursachenanalyse von Name.com und Vercel. Sie wird zeigen, ob einzelne Konten oder eine Partnerschnittstelle kompromittiert waren. Für die Bewertung von Dienstleisterrisiken in der Krypto-Infrastruktur ist diese Antwort wichtiger als die Schadenssumme.
* DE: Die ergänzenden Inhalte können KI-generiert sein. EN: The additional content may be AI-generated.