Name.com-Domains gekapert: Drainer auf zwölf DeFi-Seiten, Freigaben vom 31. Oktober widerrufen

Wer in der Nacht zum 31. Oktober 2026 eine von mindestens zwölf DeFi-Seiten aufgerufen hat, die beim US-Registrar Name.com angemeldet sind, ist womöglich nicht auf der echten Seite gelandet. Angreifer hatten die DNS-Einträge dieser Domains umgebogen und Besucher auf Kopien mit einem Wallet-Drainer geleitet. Die Adresse im Browser sah dabei völlig normal aus. Laut der Auswertung von Bitquery verloren 32 Wallets zusammen 202.386 Dollar, The Block kommt auf rund 138.000 Dollar. Die wichtigste Konsequenz für dich: Hast du am 30. oder 31. Oktober auf einer der betroffenen Seiten eine Transaktion oder Signatur bestätigt, solltest du die dabei erteilten Freigaben widerrufen.

Die Smart Contracts der Projekte selbst blieben nach Angaben von Kintsu, Origami Finance, FluxBeam und StonkFun unberührt. Angegriffen wurde nicht die Blockchain, sondern der Weg dorthin: die Webseite, über die Nutzer ihre Wallet verbinden. Genau deshalb trifft ein solcher Angriff Privatanleger direkt, und genau deshalb hilft dir hier kein Audit des Protokolls.

Name.com-Kaperung: Was in der Nacht zum 31. Oktober passiert ist

Nach der Rekonstruktion von The Block fiel die Seite der Plattform Flap auf der BNB Chain am Freitagabend, 30. Oktober, um 21:10 Uhr Ostküstenzeit als kompromittiert auf. Das entspricht 01:10 Uhr UTC am Samstag. Rund 100 Minuten später warnte das Sicherheitsunternehmen Blockaid vor Flap und dem Monad-Staking-Dienst Kintsu und ordnete beide Seiten dem Drainer-Baukasten Step Drainer zu. Später nannte Blockaid zehn weitere Seiten. Gemeinsam war allen zwölf nur eines: Sie waren bei Name.com registriert, einem Registrar, der zur Identity-Digital-Gruppe gehört.

Auf diesen gemeinsamen Nenner kamen zuerst Nutzer auf X. Ein Nutzer schrieb dort kurz vor Mitternacht Ostküstenzeit, Name.com scheine kompromittiert zu sein. Name.com antwortete gut eine halbe Stunde später und bat Betroffene, das Missbrauchsformular des Registrars auszufüllen. Am Samstagmorgen um 8:32 Uhr Ostküstenzeit sperrte der Registrar zehn der Domains, Flap und Kintsu gehörten laut The Block nicht dazu. Bis zum späten Vormittag waren die Sperren wieder aufgehoben und die Domains lösten wieder normal auf.

Bitquery hat die Abbuchungen auf der Blockchain nachgezählt. Danach liefen sie am 31. Oktober zwischen etwa 00:00 und 06:00 Uhr UTC, der größte Teil vor 04:00 Uhr UTC. Für Leser in Deutschland heißt das: Das Zeitfenster lag in der Nacht von Freitag auf Samstag zwischen 1 und 7 Uhr deutscher Zeit, also zu einer Stunde, in der viele nicht nachts handeln, Nutzer in Asien und den USA aber sehr wohl.

DNS-Hijacking: Wie die Umleitung auf gefälschte DeFi-Seiten funktioniert

Das Domain Name System, kurz DNS, ist das Adressbuch des Internets: Es übersetzt einen Namen wie kintsu.xyz in die Serveradresse, unter der die Seite liegt. Wer diese Einträge beim Registrar oder beim DNS-Anbieter ändern kann, schickt jeden Besucher an einen Server seiner Wahl. Diese Art Angriff heißt DNS-Hijacking oder Domain-Kaperung.

Ein Registrar ist das Unternehmen, bei dem eine Domain angemeldet und verwaltet wird. Bei Name.com liefen nach der Aufstellung von Bitquery sechs der zwölf Domains über den DNS-Dienst von Vercel, einem Hostingdienst, über den viele Web3-Projekte ihre Oberflächen ausliefern. Drei nutzten NS1, zwei Cloudflare und eine Name.com selbst. Dass die Umleitung über verschiedene DNS-Anbieter hinweg gelang, spricht dafür, dass der Eingriff eine Ebene darüber ansetzte. Wie die Angreifer die Einträge ändern konnten, ist bis heute nicht geklärt.

Das Tückische an dieser Methode: Die Adresszeile zeigt den echten Namen, das Schloss-Symbol für die verschlüsselte Verbindung ist oft ebenfalls da. Die gefälschte Seite sieht aus wie das Original, weil sie eine Kopie ist. Der einzige Unterschied liegt in dem, was die Seite deiner Wallet zum Unterschreiben vorlegt.

Warum Lesezeichen hier nicht schützen

Ein häufiger Rat gegen Phishing lautet, Seiten nur über Lesezeichen aufzurufen. Gegen gefälschte Suchanzeigen und Tippfehler-Domains ist das richtig. Bei einer DNS-Kaperung führt aber auch das Lesezeichen auf den Server der Angreifer, denn der Name selbst zeigt dorthin. Schutz bietet in diesem Fall nur, was in der Wallet passiert: das Lesen der Signatur, die Warnung der Wallet und eine Trennung zwischen dem Geld, mit dem du DeFi nutzt, und dem Rest.

Step Drainer: Das Baukasten-Werkzeug hinter den Abbuchungen

Ein Wallet-Drainer ist eine Schadsoftware auf einer Webseite, die Besucher dazu bringt, nach dem Verbinden ihrer Wallet Übertragungen oder Freigaben zu bestätigen, mit denen Angreifer die Mittel abziehen. Step Drainer beschrieben die LevelBlue SpiderLabs nach Angaben von The Block bereits im April als Angebot nach dem Muster „Malware-as-a-Service“: Der vollständige Quellcode soll rund 750 Dollar kosten, eine Mietversion 150 Dollar plus 20 Prozent jeder Beute. Der Baukasten unterstützt nach eigener Werbung mehr als 20 Netzwerke.

Bitquery unterscheidet in seiner Auswertung vier Wege, über die das Geld abfloss:

• direkte Übertragungen an einen Vertrag der Angreifer,
• Token-Freigaben, mit denen die Angreifer Guthaben später selbst abziehen konnten,
• gebündelte Signaturen, die mehrere Token in einer einzigen Transaktion bewegten,
• eine Berechtigung in der Kreditplattform Morpho, über die ein Vertrag der Angreifer das Konto eines Nutzers verwalten durfte.

Eine Token-Freigabe, auf Englisch Approval, ist eine Erlaubnis, die du einem Smart Contract erteilst, damit er Token aus deiner Wallet bewegen darf. Sie bleibt bestehen, bis du sie widerrufst, auch wenn du die Seite längst geschlossen hast. Die Opfer bestätigten laut Bitquery Anfragen, die nach Routine aussahen, etwa eine Einzahlung oder das Abholen einer Belohnung. Ein Sammelvertrag teilte die Beute anschließend im Verhältnis 55, 30 und 15 Prozent auf drei Wallets auf.

Schaden: 138.000 bis 202.000 Dollar, je nach Zählweise

Die beiden veröffentlichten Schadenszahlen widersprechen sich nicht, sie messen Verschiedenes. The Block verfolgte rund 138.000 Dollar über drei Wallets auf EVM-Blockchains, also auf Ethereum und kompatiblen Netzen, überwiegend in MON und in ETH auf der Robinhood Chain. Verluste auf Solana und Aptos sind darin nicht enthalten. Bitquery bewertet jede Abbuchung zum Zeitpunkt des Abflusses und zählt auch Mittel mit, die noch in einer Warteschlange liegen. So ergeben sich 202.386 Dollar aus 32 Wallets auf sechs Blockchains. Nach Angaben von Bitquery deckt sich der Kontostand der Angreifer-Wallets am Abend des 31. Oktober mit rund 139.000 Dollar weitgehend mit der Zahl von The Block.

Der Schaden ist extrem ungleich verteilt. Ein einzelner Kintsu-Staker auf Monad verlor laut Bitquery 160.531 Dollar, knapp 80 Prozent der Summe. Mehr als die Hälfte der Opfer büßte dagegen weniger als 100 Dollar ein. Das zeigt, wie ein Drainer arbeitet: Er nimmt, was die Wallet hergibt. Wer eine große Position in derselben Wallet hält, mit der er neue Seiten ausprobiert, setzt im Ernstfall alles auf einmal aus.

Ein Teil des Geldes ist womöglich noch nicht verloren. Rund 56.600 Dollar in Form von 2,64 Millionen sMON lagen nach Bitquerys Stand vom 31. Oktober, 18:30 Uhr UTC, in der Auszahlungswarteschlange von Kintsu. Ob das Team diese Anträge anhalten kann, hängt von den Verträgen des Projekts ab. Eine Börse oder Brücke hatten die Mittel bis dahin nach Bitquerys Beobachtung nicht erreicht.

Betroffene Seiten: Flap, Kintsu, Pickle Finance und neun weitere

The Block nennt acht der zwölf von Blockaid gefundenen Projekte: Flap, Kintsu, Pickle Finance, Origami Finance, FluxBeam, Echelon, StonkFun und StakePoint. Bitquery führt zusätzlich longbow.cash, apexdefi.xyz, shprd.finance und supswap.xyz. Name.com selbst sprach von 15 betroffenen Kundendomains, die übrigen drei sind öffentlich nicht benannt.

Die Projekte verteilen sich über mehrere Netze. Flap läuft auf der BNB Chain, Kintsu auf Monad, Echelon auf Aptos, FluxBeam, StakePoint und StonkFun auf Solana, Pickle Finance und Origami Finance auf Ethereum und weiteren EVM-Netzen. FluxBeam und StonkFun erklärten, ihnen seien keine geschädigten Nutzer bekannt. Origami Finance hielt seine Vaults nach eigenen Angaben pausiert, bis die Ursache geklärt ist. Kintsu riet seinen Nutzern laut Bitquery, alles zu widerrufen, was sie seit Mitternacht UTC am 31. Oktober signiert haben.

Bitquery beobachtete außerdem Bots, die mit gefälschten Token in ähnlich aussehenden Adressen versuchten, die Abbuchungen nachzuahmen. Diese Adressvergiftung ist ein eigener Trick: Er setzt darauf, dass Opfer später eine falsche Adresse aus ihrem Transaktionsverlauf kopieren.

Name.com und Vercel: Was die Unternehmen bisher sagen

Name.com erklärte nach Angaben von The Block am 31. Oktober, man habe alle betroffenen Domains wiederhergestellt und arbeite direkt mit den Kontoinhabern zusammen. Auf X schrieb der Registrar, die Domains seien am späten Freitag unrechtmäßig umgeleitet worden, um an die Wallets von Besuchern zu gelangen. Seinen Kunden riet Name.com, Nameserver und DNS-Einträge auf unbefugte Änderungen zu prüfen und die Zwei-Faktor-Anmeldung einzuschalten.

Vercel bestätigte laut The Block in einer Sicherheitsmitteilung, dass zehn der betroffenen Domains mit seiner Plattform verbunden waren, dass Name.com sie wiederhergestellt habe und dass Vercel die Untersuchung unterstütze. Vercel hatte Name.com im Jahr 2025 als Registrar für seinen neu aufgebauten Domaindienst gewählt. Kintsu schrieb auf X, der Vorfall sei auf Seiten von Vercel geschehen und habe außerhalb seiner Kontrolle gelegen. Das ist die Darstellung eines betroffenen Projekts, keine festgestellte Ursache. Weder Name.com noch Vercel haben bisher öffentlich erklärt, wie die Angreifer die Einträge ändern konnten.

DeFi in Deutschland: Warum bei Frontend-Angriffen niemand für den Schaden einsteht

Für Anleger in Deutschland ist der Fall auch deshalb lehrreich, weil er zeigt, wo der Schutz durch Aufsicht endet. Kauft und verwahrst du Kryptowerte bei einem nach MiCA zugelassenen Anbieter, haftet ein Unternehmen mit Sitz, Zulassung und Ansprechpartner. Nutzt du dagegen eine DeFi-Anwendung über deine eigene Wallet, gibt es in der Regel niemanden, der für einen Verlust einsteht: Die Signatur hast du selbst erteilt, der Vertrag hat korrekt ausgeführt, was du freigegeben hast. Welche Börsen eine Zulassung haben, zeigt unser Überblick über regulierte Kryptobörsen.

Das ist kein Argument gegen DeFi, wohl aber eines für eine klare Aufteilung. Wer eine eigene Wallet nur für den Umgang mit neuen Anwendungen nutzt und dort einen kleinen Betrag hält, begrenzt den Schaden eines solchen Angriffs auf genau diesen Betrag. Welche Software-Wallets Transaktionen vor dem Signieren simulieren und vor bekannten Drainern warnen, vergleicht unser Software-Wallet-Vergleich. Der Rest gehört auf ein Gerät, das nur auf deine ausdrückliche Bestätigung hin signiert.

So schützt du dich vor DNS-Kaperung und Wallet-Drainern

Was passiert ist: Am 31. Oktober 2026 zwischen etwa 00:00 und 06:00 Uhr UTC leiteten Angreifer mindestens zwölf bei Name.com registrierte DeFi-Domains per DNS-Änderung auf Kopien mit dem Step Drainer um. Der Schaden liegt laut The Block bei rund 138.000 Dollar, laut Bitquery bei 202.386 Dollar aus 32 Wallets (Stand 31. Oktober). Name.com hat die Domains nach eigenen Angaben wiederhergestellt.

Bist du betroffen? Betroffen sein kann, wer in der Nacht vom 30. auf den 31. Oktober eine der genannten Seiten wie Flap, Kintsu, Pickle Finance, Origami Finance, FluxBeam, Echelon, StonkFun, StakePoint, longbow.cash, apexdefi.xyz, shprd.finance oder supswap.xyz geöffnet und dort eine Wallet verbunden und etwas bestätigt hat. Wer die Seiten in dieser Zeit nicht genutzt oder nur angesehen hat, ohne zu signieren, hat nach heutigem Stand nichts verloren. Drei der 15 Domains sind öffentlich nicht benannt; prüfe deshalb auch andere DeFi-Seiten, die du in dieser Nacht genutzt hast.

1. Freigaben entziehen: Öffne einen Freigabe-Prüfer wie Revoke.cash, verbinde die betroffene Wallet und widerrufe jede Token-Freigabe vom 30. und 31. Oktober, und zwar auf jeder Blockchain, die du dort genutzt hast.
2. Morpho-Berechtigungen prüfen: Nutzt du Morpho, kontrolliere in den Kontoeinstellungen, welche Adressen dein Konto verwalten dürfen, und entferne jede unbekannte.
3. Signaturen lesen: Brich jede Signatur ab, die eine unbegrenzte Freigabe, eine Übertragung an eine fremde Adresse oder eine Kontoberechtigung verlangt, obwohl du nur einzahlen oder etwas abholen wolltest.
4. Wallet-Warnungen ernst nehmen: Erscheint beim Verbinden eine Warnung vor einer bösartigen Seite, schließe den Tab, auch wenn die Adresszeile stimmt, und prüfe den offiziellen X-Kanal des Projekts auf eine Entwarnung.
5. DeFi-Wallet trennen: Richte für neue Anwendungen eine eigene Wallet mit kleinem Betrag ein und halte größere Bestände auf einer Hardware-Wallet, die du nie mit unbekannten Seiten verbindest.

Die Grundlagen der sicheren Verwahrung erklärt unser Ratgeber Kryptowährungen sicher aufbewahren, die passenden Geräte vergleicht der Hardware-Wallet-Vergleich.

Ursache offen: Welche Fragen Name.com und Vercel noch beantworten müssen

Offen ist vor allem, an welcher Stelle die Angreifer die Kontrolle über die Domains bekamen. Möglich sind ein Einbruch beim Registrar, ein Zugang über die Schnittstelle eines Partners wie Vercel oder kompromittierte Kundenkonten. Belegt ist bisher keine dieser Varianten, und es wäre unseriös, eine davon als Tatsache zu behandeln. Vercel hatte im April einen Sicherheitsvorfall gemeldet, den das Unternehmen auf ein kompromittiertes Werkzeug eines Drittanbieters zurückführte. Ob es einen Zusammenhang gibt, ist nicht bekannt.

Neu ist das Muster nicht. The Block erinnert an ähnliche DNS-Angriffe auf die Handelsplattformen Aerodrome und Velodrome im November 2025 und auf Galxe im Oktober 2023. Neu ist die Breite: Ein Eingriff auf Ebene eines Registrars trifft auf einen Schlag Projekte auf sechs Blockchains, die sonst nichts miteinander verbindet. Sobald Name.com oder Vercel die Ursache benennen, lässt sich besser einschätzen, ob andere Kunden derselben Anbieter gefährdet sind.

Name.com-Kaperung: Freigaben vom 30. und 31. Oktober bleiben das Risiko

Die Domains sind wiederhergestellt, eine erteilte Freigabe erlischt dadurch aber nicht. Drei Schritte reichen, um das Restrisiko zu schließen:

1. Prüfe und widerrufe alle Freigaben vom 30. und 31. Oktober. Für die Zukunft hilft eine Wallet, die Transaktionen vor dem Signieren simuliert; Kandidaten zeigt der Software-Wallet-Vergleich.
2. Verlege Bestände, die du nicht aktiv in DeFi brauchst, auf ein Gerät aus dem Hardware-Wallet-Vergleich und verbinde es nie mit Seiten, die du nicht kennst.
3. Kaufe und verwahre deinen Grundbestand bei einem zugelassenen Anbieter; welche Plattformen eine MiCA-Zulassung haben, zeigt die Liste der regulierten Kryptobörsen.

(Stand: 2. November 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)