Klickt heute Mittag nicht wahllos auf dApp-Websites – selbst eure Lesezeichen könnten unsicher sein.
Am 31.10. wurden die Frontends mehrerer DeFi-Projekte per DNS-Hijacking angegriffen. Die offiziellen Domains leiteten direkt auf Phishing-Seiten weiter. Die Smart Contracts blieben unangetastet – angegriffen wurde der Zugang, über den ihr sie aufruft.
Zeitlicher Ablauf (Pekinger Zeit) 👇
1️⃣ 10:13 – Offizielle Meldung von Flap: flap.sh wurde per DNS gehijackt und leitet auf eine nicht autorisierte Website weiter. Keine Wallet verbinden und nichts signieren.
2️⃣ Ab 10:21 – Blockaid veröffentlichte mehrere Warnungen: Die Frontends von flap, kintsu und anderen wurden angegriffen. Später folgte eine Reihe weiterer Websites mit derselben Angriffsmethode, darunter stonkfun, pickle.finance, echelon.market, origami.finance, fluxbeam, stakepoint und supswap. Laut Blockaid wird dort Step Drainer (ein Krypto-Diebstahl-Kit) eingesetzt.
3️⃣ Offizielle Meldung von Kintsu: Das Problem lag auf Ebene des Registrars (Domain-Registrars). Um 12:15 wurde die Domain wieder auf die eigenen Server umgeleitet, doch es kann noch etwa eine Stunde dauern, bis der DNS-Cache vollständig aktualisiert ist. Verbindet eure Wallets weiterhin nicht, bis Entwarnung gegeben wird.
4️⃣ 13:21 – Update von Flap: Es wird noch untersucht, ob der Domain-Dienstleister beteiligt war. Die Ursache steht noch nicht fest; Flap ist bereits auf eine neue Domain umgezogen.
Meine Einschätzung: Das sieht weniger nach dem Hack eines einzelnen Projekts aus, sondern eher danach, dass dieselbe Domain-Lieferkette kompromittiert wurde. Selbst wenn ihr noch so viele Smart Contracts auditiert: Wird der Zugang ausgetauscht, genügt eine einzige Signatur, und die Nutzer können trotzdem alles verlieren.
Checkliste zur Selbstprüfung:
- Wenn ihr nach dem 31.10. um 8 Uhr Pekinger Zeit auf den oben genannten Websites eine Wallet verbunden oder etwas signiert habt, widerruft zuerst eure Berechtigungen auf revoke.cash und verschiebt anschließend eure Gelder auf eine neue Adresse.
- Vertraut bei neuen Domains nur den Angaben auf dem offiziellen X-Konto des jeweiligen Projekts. Klickt nicht auf Links in Kommentaren oder Direktnachrichten.
- Wenn eure Wallet eine Signatur wie setApprovalForAll oder Permit anzeigt und ihr nicht versteht, worum es geht, klickt nicht darauf.
Quellen: offizielle X-Mitteilungen von Blockaid, Flap und Kintsu. Die Schadenssumme wurde bislang von keiner offiziellen Stelle beziffert. Ein Post-Mortem steht noch aus.
Nur gefilterte Informationen, keine Aufklärung; dies ist keine Anlageberatung.
Am 31.10. wurden die Frontends mehrerer DeFi-Projekte per DNS-Hijacking angegriffen. Die offiziellen Domains leiteten direkt auf Phishing-Seiten weiter. Die Smart Contracts blieben unangetastet – angegriffen wurde der Zugang, über den ihr sie aufruft.
Zeitlicher Ablauf (Pekinger Zeit) 👇
1️⃣ 10:13 – Offizielle Meldung von Flap: flap.sh wurde per DNS gehijackt und leitet auf eine nicht autorisierte Website weiter. Keine Wallet verbinden und nichts signieren.
2️⃣ Ab 10:21 – Blockaid veröffentlichte mehrere Warnungen: Die Frontends von flap, kintsu und anderen wurden angegriffen. Später folgte eine Reihe weiterer Websites mit derselben Angriffsmethode, darunter stonkfun, pickle.finance, echelon.market, origami.finance, fluxbeam, stakepoint und supswap. Laut Blockaid wird dort Step Drainer (ein Krypto-Diebstahl-Kit) eingesetzt.
3️⃣ Offizielle Meldung von Kintsu: Das Problem lag auf Ebene des Registrars (Domain-Registrars). Um 12:15 wurde die Domain wieder auf die eigenen Server umgeleitet, doch es kann noch etwa eine Stunde dauern, bis der DNS-Cache vollständig aktualisiert ist. Verbindet eure Wallets weiterhin nicht, bis Entwarnung gegeben wird.
4️⃣ 13:21 – Update von Flap: Es wird noch untersucht, ob der Domain-Dienstleister beteiligt war. Die Ursache steht noch nicht fest; Flap ist bereits auf eine neue Domain umgezogen.
Meine Einschätzung: Das sieht weniger nach dem Hack eines einzelnen Projekts aus, sondern eher danach, dass dieselbe Domain-Lieferkette kompromittiert wurde. Selbst wenn ihr noch so viele Smart Contracts auditiert: Wird der Zugang ausgetauscht, genügt eine einzige Signatur, und die Nutzer können trotzdem alles verlieren.
Checkliste zur Selbstprüfung:
- Wenn ihr nach dem 31.10. um 8 Uhr Pekinger Zeit auf den oben genannten Websites eine Wallet verbunden oder etwas signiert habt, widerruft zuerst eure Berechtigungen auf revoke.cash und verschiebt anschließend eure Gelder auf eine neue Adresse.
- Vertraut bei neuen Domains nur den Angaben auf dem offiziellen X-Konto des jeweiligen Projekts. Klickt nicht auf Links in Kommentaren oder Direktnachrichten.
- Wenn eure Wallet eine Signatur wie setApprovalForAll oder Permit anzeigt und ihr nicht versteht, worum es geht, klickt nicht darauf.
Quellen: offizielle X-Mitteilungen von Blockaid, Flap und Kintsu. Die Schadenssumme wurde bislang von keiner offiziellen Stelle beziffert. Ein Post-Mortem steht noch aus.
Nur gefilterte Informationen, keine Aufklärung; dies ist keine Anlageberatung.