• Blockaid identifizierte 12 gekaperte Websites, auf denen Step Drainer zum Einsatz kam, darunter Flap und Kintsu.

• Alle 12 Domains nutzten denselben Registrar, doch die Ermittler konnten noch nicht bestätigen, wie die Angreifer Zugriff erlangten.

• Die auf drei Wallets zurückverfolgten 138.000 US-Dollar schließen etwaige Verluste auf Solana oder Aptos nicht ein.

Angreifer kaperten am späten Freitag 12 DeFi-Websites und leiteten Besucher von vertrauten Adressen auf Seiten um, die darauf ausgelegt waren, ihre Krypto-Wallets leerzuräumen. Die Sicherheitsfirma Blockaid identifizierte Step Drainer auf allen betroffenen Websites. Bis Samstagmorgen hatte The Block rund 138.000 US-Dollar zu drei Wallets zurückverfolgt. Die Schätzung schließt etwaige Verluste auf Solana oder Aptos nicht ein, und die Zahl der Opfer ist weiterhin unbekannt. 

Wie gekaperte DeFi-Websites Nutzer zu Step Drainer führten

Flap bestätigte, dass seine offizielle Adresse Besucher auf eine nicht autorisierte Website umleitete. Ein Nutzer konnte die richtige Adresse eingeben und trotzdem auf der Seite der Angreifer landen, weil die zugrunde liegenden Domaineinträge geändert worden waren.

Unsere offizielle Website, https://t.co/9FwWnFw4KX , ist derzeit von einem DNS-Hijacking-Vorfall betroffen und leitet auf eine nicht autorisierte Website um. Bitte besucht die Website nicht, verbindet eure Wallet nicht und unterzeichnet bis auf Weiteres keine Transaktionen. Wir arbeiten aktiv daran, sie wiederherzustellen…

— Flap (@flapdotsh) 31. Oktober 2026

Der Drainer forderte Besucher auf, eine Wallet zu verbinden und Transaktionen zu autorisieren, durch die Vermögenswerte abgezogen wurden. Dieser Unterschied ist wichtig: Der Besuch einer der DeFi-Websites war für sich genommen kein Beleg dafür, dass ein Besucher Geld verloren hatte. Kintsu, Origami Finance, FluxBeam und StonkFun erklärten, ihre Smart Contracts seien nicht betroffen gewesen.

Die Spur der Zahlungen zeigte ein einheitliches Muster. Drei Wallets erhielten die Erlöse über mehrere Netzwerke hinweg zu Anteilen von 15 %, 55 % und 30 %. Auf der Robinhood Chain zeigten Transaktionsdaten, dass eine Wallet tokenisierte Apple- und Nvidia-Aktien aus Morpho abzog, bevor sie diese gegen ETH tauschte.

DeFi-Websites nutzten denselben Registrar, aber unterschiedliche Nameserver

Laut öffentlichen Unterlagen, die The Block geprüft hat, nutzten alle 12 DeFi-Websites Name.com als Registrar. Ihre Nameserver verteilten sich auf Cloudflare, Vercel und Name.com. Der gemeinsame Registrar grenzt die Ermittlungen ein, belegt aber nicht, welches Unternehmen oder Konto die Angreifer kompromittiert haben.

Am Samstag um 8:32 Uhr ET wurden 10 Domains auf Registrar-Ebene gesperrt, sodass ihre Adressen nicht mehr aufgelöst werden konnten. Flap und Kintsu waren die beiden Ausnahmen. Origami erklärte, die Vaults pausiert zu lassen, bis die Untersuchungsergebnisse von Vercel und Name.com vorlägen.

StonkFun meldete, dass das Unternehmen seine Website offline nahm, auf eine neue Infrastruktur verlegte und wiederherstellte. Auch nach diesem Umzug bat das Team die Nutzer, eine Stunde zu warten, bevor sie ihre Wallets verbanden. Einige Netzwerke konnten Besucher noch zum alten Ziel leiten, während ihre zwischengespeicherten Einträge aktualisiert wurden.

Haftungsausschluss: Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Finanzberatung dar. CoinCryptoNewz übernimmt keine Verantwortung für entstandene Verluste. Leser sollten eigene Nachforschungen anstellen, bevor sie finanzielle Entscheidungen treffen.

<p>Der Beitrag „Hacker kapern 12 DeFi-Websites, während 138.000 US-Dollar zu Wallets zurückverfolgt werden“ erschien zuerst auf Coin Crypto Newz.</p>