Kintsu DNS-Hijack (StepDrainer-Kampagne)

Am 31. Oktober 2026 warnte Kintsu — das Liquid-Staking-Protokoll auf Monad — seine Nutzer, dass seine Website auf DNS-Ebene gekapert und auf eine bösartige Wallet-Drainer-Seite umgeleitet worden sei. Die Sicherheitsfirma Blockaid erklärte, die Aktivität sei Teil einer koordinierten StepDrainer-Kampagne, die auch die Frontends von Flap und StonkBrokers ins Visier nahm. Es wurde keine Verlustsumme genannt, und die Smart Contracts der Protokolle wurden nie berührt.

Was geschah

Kintsu erklärte, die Kompromittierung sei ein DNS-Hijack bei seinem Domain-Registrar gewesen, kein Einbruch in die eigenen Systeme: Der Angreifer änderte die Einträge, die kintsu.xyz auf dessen Server verweisen, sodass Besucher unbemerkt auf ein geklontes Frontend mit einem Wallet-Drainer umgeleitet wurden. Blockaid meldete mutmaßliche Frontend-Angriffe auf drei dApps gleichzeitig — Kintsu, die Token-Plattform Flap und StonkBrokers — und führte die Aktivität auf das StepDrainer-Toolkit zurück. Die eingeschleusten Seiten zielten auf den „Connect Wallet"-Ablauf: Nutzer, die auf den gefälschten Seiten eine Verbindung herstellten und Transaktionen bestätigten, konnten über bösartige Freigabe- und Signaturaufforderungen um ihre Vermögenswerte gebracht werden. Laut Kintsu fiel jeder, der ab 20:00 Uhr ET am 30. Oktober (00:00 UTC, 31. Oktober) ein Wallet verband oder eine Transaktion signierte, in das Gefährdungsfenster; zudem warnte das Team, dass DNS-Caches einige Nutzer noch bis zu einer Stunde auf die bösartige Seite leiten könnten, selbst nachdem die korrekten Einträge wiederhergestellt waren.

Folgen

Kintsu forderte die Nutzer auf, die Seite zu meiden, etwaige Freigaben über ein Tool wie Revoke zu widerrufen und ihre Vermögenswerte zu verschieben, und kündigte eine Folgemeldung an, sobald die Sicherheit der Seite bestätigt sei. Flap berichtete, seine betroffenen Frontends offline genommen zu haben und mit Blockaid, dem Hosting-Anbieter Vercel und dem Registrar Name.com zusammenzuarbeiten; der Gründer bestätigte, dass das Team die Reaktion koordiniere. StonkBrokers wurde nur als untersuchte Seite genannt. Blockaids Untersuchung war zum Zeitpunkt der Berichterstattung noch offen, ohne bestätigte Verlustsumme oder Opferzahl. Da der Angriff vollständig auf der DNS- und Web-Serving-Ebene stattfand, blieben die On-Chain-Verträge aller drei Protokolle unberührt — das Risiko beschränkte sich auf Nutzer, die mit den gefälschten Frontends interagierten.

Warum es wichtig ist

Der Vorfall ist ein Musterbeispiel für einen DNS-Hijack-zu-Wallet-Drainer-Angriff, dasselbe Muster, das 2022 Curve Finance traf: die Domain oder ihren Registrar kompromittieren, einen pixelgenauen Klon ausliefern und die Nutzer ihre eigenen Mittel freigeben lassen. Er ereignete sich in derselben Woche wie die Polymarket-Lieferketten-Frontend-Kompromittierung und untermauert ein wiederkehrendes Katalogthema — dass die Web-Ebene, nicht der Smart Contract, inzwischen eine führende Angriffsfläche in DeFi ist. Übernahmen auf Registrar-Ebene sind besonders gefährlich, weil sie jede On-Chain-Schutzmaßnahme und jedes Audit umgehen: Die Verträge können einwandfrei sein, während Nutzer über ein feindliches Frontend entwendet werden. Der koordinierte, protokollübergreifende Charakter der StepDrainer-Welle zeigt zudem, wie ein einziges Drainer-Kit auf die Frontends eines ganzen Ökosystems auf einmal gerichtet werden kann.