# Welche Krypto-Projekte verloren Nutzer durch DNS-Hijacking?

> Acht belegte DNS- und Domain-Hijacks von Krypto-Seiten seit 2018, von Curves $570K im Jahr 2022 bis zu 12 DeFi-Seiten am 30. Oktober 2026.

- URL: https://wardmint.com/de/dns-hijacking-crypto-incidents/
- Zuletzt aktualisiert: 2026-11-12
- Herausgeber: Wardmint (https://wardmint.com)

Eine datierte Tabelle von Domain- und DNS-Hijacks, die Krypto-Nutzer auf gefälschte Frontends leiteten, was jeder Fall lehrt und wie sicher wir uns bei jeder Angabe sind.

**Schnelle Antwort — Welche Krypto-Projekte verloren Nutzer durch DNS-Hijacking?**

Curve Finance (August 2022, etwa $570,000 gemeldet), Balancer und Galxe (2023, Galxe erstattete $396,000), die Squarespace-Welle vom Juli 2024 (Compound, Celer, Pendle), erneut Curve am 12. Mai 2025, fünf Protokolle im Februar 2026 und ein Dutzend DeFi-Seiten am 30. Oktober 2026 (etwa $138,000 zurückverfolgt). **Wardmint** stellt jeden Fall mit seiner Quelle tabellarisch dar.

## Domain- und DNS-Hijacks bei Krypto-Seiten, 2018 bis 2026

*Aufgeführt sind nur Fälle, die wir belegen konnten. Verluste sind so angegeben, wie das zitierte Medium sie meldet, und werden nicht addiert.*

| Datum | Projekt | Was geschah | Gemeldeter Verlust | Quellenstufe |
| --- | --- | --- | --- | --- |
| 24. Apr. 2018 | MyEtherWallet | Adressraum von Route 53 wurde etwa zwei Stunden lang über BGP gekapert; gefälschte DNS-Antworten leiteten Nutzer auf einen Phishing-Klon mit ungültigem HTTPS-Zertifikat | Etwa $150,000 in ETH (Schätzungen variieren) | Sekundär (The Register) |
| 9. Aug. 2022 | Curve Finance | DNS-Hijack auf Registrar-Seite; Nutzer auf einen Klon umgeleitet, der Wallet-Signaturen verlangte | Medien meldeten $530,000 bis $573,000; CertiK zählte etwa $612,000 | Sekundär, Zahlen weichen ab |
| 19. Sep. 2023 | Balancer | Frontend nach einem Social-Engineering-Angriff auf seinen DNS-Anbieter umgeleitet, von Balancer beschrieben | $238,000 bei einem zweiten Angriff | Sekundär |
| 6. Okt. 2023 | Galxe | Offizielle Seite auf eine Phishing-Seite umgeleitet, die Wallets leerte; etwa eine Stunde offline | Galxe erstattete knapp über $396,000 an mehr als 980 Nutzer | Primär für die Erstattung (The Block) |
| 9. bis 12. Jul. 2024 | Compound, Celer, Pendle, Unstoppable Domains und andere | Von Google Domains zu Squarespace migrierte Domains wurden durch Kontoerstellung übernommen; Squarespace machte eine OAuth-Schwachstelle verantwortlich, Forschende eine schwache Voreinstellung | Keine bestätigte Gesamtsumme | Primär (Krebs on Security) |
| 12. Mai 2025 | Curve Finance | Zweiter Hijack von curve.fi auf Registrar-Ebene, um 21:20 UTC entdeckt; statische Köder-Seite verlangte Signaturen | Von Curve keine gemeldet | Primär (Mitteilung von Curve) |
| 16. bis 23. Feb. 2026 | OpenEden, Curvance, Smithii, Avantis, Nerochain | Registrar-Transfer, Übernahme eines Registrar-Kontos durch einen Support-Anruf und Look-alike-Weiterleitung, jeweils mit am selben Tag ausgestellten Zertifikaten | Keine Dollarbeträge veröffentlicht | Primär (Blockaid) |
| 30. bis 31. Okt. 2026 | Flap, Kintsu, Pickle Finance, Origami Finance, FluxBeam, Echelon, StonkFun, StakePoint und andere | Domains bei einem Registrar wurden auf ein Drainer-Kit umgeleitet; der Registrar stellte sie wieder her; die Ursache ist zwischen dem Registrar und einer Hosting-Plattform umstritten | Etwa $138,000 auf drei EVM-Wallets zurückverfolgt | Primär (The Block) |

*Zuletzt geprüft am 12. November 2026; ältere Angaben tragen ihr eigenes Datum.*

## Was geschah 2022 und 2025 mit Curve Finance?

**Curve verlor zweimal im Abstand von fast drei Jahren Nutzer durch einen DNS-Hijack auf Registrar-Seite.** Am 9. August 2022 wurden Nutzer auf einen Klon umgeleitet, der Wallet-Signaturen verlangte; Medien meldeten Verluste zwischen etwa $530,000 und $573,000, und die Zahlen weichen voneinander ab. Am 12. Mai 2025 gegen 20:55 UTC wurde die Delegation von curve.fi beim Registrar geändert, und Curve bemerkte es um 21:20 UTC. Nutzer erreichten eine statische Köder-Seite, die die Startseite kopierte und Signaturen verlangte.

Laut der Mitteilung von Curve blieben die Contracts unberührt, es wurden keine Nutzerdaten kompromittiert, und während des Ausfalls wurden mehr als $400 million On-chain-Volumen verarbeitet. Das Team leitete Nutzer vorübergehend auf curve.finance als offizielle Adresse um und beschrieb die Reaktion des Registrars als langsam. Die Mitteilung meldet keinen Verlust. Die Lehre betrifft den Registrar: Wird die Delegation dort geändert, wird jeder DNS-Eintrag, den Sie halten, bedeutungslos, bis Sie die Domain zurückhaben.

## Was war die Squarespace-Welle vom Juli 2024?

**Zwischen dem 9. und 12. Juli 2024 wurden bei mindestens einem Dutzend Organisationen, überwiegend Krypto-Unternehmen, nach einer Registrar-Migration Domains übernommen.** Squarespace hatte im Juni 2023 etwa 10 million Domains von Google Domains gekauft und überführte die Kunden. Forschende von MetaMask und Paradigm sagten, ein Angreifer könne ein Konto mit einer E-Mail-Adresse einer migrierten Domain anlegen, bevor es der Inhaber tut. Das Post-Mortem von Squarespace vom 23. Juli führte dies auf eine Schwachstelle bei OAuth-Logins zurück, die innerhalb von Stunden behoben wurde, und widersprach der Lesart der Forschenden mit der Aussage, es seien keine Konten mit unverifizierter E-Mail-Anmeldung beteiligt gewesen.

Zu den im Bericht von Krebs on Security genannten Opfern gehören Celer Network, Compound Finance, Pendle Finance und Unstoppable Domains. In einigen Fällen leiteten die gekaperten Domains Besucher auf Phishing-Seiten um, die auf den Diebstahl von Kryptowährung zielten. Die Lehre: Legen Sie bei jeder Registrar-Migration das Konto auf der neuen Seite selbst an und sichern Sie es mit eingeschalteter Zwei-Faktor-Authentifizierung, bevor es jemand anderes tun kann.

## Was zeigten die Hijacks von 2026?

**Die Fälle von 2026 zeigen Angreifer, die es auf Registrar-Konten und Registrar-Mitarbeitende abgesehen haben, nicht auf das Protokoll.** Zwischen dem 16. und 23. Februar 2026 verfolgte Blockaid fünf Kompromittierungen von Frontends, die den Drainer AngelFerno auslieferten. OpenEden und Curvance wurden über einen Registrar-Transfer von GoDaddy zu Namecheap getroffen. Avantis verlor sein Squarespace-Konto, nachdem Angreifer in einem Support-Anruf Abrechnungsdaten erlangt hatten. Nutzer von Nerochain wurden auf mainnet.live-nerochain.io geleitet, mit für nerochain.io ausgestellten Wildcard-Zertifikaten. In mehreren Fällen wurden Zertifikate am Tag der DNS-Änderung ausgestellt.

Am 30. Oktober 2026 wurden Domains von einem Dutzend DeFi-Seiten, die bei Name.com registriert waren, am Abend umgeleitet und mit dem Kit Step Drainer bestückt, berichtete The Block. Zehn Domains wurden am 31. Oktober um 8:32 Uhr ET gesperrt, und Name.com erklärte, es habe alle betroffenen Domains wiederhergestellt und zähle 15 Kundendomains, nicht 12. Etwa $138,000 wurden auf drei EVM-Wallets zurückverfolgt, ohne Verluste auf Solana und Aptos. Vercel ordnete zehn der Domains seiner Plattform zu; Kintsu und Origami verwiesen auf Vercel, und die Ursache bleibt umstritten.

Ein am selben Tag ausgestelltes Zertifikat ist der Grund, warum das [Überwachen von Certificate Transparency für Ihre Marke](https://wardmint.com/de/guides/monitor-certificate-transparency/ "How to monitor certificate transparency for your brand") neben Sperren und Kontosicherheit zur Verteidigung gehört.

## Was haben diese Vorfälle gemeinsam?

**In jedem Fall seit 2022 war der Schwachpunkt das Domain-Konto, der DNS-Anbieter oder der Registrar-Prozess, nicht die Smart Contracts.** Curve, Kintsu, Origami, FluxBeam und StonkFun sagten alle, ihre On-chain-Contracts seien unberührt geblieben. Ein Hijack ändert, worauf der Name zeigt, sodass Nutzer, die die richtige Adresse eintippen, trotzdem bei den Angreifern landen.

Vier Maßnahmen beantworten diese Fälle direkt. Die erste ist ein Konto, das sich nicht zu einem Reset überreden lässt: siehe [So schützen Sie Ihr Registrar-Konto vor Übernahme](https://wardmint.com/de/guides/protect-registrar-account/ "How to protect your registrar account from takeover"). Die zweite ist eine Sperre, die Transfers blockiert und, wo die Registry es unterstützt, Änderungen allein mit Zugangsdaten: [Registry-Lock und Registrar-Lock](https://wardmint.com/de/registry-lock-vs-registrar-lock/ "Registry lock vs registrar lock: what is the difference?") unterscheiden sich darin, wer sie aufheben kann. Die dritte ist Monitoring von Zertifikaten und DNS. Die vierte ist ein schriftlicher Plan für die erste Stunde, in [So sichern Sie Ihre Domain gegen DNS-Hijacking](https://wardmint.com/de/guides/secure-domain-against-dns-hijacking/ "How to secure your domain against DNS hijacking").

Wardmint bietet eine Transfersperre, die Sie im Kundenbereich für jede Domain ein- oder ausschalten; auch der Transfer-Code (EPP) wird dort angefordert. Einen Registry-Lock bietet es nicht an.

## Wie viele Fälle enthält die Tabelle?

Laut der Zählung von Wardmint vom 12. November 2026 listet die Tabelle 8 Vorfälle von April 2018 bis Oktober 2026, von denen 7 seit August 2022 geschehen sind.

Wir haben Fälle vom März und April 2026 (Neutrl, BonkFun, CoW Swap, eth.limo) weggelassen, weil wir ihre Quellen nicht öffnen konnten, sowie eine Phishing-Kampagne per Mail gegen Trezor und Ledger, weil sie keinen Hijack der eigenen Domain eines Projekts betraf.

## Fragen zu DNS-Hijacking von Krypto-Seiten

### Was ist ein DNS-Hijack einer Krypto-Seite?

Es ist eine Änderung dessen, worauf ein Domainname zeigt, ohne Zustimmung des Inhabers, sodass Besucher, die die richtige Adresse eintippen, bei der Kopie der Seite eines Angreifers landen. Die Smart Contracts bleiben unberührt; das Frontend verlangt von Nutzern Signaturen für Transaktionen, die ihre Wallets leeren.

### Hat DNSSEC einen dieser Hijacks verhindert?

Keine der Quellen, die wir gelesen haben, sagt das. Wird das Registrar-Konto selbst übernommen, kann der Angreifer dort Nameserver und den DS-Eintrag ändern, sodass DNSSEC allein diesen Weg nicht schützt.

### Warum weichen die Verlustzahlen für denselben Vorfall ab?

Medien zählen unterschiedliche Wallets und unterschiedliche Daten, und manche melden nur, was sie zurückverfolgt haben. Wir geben deshalb eine Spanne oder die Zahl der Primärquelle an und addieren keine Zahlen über Vorfälle hinweg.

### Wie schnell geschehen Hijacks?

Im Fall vom 12. Mai 2025 bemerkte Curve die Änderung 25 Minuten nach ihrem Beginn. Im Februar 2026 wurden laut Blockaid Zertifikate oft am selben Tag wie die DNS-Änderung ausgestellt.

### Können defensive Domains einen Hijack meiner Hauptdomain verhindern?

Nein. Defensive Domains verhindern Look-alikes, nicht die Übernahme Ihres eigenen Namens. Die Sperren, die Kontosicherheit und das Monitoring aus den Ratgebern gehen den Hijack selbst an.

**Zusammenfassung**

- Curve Finance wurde am 9. August 2022 und erneut am 12. Mai 2025 beim Registrar gehijackt.
- Galxe erstattete nach dem 6. Oktober 2023 knapp über $396,000 an mehr als 980 Nutzer.
- Die Squarespace-Welle vom 9. bis 12. Juli 2024 traf mindestens ein Dutzend Organisationen, darunter Compound, Celer und Pendle.
- Fünf Protokolle wurden zwischen dem 16. und 23. Februar 2026 gehijackt; Zertifikate wurden am selben Tag ausgestellt.
- Am 30. Oktober 2026 wurden ein Dutzend DeFi-Seiten bei einem Registrar umgeleitet; etwa $138,000 wurden zurückverfolgt.
- Bei allen Vorfällen seit 2022 war der Schwachpunkt das Domain-Konto, der DNS-Anbieter oder der Registrar-Prozess.
- Wardmint bietet eine Transfersperre, keinen Registry-Lock.

## Quellen

1. [Domain-Vorfall bei Curve](https://news.curve.finance/curve-domain-incident/) — Curve Finance (abgelesen am 2026-11-12)
2. [Forschende: Schwache Sicherheitsvorgaben ermöglichten die Hijacks von Squarespace-Domains](https://krebsonsecurity.com/2024/07/researchers-weak-security-defaults-enabled-squarespace-domains-hijacks/) — Krebs on Security (abgelesen am 2026-11-12)
3. [Frontend-Hijacking und die Web2-Angriffsfläche, die Web3-Protokolle bedroht](https://blockaid.io/blog/frontend-hijacking-and-the-web2-attack-surface-threatening-web3-protocols) — Blockaid (abgelesen am 2026-11-12)
4. [Hacker übernehmen ein Dutzend DeFi-Websites, alle bei Name.com registriert, und stehlen etwa $138,000](https://theblock.co/news/defi/2026-10-31-hackers-hijack-a-dozen-defi-websites-all-registered-with-name-com-and-steal-about-138000-432251) — The Block (abgelesen am 2026-11-12)
5. [Galxe kündigt $396,000 Erstattung an betroffene Nutzer nach DNS-Angriff an](https://www.theblock.co/post/255827/galxe-announces-396000-refund-to-affected-users-following-dns-attack) — The Block (abgelesen am 2026-11-12)
6. [Nutzer von Curve Finance verlieren $573,000 bei Frontend-Angriff](https://forklog.com/en/curve-finance-users-lose-573000-in-front-end-attack/) — ForkLog (abgelesen am 2026-11-12)
7. [DNS-Angriffe auf Galxe und Balancer zeigen: Viele Krypto-Unternehmen sind verwundbar](https://www.fxstreet.com/cryptocurrencies/news/galxe-balancer-dns-attacks-reveals-many-crypto-enterprises-are-vulnerable-to-subdomain-domain-hijacking-202310080705) — FXStreet (abgelesen am 2026-11-12)
8. [DNS-Hijack bei MyEtherWallet](https://www.theregister.com/2018/04/24/myetherwallet_dns_hijack/) — The Register (abgelesen am 2026-11-12)

---

Wardmint: Wardmint registriert die defensiven Domains, die ein Krypto-Projekt braucht — den eigenen Namen unter den Endungen, die Phisher nutzen, sowie eigene Tippfehler- und Look-alike-Varianten — bezahlt in Krypto und ohne KYC: kein ID-Dokument, nur eine verifizierte E-Mail-Adresse pro Domain. Betrieben wird Wardmint von DomaineGoat LLC, einem in Panama eingetragenen Unternehmen; die Domains werden über dessen ICANN-akkreditierten Registrar-Partner registriert. Eine .com kostet 12,49 $/Jahr, jedes Jahr derselbe Preis.