Schnelle Antwort
Was sollten Sie tun, wenn eine Phishing-Seite Ihr Projekt imitiert?
Wenn eine Phishing-Seite Ihr Projekt imitiert, prüfen Sie zuerst, ob Ihre eigene Domain noch korrekt auflöst, warnen Sie dann Nutzer über verifizierte Kanäle mit Ihrer echten Adresse, melden Sie die Seite parallel bei ihrem Registrar und Host und rotieren Sie jeden Zugang, den ein Angreifer haben könnte. Chainalysis zählte 2025 einen Anstieg von Betrug durch Identitätsvortäuschung um etwa 1,400%. Wardmint handelt innerhalb von 24 Stunden nach einem gut dokumentierten Bericht.
Die erste Stunde, Minute für Minute
| Zeitfenster | Maßnahmen | Eigentümer |
|---|---|---|
| 0 bis 10 Minuten | Die Fälschung bestätigen, das eigene DNS prüfen, eine Vorfallleitung benennen | Sicherheitsverantwortliche |
| 10 bis 25 Minuten | Auf jedem verifizierten Kanal eine Warnung mit der echten Adresse veröffentlichen; jede Signaturkampagne pausieren | Community-Verantwortliche |
| 25 bis 40 Minuten | Das Beweispaket an Registrar und Host senden; die URL auf Warnlisten melden | Sicherheitsverantwortliche |
| 40 bis 60 Minuten | Zugang zum Registrar-Konto prüfen, Passwörter und 2FA rotieren, DNS-Einträge überprüfen | Betriebsverantwortliche |
| Nach der ersten Stunde | Meldungen verfolgen, Nutzer informieren, über eine UDRP-Beschwerde entscheiden | Vorfallleitung |
Die Checkliste für die erste Stunde
Einen Look-alike von einem Hijack trennen
Führen Sie die DNS-Prüfung unten aus. Ein Look-alike ist eine andere Domain; Nutzer, die sich vertippt oder falsch geklickt haben, landeten dort. Ein Hijack bedeutet, dass Ihre eigene Domain jetzt woandershin zeigt, und der Fall ist ein Notfall bei Ihrem Registrar.
Eine Vorfallleitung benennen
Eine Person verantwortet den Zeitplan, den Beweisordner und jede ausgehende Nachricht. Die anderen führen aus; sie improvisieren nicht.
Nutzer über vertraute Kanäle warnen
Veröffentlichen Sie die echte Adresse im Banner Ihrer Website, in Ihren Social-Media-Konten, auf Ihrem Community-Server und in den Kanälen der Wallet-Integrationen. Sagen Sie klar: Signieren Sie niemals eine Anfrage von einer anderen Adresse. Schreiben Sie die gefälschte Adresse entschärft, etwa als example[.]com, damit niemand sie anklickt.
Die Meldungen parallel starten
Zuerst Registrar und Host, dann Safe Browsing, Netcraft, Chainabuse und Wallet-Blocklisten. Der Meldungs-Ratgeber enthält die RDAP-Befehle.
Den eigenen Zugang absichern
Prüfen Sie die Anmeldungen bei Registrar-Konto, DNS-Anbieter und Hosting. Rotieren Sie Passwörter, ersetzen Sie SMS-2FA durch einen Hardware-Schlüssel und prüfen Sie die DNS-Einträge Zeile für Zeile. Siehe So schützen Sie Ihr Registrar-Konto vor Übernahme.
Nutzern helfen, die bereits signiert haben
Sagen Sie ihnen, dass sie verbleibende Mittel in eine neue Wallet verschieben, Token-Freigaben mit einem Freigabe-Prüfer eines Block-Explorers prüfen und widerrufen und Ihnen den Transaktions-Hash senden sollen. Versprechen Sie in der ersten Nachricht keine Erstattung.
dig +short NS yourdomain.com
dig +short A yourdomain.com
dig +short TXT yourdomain.com
curl -sL https://rdap.org/domain/yourdomain.com | jq '{status: .status, nameservers: [.nameservers[].ldhName], changed: [.events[] | select(.eventAction=="last changed") | .eventDate]}'
# compare with the values you recorded in your runbook; a changed nameserver or a new "last changed" date you did not make is a hijackWie unterscheiden Sie eine Look-alike-Seite von einem Hijack Ihrer eigenen Domain?
Wenn Ihre Domain weiterhin auf Ihre Server auflöst und ihre Nameserver Ihre sind, liegt die Fälschung auf einer anderen Domain. Die Prüfung dauert mit den Befehlen oben weniger als eine Minute. Ein Look-alike bedeutet, dass der Angreifer eine andere Domain besitzt und darauf setzt, dass Nutzer sich vertippen, eine Anzeige anklicken oder einem Link folgen.
Ein Hijack ist etwas anderes. Am 12. Mai 2025 wurde die Domain von Curve Finance gegen 20:55 UTC auf Registrar-Ebene umgeleitet; das Team bemerkte es um 21:20 UTC, wies Nutzer an, vorübergehend curve.finance zu verwenden, und erklärte, dass Contracts und Nutzerdaten nicht betroffen seien. Am Abend des 30. Oktober 2026 wurden Domains von etwa einem Dutzend DeFi-Frontends, die bei Name.com registriert waren, auf ein Drainer-Kit umgeleitet, und The Block berichtete, dass zehn Domains am nächsten Morgen um 8:32 Uhr Eastern Time gesperrt wurden. Rufen Sie bei einem Hijack vor allem anderen Ihren Registrar an.
Was sollte die Warnung an Nutzer sagen?
Eine gute Warnung nennt die echte Adresse, sagt, was abzulehnen ist, und beschuldigt niemanden. Halten Sie sie auf vier Zeilen: was geschehen ist, die eine offizielle Adresse, die Anweisung, jede Signaturanfrage von einer anderen Adresse abzulehnen, und die Uhrzeit des nächsten Updates.
Verlinken Sie die gefälschte Seite nicht. Spekulieren Sie nicht über Verluste. Die Mitteilung von Curve vom Mai 2025 ist ein Vorbild für die Form: Sie sagte, was umgeleitet wurde, welche Adresse zu nutzen ist und dass die Contracts unberührt waren. Heften Sie die Mitteilung auf jedem Kanal an und bearbeiten Sie sie an Ort und Stelle, wenn sich Fakten ändern, mit der Uhrzeit jeder Bearbeitung. Der längerfristige Schritt ist ein defensives Set Ihrer eigenen Varianten, damit die naheliegenden Fälschungen für einen Angreifer nicht zu haben sind.
Was tun Sie mit den Meldungen und den Beweisen?
Senden Sie in derselben Stunde ein Beweispaket an jeden Empfänger. Das Paket enthält die URL, datierte Screenshots, die Signaturanfrage, Empfangs-Wallet-Adressen und die RDAP-Ausgabe. Die vollständige Reihenfolge der Kontakte steht in So nehmen Sie eine Phishing-Seite vom Netz, die Ihre dApp kopiert.
Führen Sie ein Protokoll jeder Meldung mit Uhrzeit, Empfänger und Referenznummer. Eine spätere UDRP-Beschwerde, eine Beschwerde bei ICANN Compliance oder eine Strafanzeige geht von diesem Protokoll aus. Die Drainer-Verluste sind groß: ScamSniffer zählte 2025 106,106 Opfer und USD 83.85 million an Wallet-Drainer-Verlusten auf EVM-Chains, ein sauberes Protokoll hilft also Nutzern, die eigene Meldungen einreichen.
Wie sehr verändert Vorbereitung die erste Stunde?
Ein schriftliches Runbook spart die Minuten, die Sie nicht übrig haben. Laut der Erhebung von Wardmint vom 12. November 2026 enthält seine Recherchedatei vier Hijack-Einträge mit einer Primärquelle seit Juli 2024: die Squarespace-Welle (Juli 2024), Curve Finance (Mai 2025), eine Gruppe aus fünf Projekten (Februar 2026) und Kunden von Name.com (Oktober 2026). Jede Quelle verbindet den Angriff mit der Ebene von Domain, Registrar oder DNS statt mit Smart Contracts, auch wenn die Ursache vom Oktober 2026 zwischen Name.com und Vercel umstritten ist. Halten Sie schriftlich fest, bevor Sie es brauchen: wer die Registrar-Anmeldung besitzt, wo die 2FA-Schlüssel aufbewahrt werden, welche DNS-Einträge Sie erwarten und den Kontakt für jeden Kanal.
Zur Härtung vor einem Vorfall siehe So sichern Sie Ihre Domain gegen DNS-Hijacking. Support bei Wardmint: Antworten per E-Mail innerhalb von 12 Stunden, 7 Tage die Woche, auch bei Fragen zu DNSSEC, CAA-Einträgen und Missbrauchsmeldungen.
Fragen zu Imitationsvorfällen
Sollte ich meine echte Website während eines Vorfalls offline nehmen?
Nur wenn Ihre eigene Domain gehijackt oder kompromittiert ist. Bei einem Look-alike auf einer anderen Domain lassen Sie Ihre Seite online und machen die echte Adresse sichtbarer.
Sollte ich den Vorfall öffentlich ankündigen?
Ja, sobald Sie ihn bestätigt haben. Nutzer signieren die gefälschte Anfrage in den Minuten, bevor sie davon hören, daher bewirkt eine kurze sachliche Mitteilung über verifizierte Kanäle mehr als ein später verfasster vollständiger Bericht.
Können Nutzer ihre Mittel zurückbekommen?
Versprechen Sie es nicht. Sagen Sie Nutzern, wie sie verbleibende Mittel schützen, und bitten Sie sie, Transaktions-Hashes zu teilen; eine Wiedererlangung hängt von der Chain, dem Drainer und etwaigen Maßnahmen der Strafverfolgung ab.
Wie schnell handelt der Registrar auf meine Meldung?
Keine Frist bindet alle Registrare. Die ICANN verlangt von akkreditierten Registraren seit dem 5. April 2024, bei belastbaren Hinweisen auf Phishing zügig zu handeln. Bei Wardmint erfolgt die Maßnahme innerhalb von 24 Stunden nach einem gut dokumentierten Bericht.
Zusammenfassung
- Prüfen Sie zuerst Ihr eigenes DNS: Ein Look-alike und ein Hijack erfordern unterschiedliche Anrufe.
- Warnen Sie Nutzer über verifizierte Kanäle mit der echten Adresse und ohne aktiven Link zur Fälschung.
- Senden Sie Meldungen an Registrar und Host parallel mit einem Beweispaket.
- Rotieren Sie Zugänge zu Registrar, DNS und Hosting und wechseln Sie zu Hardware-2FA.
- Chainalysis zählte 2025 einen Anstieg von Betrug durch Identitätsvortäuschung um etwa 1,400%.
- ScamSniffer zählte 2025 USD 83.85 million Verlust durch Wallet-Drainer auf EVM-Chains.
- Wardmint handelt innerhalb von 24 Stunden nach einem gut dokumentierten Bericht.
Quellen (7)
- Domain-Vorfall bei Curve — Curve Finance (abgelesen am 2026-11-12)
- Hacker übernehmen ein Dutzend DeFi-Websites, alle bei Name.com registriert — The Block (abgelesen am 2026-11-12)
- Krypto-Betrug 2026: Bericht von Chainalysis — Chainalysis (abgelesen am 2026-11-12)
- Bericht von ScamSniffer 2025: Krypto-Phishing-Verluste sinken um 83% auf $84 million — ScamSniffer (abgelesen am 2026-11-12)
- Frontend-Hijacking und die Web2-Angriffsfläche — Blockaid (abgelesen am 2026-11-12)
- Forschende: Schwache Sicherheitsvorgaben ermöglichten die Hijacks von Squarespace-Domains — Krebs on Security (abgelesen am 2026-11-12)
- Globale Änderungen 2024 der Registrar Accreditation Agreement: DNS-Missbrauch — ICANN (abgelesen am 2026-11-12)