Blockaid identifiziert Frontend-Exploits bei StonkFun und über 10 weiteren DeFi-Websites

Das Sicherheitsunternehmen Blockaid hat am 30.–31. Oktober 2026 eine Frontend-Angriffskampagne gemeldet, die auf mindestens 12 Plattformen aus den Bereichen dezentrale Finanzen und Token-Launches abzielte. Der Exploit nutzte ein bösartiges Toolkit namens StepDrainer, um schädliche Skripte direkt in die Frontends der Projekte einzuschleusen.

StonkFun gehörte zu den ersten identifizierten Plattformen, zusammen mit pickle.finance, echelon.market, origami.finance und fluxbeam.xyz. LaunchOnSF, das Team hinter StonkFun, bestätigte, dass stonkfun.xyz wiederhergestellt wurde. Das Team wies darauf hin, dass die Smart Contracts zu keinem Zeitpunkt kompromittiert wurden, keine Nutzergelder verloren gingen und die Plattform keinerlei On-Chain-Auswirkungen erlitt.

Der Angriff umging Smart Contracts vollständig und konzentrierte sich auf die Domain-Infrastruktur. Die Angreifer kompromittierten DNS- und Domain-Systeme, um bösartigen Code über legitime Domains auszuspielen. Einmal aktiv, zeigten die Skripte gefälschte Wallet-Verbindungsanfragen an. Diese zielten darauf ab, Signaturen und Token-Freigaben – einschließlich unbegrenzter Berechtigungen – von Besuchern abzugreifen, die mit den Aufforderungen interagierten.

StepDrainer fungiert als Malware-as-a-Service-Toolkit, das über mehr als 20 Netzwerke hinweg operieren kann. Während der Kampagne wurden keine privaten Schlüssel erbeutet, und etwaige Verluste hingen ausschließlich davon ab, dass Opfer schädliche Wallet-Anfragen signierten. Ermittler haben bisher keine nennenswerten Gesamtschadenssummen gemeldet, während sie daran arbeiten, die gemeinsame Schwachstelle hinter den Domain-Kompromittierungen zu identifizieren.

Die Warnungen von Blockaid veranlassten die betroffenen Teams dazu, ihre Web-Infrastruktur abzusichern und Nutzer anzuweisen, Wallet-Verbindungen vorübergehend zu stoppen. Nutzer, die eine der kompromittierten Websites während des Angriffszeitraums besucht haben, wurden dazu aufgerufen, erteilte Berechtigungen mit Tools wie Revoke.cash zu überprüfen und zu widerrufen.