Die besten Krypto-Einblicke direkt in Ihren Posteingang.
- Das Blockchain-Sicherheitsunternehmen Blockaid entdeckte einen Frontend-Hack auf der Voting-Subdomain von Yield Yak, bei dem Angreifer das Wallet-Diebstahlskript Eleven Drainer eingeschleust hatten.
- Der Angriff ähnelt einem kürzlichen Sicherheitsvorfall bei Gitcoin und deutet auf einen wachsenden Trend hin, dass Hacker eher Subdomains von Krypto-Plattformen als die Kern-Smart-tracins Visier nehmen.
- Es wurden noch keine bestätigten Schadenszahlen veröffentlicht, aber Benutzer, die ihre Wallets mit der kompromittierten Website verbunden haben, könnten unautorisierten Transaktionen ausgesetzt gewesen sein.
Das Blockchain-Sicherheitsunternehmen Blockaid entdeckte am 24. Juni 2026 einen Frontend-Hack auf der Website derDeFi-Plattform Yield Yak. Laut Blockaid wurde das Frontend der Yield-Yak-Website durch Schadsoftware kompromittiert, die Wallets leerte. Dies ist bereits der zweite Angriff dieser Art innerhalb weniger Tage auf eine große Kryptobörse und reiht sich in den aktuellen Trend von Frontend-Hacks gegen große Kryptoplattformen ein.
Laut Blockaids Erkennungsprozess wurde die Subdomain vote.yieldyak.com mit Code der Software „Eleven Drainer“ infiziert. Wallet Drainer sind Schadprogramme, die Nutzer dazu verleiten, ihre digitalen Vermögenswerte über von ihnen autorisierte Transaktionen an Angreifer zu senden. Der Schadcode erzwingt die Genehmigung von Aktionen oder sendet Vermögenswerte an einen Angreifer, sobald Nutzer ihre Wallets verbinden – oft bevor diese überhaupt merken, was passiert. Weder Blockaid noch Yield Yak haben zum Zeitpunkt der Veröffentlichung Angaben zur Höhe der durch den Hack entstandenen Verluste gemacht.
Der Angreifer verwendet eine classic Spielweise
Der Hack bei Yield Yak ähnelt der Sicherheitslücke, die erst vor wenigen Tagen bei Gitcoin, einer Open-Source-Finanzierungsplattform, entdeckt wurde. Laut Blockaid vom 21. Junienthielt die Gitcoin-Subdomain files.gitcoin.co denselben Eleven-Drainer-Code und warnte Nutzer davor, die Plattform zu nutzen, da sie überprüft wurde. Blockaid stellte einen direkten Zusammenhang zwischen den beiden Hacks her und merkte an, dass der Angriff auf Yield Yak „dem gestrigendent bei Gitcoin folgt, der auf ähnliche Weise funktionierte“.
🚨Das System von Blockaid hatdenteinen Frontend-Angriff auf yieldyak[.]com durch @yieldyak_ . Die Subdomain vote[.]yieldyak[.]com enthält nun Code des Eleven Drainer. Dies folgt auf einen ähnlichen Vorfall beident @gitcoin . pic.twitter.com/YFmWEYfa7D
— Blockaid (@blockaid_) 24. Juni 2026
In beiden Fällen wurden Subdomains anstelle der Schnittstellen der Kernanwendung kompromittiert. Das Kernprodukt von Yield Yak, einem Protokoll für automatisches Yield Farming auf Avalanche, läuft auf der Hauptdomain. Die kompromittierte Voting-Subdomain erscheint zwar wie ein sekundärer Zugangspunkt, doch jeder, der darauf zugriff, riskierte den Verlust seines gesamten Guthabens.
Das Fehlen defiSchadenszahlen bedeutet nicht zwangsläufig geringe Folgen. Sicherheitslücken im Frontend werden üblicherweise stunden- oder sogar tagelang untersucht, wobei Sicherheitsteamsdentund prüfen, ob Nutzer schädliche Transaktionen durchgeführt haben. In anderen Fällen von Kontodiebstählen in diesem Jahr reichten die Verluste von mehreren Tausend bis zu Millionen von Dollar, je nachdem, wie viele Nutzer Wallets miteinander verbanden, bis der Schadcode entfernt wurde. Beispielsweisedenterbeuteten Hacker 3,2 Millionen Dollar von 86 Safe-Wallets, indem sie eine Sicherheitslücke in einem Drittanbietermodul ausnutzten. Ein weiteres Beispiel ist die Ausnutzung der Sicherheitslücke des Liquiditätsanbieters TrustedVolumes, die zu Verlusten in Höhe von 5,9 Millionen Dollar führte.
Anstieg der Front-End-Angriffe
Die erwähnten Hacks von Yield Yak und Gitcoin sind Teil eines größeren Trends, der die Kryptowährungs-Community in diesem Jahr erschüttert hat. Frontend-Angriffe, bei denen Angreifer die Website eines Projekts ausnutzen, ohne Smarttraczu beeinträchtigen, haben auf den großen DeFi Plattformen deutlich zugenommen.
Anfang des Jahres wurden OpenEden, Curvance und Maple Finance innerhalb einer einzigen Februarwoche Opfer von Frontend-Angriffen. Diese Angriffe nutzten zwar ein anderes Drainer-Toolkit namens AngelFerno, folgten aber derselben Methode: Zugriff auf die Webinfrastruktur eines Projekts erlangen, Code einschleusen, der Wallet-Verbindungen abfängt, und auf Benutzerinteraktionen warten.
Blockaid dokumentierte im April 2026 ein noch aggressiveres Muster. Nach aufsehenerregenden Angriffen auf Drift Protocol, KelpDAOund andere Plattformen erstellten Betrüger innerhalb weniger Stunden gefälschte Domains, um verängstigte Nutzer abzufangen, die nach Möglichkeiten suchten, Token-Genehmigungen zu widerrufen. Das Unternehmen bezeichnete den April 2026 als „den schlimmsten Monat für Kryptodiebstähle seit Beginn der Aufzeichnungen“ und berichtete von über 629 Millionen US-Dollar, die bei mehr als 20 Vorfällen erbeutetdent.
Was Yield Yak-Nutzer wissen sollten
Yield Yak ist ein DeFi Protokoll auf Avalanche , das Yield-Farming-Belohnungen automatisch verzinst und einen dezentralen Börsenaggregator betreibt (laut Alchemy-Listing). Nutzer, die Vermögenswerte über die Smarttracder Hauptplattform eingezahlt haben, sind von einer Kompromittierung der Benutzeroberfläche nicht direkt betroffen, da die zugrunde liegendentracunverändert bleiben. Das Risiko besteht für alle, die die kompromittierte Subdomain besucht und eine Wallet verbunden oder eine Transaktion signiert haben.
Zum Zeitpunkt der Veröffentlichung hatten weder Yield Yak noch Gitcoin öffentliche Stellungnahmen zum Stand der Behebung der jeweiligendentabgegeben. Kein Sicherheitsunternehmen oder Blockchain-Ermittler hat bestätigte Verluste im Zusammenhang mit dem Yield-Yak-Vorfall öffentlich gemeldet, und es gibt derzeit keine On-Chain-Beweise, die das Ausmaß eines möglichen Diebstahls andeuten. Blockaid riet Nutzern, die betroffenen Websites nicht zu nutzen, solange das Problem untersucht und behoben wird.
Nutzer, die vermuten, mit vote.yieldyak.com interagiert zu haben, sollten alle während der Sitzung erteilten Token-Genehmigungen mit einem vertrauenswürdigen Tool widerrufen und ihre Wallets auf unautorisierte Überweisungen überwachen.
Wenn Sie das hier lesen, sind Sie schon einen Schritt voraus. Bleiben Sie mit unserem Newsletter auf dem Laufenden.
Häufig gestellte Fragen
Was ist mit der Website von Yield Yak passiert?
Laut einer Warnung von Blockaid auf X vom 24. Juni 2026 entdeckte das Sicherheitsunternehmen Blockaid, dass die Subdomain vote.yieldyak.com von Yield Yak mit bösartigem „Eleven Drainer“-Code infiziert wurde, der darauf ausgelegt ist, Krypto-Assets zu stehlen, wenn Benutzer ihre Wallets verbinden.
Handelt es sich bei Eleven Drainer um dieselbe Malware, die Gitcoin befallen hat?
Ja. Blockaid bestätigte, dass der Yield Yak-Angriff denselben Eleven-Drainer-Code verwendete, der drei Tage zuvor auf der Subdomain files.gitcoin.co von Gitcoin gefunden worden war, und erklärte, dass die beidendentähnlich funktionierten.
Sind die Smarttracund die eingezahlten Gelder von Yield Yak betroffen?
Frontend-Angriffe zielen auf die Website eines Projekts ab, nicht auf dessen Smarttrac. Nutzer, die die kompromittierte Subdomain nicht besucht oder mit ihr interagiert haben, sind nicht direkt gefährdet. Jeder, der jedoch eine Wallet mit vote.yieldyak.com verbunden hat, sollte die Token-Genehmigungen widerrufen und auf unautorisierte Transaktionen prüfen.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan/ übernimmt keine Haftung für Investitionen, die auf Grundlage der Informationen auf dieser Seite getätigt werden. Wirtronempfehlen dringend, vor jeder Anlageentscheidung eigene Recherchen durchzuführendent oder einen qualifizierten Fachmann zu konsultieren
Ashish Kumar
Ashish Kumar ist Krypto- und Finanzjournalist mit acht Jahren Redaktionserfahrung. Er berichtet über aktuelle Entwicklungen auf den Kryptomärkten, Regulierungen, DeFiund Börsenökosystemen. Er hat bereits für Coingape, Todayq und Newsroompost gearbeitet. Ashish besitzt ein Postgraduate Diploma in English Journalism vom IIMC. Er hat außerdem Branchengrößen wie Arthur Hayes, Yat Siu, Austin Federa und andere interviewt.
CRASH-KURS
- Mit welchen Kryptowährungen kann man Geld verdienen?
- Wie Sie Ihre Sicherheit mit einer digitalen Geldbörse erhöhen können (und welche sich tatsächlich lohnen)
- Wenig bekannte Anlagestrategien, die Profis anwenden
- Wie man mit dem Investieren in Kryptowährungen beginnt (welche Börsen man nutzen sollte, welche Kryptowährung am besten zum Kauf geeignet ist usw.)