Ein Domain-Diebstahl in der Krypto-Szene, der den Kunden des betroffenen Unternehmens Verluste von rund US$ 1,2 Mio. einbrockte, zeigt, wie wichtig der Schutz der eigenen Domains durch einen Registry-Lock bei Registrar und Registry ist. Ein Angreifer hatte durch Social-Engineering Zugriff auf die finnische Domain der Kryptoplattform CoW Swap errungen – bei der Registry.
Am 14. April 2026 gelang es einem Angreifer, durch Social-Engineering Zugriff auf das Registrierungssystem für die Domain cow.fi der Kryptoplattform CoW Swap zu erlangen. Der Angreifer erhielt Zugriff auf die DNS-Server, die über Amazon Route 53 bereitgestellt wurden. Besucher des Angebots von CoW Swap konnten so über einen Zeitraum von mehreren Stunden auf eine bösartige Website umgeleitet werden. Die in diesem Zeitraum gestarteten Transaktionen liefen in falsche Hände. Die Verluste der Nutzer werden von CoW Swap auf US$ 1,2 Mio. geschätzt. Die betroffene Unternehmung CoW Swap (cow.fi) stellte in einem ausführlichen, aber noch nicht abschließenden Post Mortem vom 16. April 2026 dar, wie es zu dem Domain-Zugriff kam und welche Folgen er hatte. Der Angreifer hatte sich demnach gegenüber der finnischen .fi-Registry Traficom als hochrangiger Mitarbeiter von CoW DAO ausgegeben; dieser legte er entsprechende gefälschte Ausweisdokumente vor. Traficom wandte sich an den französischen Domain-Registrar Gandi (gandi.net), über den die finnische Domain cow.fi registriert ist, um die Sache zu klären. Laut Angaben von CoW DAO reagierte Gandi nicht, weshalb dem Angreifer durch Traficom Zugriff auf die Domain gewährt wurde. Der änderte die Kontakt-eMailadresse beim Registrar und die DNS-Einträge der Domain auf Amazon Route 53. Danach transferierte er die Domain cow.fi zu einem anderen Provider. Für mehrere Stunden wurden Nutzer von cow.fi und swap.cow.fi auf eine Phishing-Seite weitergeleitet – einer Kopie der Seite von CoW Swap. Das Unternehmen unterstreicht, dass es sich nicht um einen Einbruch in das CoW-Protokoll handele:
our hosted zone, frontend, backend APIs, smart contracts, and all signing infrastructure remained intact and uncompromised throughout the incident.
Der Angreifer nutzte Schwächen bei der finnischen Domain-Registry Traficom und beim Domain-Registrar Gandi aus. Der Vorfall gehöre zu einer dokumentierten Serie von .fi-Domain-Hijacks, die sich gegen Krypto-Projekte richtet.
Bei CoW Swap sieht man eine Schwäche der Verfahren bei Domain-Anbietern, also Registraren und Registries. Domains werden über ein mehrstufiges System verwaltet: Die Registry verwaltet die maßgebliche Datenbank mit den Domain-Einträgen. Registrare fungieren als Vermittler, sie nehmen Domain-Bestellungen an und sorgen für die Registrierung der Domains. Beim Wechsel des Registrars wird eine Domain von einem Registrar zu einem anderen transferiert. Der Inhaber des Accounts beim neuen Registrar erhält die Gewalt über die Domain und kann eigene Nameserver-Einträge vornehmen. Auf diese Weise steuert er, welche Website mit der Domain verknüpft ist. Diesen Weg ging der Angreifer im Fall von cow.fi. CoW Swap stellt fest, dass verschiedene, üblicherweise empfohlene gängige Sicherheitsmaßnahmen wie DNSSEC, CAA (DNS Certification Authority Authorization), CSP (Content Security Policy), SRI (Subresource Integrity) und DNS TTL in diesem Fall keinen Schutz geboten hätten, da der Angreifer auf Registry-Ebene agierte und seine eigene Infrastruktur nutzte. Als notwendiger Sicherheitsfaktor kam deshalb für CoW Swap ein Registry-Lock in Frage, der nun auch eingerichtet wurde.
Ein Registry-Lock ist ein zusätzlicher Sicherheitsfaktor auf Registry-Ebene. Er bietet zusätzlichen Schutz für Domains, da er ungewollte Änderungen an wichtigen Domain-Daten wie Inhaberinformation, Nameserver oder dem Provider verhindert. Der Domain-Inhaber kann den Registry-Lock üblicherweise über seinen Registrar bei der Registry einrichten lassen. Es hängt von der jeweiligen Registry ab, ob und welcher Status unterstützt wird. Folgende Dienste sind mit einem Registry-Lock verbunden:
- »serverDeleteProhibited« (die Domain kann nicht gelöscht werden)
- »serverHold« (die Domain ist nicht aktiv im DNS und löst somit nicht auf)
- »serverRenewProhibited« (die Domain kann nicht verlängert werden)
- »serverTransferProhibited« (die Domain kann nicht transferiert werden)
- »serverUpdateProhibited» (die WHOIS-Daten der Domain können nicht geändert werden)
Bei der .de-Verwaltung DENIC eG zum Beispiel muss der Domain-Inhaber ein vom Provider zur Verfügung gestelltes Formular ausfüllen, darin einen »Lock Contact« benennen, der Änderungen an den Domain-Daten bestätigen muss, und einen Identitätsnachweis erbringen. Der Registrar ist dann derjenige, der die Aufträge zur Einrichtung des Locks und zu Änderungen der Domain-Daten oder des »Lock Contact« weiterleitet. Die Registry prüft die vom Registrar ausgehenden Aufträge und weist die Ausführung zurück, wenn die Prüfung nicht positiv ausfällt. Erst nach einer erfolgreichen Prüfung und Autorisierung werden Änderungen an den Domain-Daten vorgenommen und Lock Contact und Registrar darüber informiert. Das Beispiel von CoW Swap zeigt, dass man mit einfachen Mittel schweren Missbrauch und große Schäden durch eine Domain-Entführung verhindern kann. Um seine eigenen Werte zu sichern, ist ein Registry-Lock, so er denn von der jeweiligen Registry angeboten wird, die leichteste Übung.