CoW Swap DNS Hijacking: BaFin-relevanter Exploit – was Geschädigte wissen sollten

14. April 2026, 14:54 Uhr UTC. Eine DNS-Konfiguration wechselt im Hintergrund. Niemand, der swap.cow[.]fi im Browser aufruft, bemerkt es. Die URL ist korrekt, das TLS-Zertifikat leuchtet grün. Dahinter steckt jedoch kein technischer Fehler bei CoW DAO.

Der Server gehört Angreifern, die drei Stunden zuvor beim finnischen Registrar per Social Engineering die Kontrolle über die .fi-Domain übernommen haben. Wer in diesem Zeitfenster eine Wallet-Approval signiert, übergibt damit die Verfügungsgewalt über seine Token an einen Wallet-Drainer. Rund 1,2 Millionen US-Dollar fließen ab. Außerdem verliert ein einzelner Nutzer mehr als 50.000 Dollar in einer einzigen Transaktion.

Wer nach CoW Swap DNS Hijacking, nach dem April-2026-Exploit oder nach Rechtsmitteln für geschädigte Nutzer sucht, findet bislang wenig Konkretes. Dieser Artikel erklärt daher den Angriffsmechanismus, die behördliche Einordnung und die Rechtswege, die Geschädigten offenstehen. Außerdem zeigt er, warum dieser Angriff kein isolierter Einzelfall ist, sondern ein industrialisiertes Muster, das sich wiederholen wird.

Wovor warnt die Aufsicht zum CoW Swap DNS Hijacking?

Der CoW Swap DNS Hijacking-Angriff vom 14. April 2026 betrifft keine Sicherheitslücke im Smart Contract selbst. Der Schaden entstand ausschließlich auf Frontend-Ebene: Angreifer übernahmen die .fi-Domain per gefälschten Ausweisdokumenten beim Registrar, leiteten DNS auf eine Phishing-Seite um und ließen Nutzer gefälschte Token-Approvals signieren. Der Smart Contract blieb unangetastet. Dennoch verloren Nutzer rund 1,2 Millionen US-Dollar, weil sie einer manipulierten Oberfläche vertrauten, die optisch identisch mit dem Original war.

Aufsichtsbehörden wie die BaFin ordnen derartige Domain-Hijacking-Angriffe als Täuschungshandlungen im Sinne von § 263 StGB ein, sofern eine Täuschungsabsicht und ein Vermögensschaden vorliegen. Für Geschädigte ist zudem relevant, dass der finnische Registrar als Dienstleister möglicherweise Sorgfaltspflichtverletzungen begangen hat, die zivilrechtlich haftungsrelevant sein können. Folglich ergibt sich eine mehrspurige Rechtslage — sowohl gegen die unbekannten Angreifer als auch gegen die beteiligte Infrastruktur.

Welche Erlaubnislücke zeigt der CoW Swap DNS Hijacking-Fall?

Der CoW Swap DNS Hijacking-Exploit zeigt eine strukturelle Lücke im dezentralen Finanzökosystem: Während Smart Contracts durch formale Verifikation absicherbar sind, bleibt die Domain- und DNS-Infrastruktur ein zentraler Angriffspunkt. Regulierte Anbieter unterliegen nach § 25h KWG IT-Sicherheitsanforderungen, die auch DNS-Monitoring einschließen. DEX-Protokolle wie CoW Swap operieren jedoch außerhalb dieses regulierten Rahmens. Somit fehlt ein verbindlicher Standard, der Frontend-Integrität für DeFi-Nutzer garantiert.

Für deutsche Anleger bedeutet dies: Wer bei einem DEX-Protokoll durch einen Frontend-Angriff Verluste erleidet, kann sich nicht auf die aufsichtsrechtlichen Schutzmechanismen des regulierten Bankensektors berufen. Zudem ist die Schadensersatzklage gegen anonym agierende Angreifer praktisch schwierig. Deshalb konzentriert sich die juristische Strategie auf die Beweissicherung, die Blockchain-Forensik und die Frage, ob Dritte — Registrar, Exchange-Kontrahenten — zivilrechtlich haftbar gemacht werden können.

Was stellt die Behörde fest – und was nicht?

Bislang gibt es keine spezifische BaFin-Warnung zu CoW Swap[.]fi als reguliertem Anbieter, weil CoW Swap kein erlaubnispflichtiger Finanzdienstleister im Sinne des KWG ist. Was jedoch feststellbar ist: Die beim Angriff eingesetzten Methoden — gefälschte Ausweisdokumente, Social Engineering beim Registrar, Wallet-Drainer — erfüllen den Tatbestand des Betrugs nach § 263 StGB und möglicherweise den des Computerbetrugs nach § 263a StGB. Daher ist eine Strafanzeige der sinnvolle erste Schritt für Geschädigte.

Was nicht feststeht: ob CoW DAO oder der Registrar zivilrechtlich für den entstandenen Schaden haften. Diese Frage hängt davon ab, ob nachgewiesen werden kann, dass zumutbare Sicherheitsmaßnahmen unterlassen wurden. Nach Darstellung von in diesem Bereich tätigen Anwälten ist diese Rechtsfrage noch nicht abschließend geklärt. Dennoch lohnt eine fallspezifische Prüfung, insbesondere bei Schäden oberhalb von 10.000 US-Dollar.

Welche forensischen Ansatzpunkte ergeben sich beim CoW Swap DNS Hijacking?

Wer durch den Angriff Verluste erlitten hat, sollte sofort die Transaktionshashes der signierten Approvals sichern. Diese sind auf der Blockchain dauerhaft einsehbar und bilden die Grundlage für eine forensische Rekonstruktion. Zudem empfiehlt sich die Sicherung aller Screenshots der manipulierten Oberfläche sowie von Zeitstempeln der Wallet-Interaktionen. Wenn Draining-Adressen auf bekannte Exchange-Wallets hinweisen, können Behörden auf Antrag KYC-Daten abfragen.

Einen strukturierten Überblick über Beweissicherungsschritte bietet die Scam-Broker-Übersicht auf kryptoschaden.de. Zudem erläutert der Fachartikel Blockchain-Forensik bei Krypto-Betrug auf anwalt.de die Methoden, mit denen Transaktionswege auch in komplexen Multi-Hop-Strukturen rekonstruiert werden können. Eine Strafanzeige unter Benennung von § 263 StGB ist außerdem Voraussetzung für spätere Einfrierungsmaßnahmen nach § 111e StPO, sofern Angreifer identifiziert werden.

Was bedeutet der CoW Swap DNS Hijacking-Fall für Personen mit Verlust?

Wer bei dem Angriff Geld verloren hat, sollte keine weiteren Token auf DEX-Frontends genehmigen, bis die Wallet-Approvals der betroffenen Adressen widerrufen sind. Zudem sollte eine vollständige Berechtigungsübersicht aller erteilten Token-Approvals erstellt und alle nicht mehr benötigten Genehmigungen zurückgezogen werden. Tools wie revoke.cash ermöglichen diesen Schritt in wenigen Minuten. Danach folgt die rechtliche Bewertung des Schadensfalls.

Den rechtlichen Rahmen für die Rückforderung bei unerlaubten oder kriminell agierenden Anbietern erläutert der Fachartikel Rückforderung von Kryptowerten bei unerlaubten Anbietern auf anwalt.de. Nach Darstellung von in diesem Bereich tätigen Anwälten verbessert eine frühzeitige und vollständige Dokumentation die Ausgangslage für Einfrierungsanträge erheblich. Deshalb zählt rasches Handeln in den ersten Stunden nach Erkennen des Schadens.

Anna Orlowa, LL.M., Rechtsanwältin und Fachanwältin für Bank- und Kapitalmarktrecht, zertifizierte Spezialistin für Kryptowerte und Steuern