Vercel-Verletzung lässt DeFi-Frontends von einem Lösegeld in Höhe von 2 Millionen US-Dollar abhängen
Benutzern wurde empfohlen, die Interaktion mit DeFi-Anwendungen einige Tage lang einzustellen, nachdem Vercel, der Entwickler von Next.js und Cloud-Anbieter für eine große Anzahl benutzerorientierter Krypto-Plattformen, zugegeben hatte, dass Angreifer in seine internen Systeme eingedrungen sind.
Laut Guillermo Rauch, CEO von Vercel, ereignete sich der Angriff, als einer seiner Mitarbeiter „durch den Verstoß gegen einen KI-Plattformkunden namens Context.ai, den er nutzte, kompromittiert wurde“.
Die Angreifer, die laut Rauch „durch KI deutlich beschleunigt“ wurden, eskalierten offenbar über das Google Workspace-Konto des Mitarbeiters in die Unternehmensumgebung von Vercel.
Ein BreachForums-Verkäufer, der behauptet, die Erpressungsmannschaft ShinyHunters zu sein, fordert ein Lösegeld in Höhe von 2 Millionen US-Dollar über eine Auflistung, die angeblich GitHub-Tokens enthält.
Für DeFi ist der Vorfall ein Albtraum. Ein Benutzer, der über eine Website mit einem manipulierten Next.js-Paket interagiert, kann eine Transaktion direkt in der Wallet eines Angreifers signieren.
Vercel gab den Vorfall in einem Sicherheitsbulletin am Sonntag bekannt und gab an, man habe „unberechtigten Zugriff auf bestimmte interne Vercel-Systeme“ festgestellt und bereits die Strafverfolgungsbehörden eingeschaltet.
Unsere Untersuchung ist noch nicht abgeschlossen. In der Zwischenzeit haben wir das Sicherheitsbulletin mit Best Practices aktualisiert, die Sie beruhigt befolgen können: https://t.co/u8ImZikeZl
– Vercel (@vercel) 19. April 2026
Nach der Offenlegung warnte der X-Benutzer und CTO des Cork-Protokolls „Pybast“, der auch ehemaliger CTO des DeFi-Cybersicherheitsunternehmens Nefture ist, die Benutzer davor, mit „jeder DeFi-Anwendung“ zu interagieren, und fügte hinzu, dass „viele DeFi auf Vercel gehostet werden und Krypto-Benutzer ein Hauptziel für solche Angriffe sind.“
Komischerweise schlug er eth.limo als sicherere Alternative vor, bei dem es am selben Tag auch zu einem eigenen Sicherheitsvorfall kam.
Laut Rauch verzeichnete Next.js im Jahr 2025 520 Millionen Downloads. DeFi-Dashboards, Krypto-Wallet-Konnektoren und Token-Launchpads nutzen es.
Mitglieder der Krypto-Community befürchteten, dass der Hacker Vercel-Anmeldeinformationen verwenden könnte, um bösartigen Code in Abhängigkeiten zu verschieben, die von Tausenden nachgelagerten Projekten erstellt wurden.
Rauch hat Mandiant, die Incident-Response-Abteilung von Google, als das Unternehmen benannt, das bei der Reaktion auf Vorfälle behilflich ist.
Nur eine „begrenzte Untergruppe von Kunden“ sei betroffen, behauptete Rauch, und die Dienste blieben betriebsbereit.
DeFi ist nach dem Vercel-Verstoß in Angst und Schrecken geraten
Ein von BleepingComputer veröffentlichter Screenshot der Lösegeldforderung wirbt für mehrere Mitarbeiterkonten, interne Bereitstellungen, API-Schlüssel und GitHub-Tokens.
Der Anbieter fügte Hunderte von Mitarbeiterdatensätzen, einen Screenshot der internen Linear-Instanz von Vercel und scheinbar ein internes Unternehmens-Dashboard bei.
BleepingComputer konnte ihre Echtheit nicht überprüfen.
Seltsamerweise teilten Bedrohungsakteure, die mit der eigentlichen Erpressungsmannschaft ShinyHunters in Verbindung stehen, BleepingComputer mit, dass sie nichts mit dieser speziellen Kapriole zu tun hätten.