كيف تؤمّن نطاقك ضد اختطاف DNS؟

ما اختطاف DNS، ولماذا يضرب واجهات العملات المشفّرة؟

اختطاف DNS هو تغيير غير مصرّح به لسجلات النطاق أو لتسجيله، وهي السجلات التي تحدد للمتصفحات مكان النطاق. لا يمس المهاجم عقودك الذكية، بل يرسل مستخدمي عنوانك الحقيقي إلى نسخة من واجهتك تطلب توقيعات المحفظة.

ولهذا يلائم الهجوم العملات المشفّرة. فالمستخدم الذي يكتب العنوان الصحيح ويرى قفلًا صالحًا لا يجد سببًا للشك في الصفحة. وقالت Curve Finance بعد حادثة 12 مايو 2025 إن عقودها وبيانات مستخدميها لم تُخترق، ومع ذلك وُجّه الزوار إلى صفحة ثابتة مموّهة تطلب التوقيعات. فالخسارة تأتي من التوقيع، لا من عيب في الشيفرة.

يحتاج المهاجم إلى السيطرة على واحد من ثلاثة: حساب المسجّل الذي يملك النطاق، أو مزوّد DNS الذي يخدم سجلاته، أو مسار المحلّل (resolver) بين المستخدم والخادم. يغطي هذا الدليل الأولين، لأنهما ما يستطيع المشروع التحكم فيه. أما حماية الثالث فهي ما وُجد له DNSSEC، وهو مشروح في كيفية تفعيل DNSSEC على نطاقك.

ما الحوادث الحقيقية التي تبيّن كيف تحدث عمليات الاختطاف؟

تُظهر الحوادث العامة منذ 2022 أن المهاجمين يمرّون عبر الحسابات وموظفي الدعم، لا عبر التشفير. ويسرد الجدول أعلاه هذه الحوادث، والنمط يتكرر.

وفقًا لإحصاء Wardmint بتاريخ 12 نوفمبر 2026، يضم جدول الحوادث في بحثها سبعة بنود بين أغسطس 2022 وأكتوبر 2026 (Curve مرتين، وBalancer، وGalxe، وموجة Squarespace في يوليو 2024، ومجموعة فبراير 2026، وموجة أكتوبر 2026)، وكل منها أثّر في النطاق أو في مزوّد DNS أو في حساب المسجّل. والقائمة الكاملة مع المصادر في أي مشاريع العملات المشفّرة فقدت مستخدميها بسبب اختطاف DNS.

كيف تُحكم قفل حساب المسجّل؟

عامل حساب المسجّل كمفتاح للواجهة كلها، وامنحه أقوى تسجيل دخول متاح لديك. استخدم كلمة مرور طويلة وعشوائية لا تُستخدم في مكان آخر، وفعّل المصادقة الثنائية. واحفظ تسجيل الدخول في مدير كلمات مرور أو خزنة مدعومة بالعتاد، لا في دردشة مشتركة.

قلّل عدد من يستطيع تسجيل الدخول. سمِّ مالكًا واحدًا ونسخة احتياطية واحدة، وسجّل من يحمل كل بيانات دخول، وألغِ الوصول في اليوم الذي يغادر فيه أحدهم الفريق. واجعل مسار الاسترداد صارمًا بقدر صرامة تسجيل الدخول: فالحساب الذي تحميه المصادقة الثنائية، لكن يستطيع موظف دعم إعادة تعيينه عند الطلب، لا تتجاوز قوته قوة قائمة تحقق ذلك الموظف. وقد تضمّنت حالتا Balancer وAvantis إنسانًا لدى مزوّد.

يرد الروتين الكامل، بما فيه كيفية كشف تصيّد بيانات دخول المسجّل، في كيف تحمي حساب مسجّل النطاق من الاستيلاء عليه. وفي Wardmint، رد على البريد الإلكتروني خلال 12 ساعة، 7 أيام في الأسبوع، بما في ذلك المساعدة في DNSSEC وسجلات CAA وبلاغات الإساءة، لذلك اطلب من الدعم المساعدة في أي من هذه الإعدادات.

ما الذي يمنعه كل من قفل النقل وقفل السجل؟

قفل النقل يمنع النطاق من الانتقال إلى مسجّل آخر؛ أما قفل السجل فيذهب أبعد ويمنع التغييرات على السجل نفسه. إنهما طبقتان مختلفتان، ويمكن لمشروع أن يملك إحداهما دون الأخرى.

قفل النقل هو الحالة clientTransferProhibited على جانب المسجّل. يمنع النقل غير المصرّح به، لكنه لا يوقف تعديل سجلات DNS داخل استضافة DNS الخاصة بالمسجّل. Wardmint يوفّر قفل نقل تفعّله أو توقفه لكل نطاق في منطقة العميل؛ ويُطلب رمز النقل (EPP) من هناك أيضا.

قفل السجل، الذي تقدّمه Verisign لـ .com و.net عبر المسجّلين المشاركين، يضيف تحقّقاً خارج النطاق بحيث لا يمكن إجراء تغييرات خوادم الأسماء والنقل والملكية ببيانات الحساب وحدها. يتقاضى المسجّلون عادةً نحو 100 إلى 600 دولار أمريكي سنوياً مقابله، وفق أرقام في DomainNameWire وصفحة لأحد المعيدين، وهي قديمة وغير متحقق منها. لا يقدّم Wardmint قفل السجل. ما يقدّمه بدلاً منه هو قفل النقل، وحماية النطاق بسعر +‏29 US$ سنوياً لكل نطاق، حيث يُسجَّل النطاق باسم DomaineGoat LLC، ويبقى تحت قفل نقل، وتقرأ شخصٌ كل شكوى تتعلق به قبل أي إجراء. الفرق موضح في قفل السجل مقابل قفل المسجّل.

هل تمنع سجلات DNSSEC وCAA الاختطاف؟

تقلّل DNSSEC وCAA من ضرر الاختطاف، لكنهما لا توقف مهاجمًا يملك حسابك. توقّع DNSSEC سجلاتك كي يستطيع المحلّل رفض الإجابات المزوّرة على الطريق. لكن المهاجم الذي يدخل إلى المسجّل يستطيع استبدال سجل DS أو الخوادم الأسمائية، فيصبح التوقيع يحمي بيانات المهاجم.

تسمّي سجلات CAA الجهات المصدِرة للشهادات المسموح لها بإصدار شهادات لنطاقك، وRFC 8659 يحددها. وهي مهمة لأن المهاجمين في فبراير 2026 حصلوا على شهادات في اليوم نفسه الذي تغيّر فيه DNS؛ فسجل CAA يسمّي جهة واحدة فقط يُجبر المهاجم على تغييره أولًا، وهو ما يستطيع التنبيه التقاطه. ولا يحل أيٌّ من الضابطين محل حساب مقفل، وكل منهما بضع دقائق من العمل. وصياغته موجودة في كيفية إعداد سجلات CAA.

كيف تكتشف الاختطاف خلال دقائق؟

راقب الأثرين العامين اللذين يتركهما كل اختطاف: شهادة جديدة وإجابة DNS تغيّرت. وتسجّل سجلات Certificate Transparency كل شهادة موثوقة صادرة لاسمك، ويكشف البحث أو البث المجاني أي شهادة غير متوقعة بسرعة. ويكتشف فحص مجدول يقارن خوادمك الأسمائية وسجلات A مع القيم المتوقعة التغيير نفسه.

وأعد الاستجابة قبل أن تحتاجها. احتفظ بعنوان رسمي بديل يُعلن مسبقًا، ورسالة قصيرة جاهزة لقنواتك الاجتماعية، وجهة الاتصال العاجلة لدى المسجّل. وقد استخدمت Curve الرابط curve.finance عنوانًا مؤقتًا للوصول في 12 مايو 2025، وهذا يُظهر قيمة وجود نطاق ثانٍ تتحكم فيه. وتمنحك مجموعة دفاعية مسجّلة مسبقًا هذا العنوان الثاني؛ وتكلّف .com, .net, .org, .io, .xyz, .app $128.94 في السنة لدى Wardmint.

ما الخلاصة المختصرة؟

النطاق المقاوم للاختطاف هو النطاق الذي يصعب فيه الاستيلاء على الحساب، ولا يتم النقل إلا برمز، والإجابات موقّعة، والشهادات تحت المراقبة. وقراءة Wardmint للسجل العام أن الحساب ومساره عبر الدعم هما الهدف في الحوادث السبع التي تتابعها. وتأمين هذين أولًا، ثم إضافة DNSSEC وCAA، هو الترتيب الذي يتطابق مع الأدلة. وتبيع Wardmint التسجيلات وأدوات DNS؛ أما DNS مجاني مع سجلات A وAAAA وCNAME وALIAS وMX وTXT وNS وSRV وCAA، وDNSSEC مُدار، وخوادم أسماء خاصة بك إن فضّلت (من 2 إلى 13) فلا تبيع المراقبة، لذلك تغطي الأدوات المجانية في دليل المراقبة هذه الخطوة.