الجواب السريع
كيف تؤمّن نطاق الواجهة الأمامية لبروتوكول DeFi؟
أمّن الواجهة الأمامية لـDeFi بحماية كل طبقة بين المستخدم والصفحة: حساب المسجِّل، وDNS، والشهادات، والاستضافة وشبكة التوصيل (CDN)، إضافة إلى بديل معلن مسبقا على نطاق ثانٍ أو اسم ENS. Wardmint قرأ ستة اختراقات عامة بين أكتوبر 2023 وأكتوبر 2026؛ وكل واحد منها مرّ عبر طبقة النطاق أو DNS، لا عبر العقود.
ستة اختراقات موثقة للواجهة الأمامية، 2023 إلى 2026
| التاريخ | المشروع | Layer reported | Reported outcome |
|---|---|---|---|
| 6 أكتوبر 2023 | Galxe | اختراق DNS؛ الموقع وُجّه إلى صفحة تصيّد | أُعيد أكثر من 980 مستخدما نحو 396,000 دولار بقليل، إضافة إلى 10% من الخزينة |
| 9 إلى 12 يوليو 2024 | Compound وCeler وPendle وآخرون | حسابات مسجِّل لنطاقات نُقلت إلى Squarespace؛ ضعف في OAuth | أصاب ما لا يقل عن اثنتي عشرة مؤسسة؛ وأظهرت بعض النطاقات صفحات تصيّد |
| 12 مايو 2025 | Curve Finance | تغيّر تفويض curve.fi لدى المسجِّل | صفحة خادعة تطلب التوقيعات؛ لم تُخترق العقود ولا البيانات |
| 16 إلى 23 فبراير 2026 | OpenEden وCurvance وSmithii وAvantis وNerochain | نقل لدى المسجِّل، واستيلاء على الحساب عبر اتصال بالدعم، وإعادة توجيه DNS | أداة سحب AngelFerno؛ شهادات SSL في اليوم نفسه؛ لا اختراق للعقود |
| April 2026 | eth.limo | هندسة اجتماعية على المسجِّل ومزود DNS | رفض DNSSEC الإجابات المزيفة؛ ولا تأثير معروف على المستخدمين في التقرير اللاحق |
| 30 إلى 31 أكتوبر 2026 | Flap وKintsu وOrigami Finance وغيرها | نطاقات لدى مسجِّل واحد أُعيد توجيهها؛ والسبب موضع خلاف مع منصة الاستضافة | Step Drainer؛ نحو $138,000 تتبعت إلى ثلاث محافظ EVM |
آخر تحقق في ؛ الأرقام الأقدم تحمل تاريخها الخاص
ما الطبقات بين المستخدم والواجهة الأمامية لـDeFi؟
خمس طبقات، ويكفي أن يخترق المهاجم واحدة منها. يحتفظ المسجِّل بالتسجيل وتفويض خوادم الأسماء. ويجيب مزود DNS عن المكان الذي يشير إليه الاسم. وتصدر جهة الشهادات القفل الأخضر. وتقدم منصة الاستضافة أو CDN الملفات. وأخيرا يقرر محلل المستخدم ومحفظته ما يثق به.
تتطابق تقارير الحوادث مع هذه الطبقات. يصف إشعار Curve بتاريخ 12 مايو 2025 تغيير تفويض DNS لدى المسجِّل. وكانت حالات Squarespace في يوليو 2024، التي نشرها Krebs on Security في 15 يوليو 2024، استيلاءات على حسابات لدى مسجِّل. ويضيف تحليل Blockaid لعنقود فبراير 2026 طبقة الشهادات: حصل المهاجمون على شهادات SSL في يوم تغيير DNS. وتضيف موجة أكتوبر 2026 طبقة الاستضافة، إذ ربط بيان Vercel عشرة نطاقات متأثرة بمنصته، بينما استعاد Name.com، وهو المسجِّل، النطاقات.
كيف يجب إعداد حساب المسجِّل؟
تعامَل مع تسجيل دخول المسجِّل كأنه بنية تشغيل إنتاجية. استخدم كلمة مرور طويلة فريدة، ومصادقة ثنائية، وقائمة مستخدمين صغيرة ومسجلة، وعملية استرداد لا يستطيع غريب أن يقنع فيها أحدا. ويقول Blockaid إن Avantis أُخذت بعد أن حصل مهاجم على تفاصيل الفوترة في مكالمة دعم، ويقول Cointelegraph إن مهاجم eth.limo انتحل شخصية أحد أعضاء الفريق لبدء استرداد الحساب. وكلتا الحالتين تتجاوز كلمة مرور جيدة لأنهما تمرّان عبر شخص.
فعّل قفل النقل لكل نطاق. وبالنسبة لـ.com أو .net الرئيسي، فكّر في قفل السجل حيث يبيعه المسجِّل؛ ويوضح قفل السجل مقابل قفل المسجِّل ما يمنع كل منهما. ويقدم Wardmint قفل النقل وخيار حماية النطاق، لا قفل السجل. والروتين الكامل في كيفية حماية حساب المسجِّل من الاستيلاء.
كيف تبدو سجلات DNS والشهادات؟
وقّع المنطقة، وقيّد إصدار الشهادات، وراقب السجلات. أحدث DNSSEC فرقا في حالة eth.limo: ذكرت Cointelegraph أنه كان مفعّلا، وأن المهاجم لم يملك مفاتيح التوقيع، وأن المحللين المتحققين رفضوا الإجابات المزيفة. وهو ليس دفاعا ضد مهاجم يملك حساب المسجِّل، لأنه يستطيع استبدال سجل DS، لذا فهو يكمّل ضوابط الحساب. ويُشرح الإعداد في كيفية تفعيل DNSSEC على نطاقك.
أضف سجل CAA يسمي جهة الشهادات الخاصة بك وحدها، كما في كيفية إعداد سجلات CAA، وراقب Certificate Transparency لاسمك، كما في كيفية مراقبة Certificate Transparency لعلامتك. فالمهاجم الذي يجب أن يغيّر سجل CAA أيضا، ويترك أثرا مرئيا في السجل، يسهل كشفه. ويتضمن Wardmint DNS مجاني مع سجلات A وAAAA وCNAME وALIAS وMX وTXT وNS وSRV وCAA، وDNSSEC مُدار، وخوادم أسماء خاصة بك إن فضّلت (من 2 إلى 13).
كيف تتناسب الاستضافة وشبكة التوصيل CDN؟
امنح منصة الاستضافة وشبكة التوصيل حسابات ومالكين ومصادقة ثنائية خاصة بهما، وسجّل كل نطاق متصل بهما. تُظهر تقارير أكتوبر 2026 السبب. فقد ذكرت The Block أن Kintsu وOrigami Finance ألقيا اللوم على Vercel، وأن بيان Vercel ربط عشرة نطاقات متأثرة بمنصته، وأن Name.com قال إنه استعاد كل النطاقات المتأثرة، وحثّ العملاء على فحص سجلات DNS وتفعيل المصادقة الثنائية. وتبقى المسؤولية موضع خلاف في المصادر، والدرس هو التغطية: فالنطاق آمن فقط إذا أُمّنت كل منصة تستطيع تغيير ما يقدمه.
أما الاستضافة، فاحتفظ بقائمة النطاقات والنطاقات الفرعية التي قد يقدمها كل مشروع على المنصة، واحذف ما لم تعد تستخدمه، واحتفظ برموز النشر في خزنة. وافحص من الخارج أيضا: مهمة مجدولة تحل خوادم الأسماء وسجلات A وتقارنها بالقيم المتوقعة تلتقط إعادة التوجيه في دقائق بدلا من ساعات.
هل ينبغي أن تملك واجهة DeFi الأمامية بديلا عبر ENS أو IPFS؟
نعم: طريقة ثانية للوصول إلى الواجهة تحد من الضرر بينما يُستعاد النطاق الرئيسي. أتاحت Curve curve.finance كنقطة وصول مؤقتة للمستخدمين في 12 مايو 2025، ودعا إشعارها إلى تبنٍّ أوسع لـENS في الصناعة. ويعرّف ENSIP-7 حقل contenthash لمحللات ENS، الذي يتيح لاسم أن يشير إلى محتوى على IPFS أو Swarm، فيستطيع اسم .eth أن يكون عنوانا بديلا لواجهة منشورة على IPFS.
البديل لا يعمل إلا إن كان المستخدمون يعرفونه سلفا. أعلن البدائل الرسمية قبل أي حادث، في تذييل الموقع والوثائق والقنوات الاجتماعية الموثقة، وأعلن أنه لا عنوان رسمي غيرها. وتجد المفاضلات بين الأسماء على السلسلة وأسماء DNS في اسم ENS أو نطاق DNS لمشروع كريبتو. والنطاق الثاني على DNS جزء من الخطة نفسها، ومجموعة Wardmint الأساسية من ستة امتدادات تكلف $128.94 في السنة.
كم من الاختراقات الموثقة مر عبر طبقة النطاق؟
وفق مسح Wardmint بتاريخ 12 نوفمبر 2026، أرسلت خمس من الحوادث الستة في الجدول أعلاه مستخدمي النطاق الحقيقي إلى نسخة مستنسخة أو صفحة تصيّد، وفي السادسة، eth.limo، رفض DNSSEC الإجابات المزيفة. وفي الحوادث الستة جميعها كانت نقطة الدخول المبلغ عنها مسجِّلا أو مزود DNS أو حساب المسجِّل، أو، في أكتوبر 2026، انقساما متنازعا عليه بين المسجِّل ومنصة الاستضافة. ولم تقرأ أي مصدر تقريرا يذكر عيبا في العقود الذكية كنقطة دخول.
جملتان قابلتان للاقتباس: بروتوكول DeFi لا يصعب اختطافه أكثر من الحساب الذي يملك نطاقه، والعنوان البديل المعلن مسبقا هو أرخص أداة استرداد يملكها المشروع. وقائمة الحالات الأوسع في أي مشاريع الكريبتو فقدت مستخدمين بسبب اختطاف DNS، والنظرة القطاعية في أمن النطاقات لبروتوكولات DeFi.
سبع خطوات لتأمين نطاق الواجهة الأمامية لـDeFi
ارسم كل الطبقات
اذكر حساب المسجِّل ومزود DNS وجهة الشهادات ومنصة الاستضافة وCDN لكل نطاق، وسمِّ مالكا لكل منها.
أقفل حساب المسجِّل
استخدم كلمة مرور فريدة، ومصادقة ثنائية، وعددا قليلا من المستخدمين، ومسار استرداد صارما.
فعّل قفل النقل
أقفل كل نطاق ضد النقل، وقرر بشأن قفل السجل لـ.com أو .net المهم.
وقّع وقيّد
فعّل DNSSEC وانشر سجل CAA يسمي جهة شهاداتك وحدها.
أمّن الاستضافة وشبكة التوصيل
فعّل المصادقة الثنائية، وأزل النطاقات غير المستخدمة، واحتفظ برموز النشر في خزنة.
المراقبة
راقب Certificate Transparency، وقارن خوادم الأسماء وسجلات A بالقيم المتوقعة وفق جدول زمني.
Publish a fallback
سجّل نطاقا ثانيا أو اسم ENS، وأعلنه مسبقا، ودرّب الفريق على التحول إليه.
أسئلة حول تأمين الواجهة الأمامية لـDeFi
هل العقود الذكية معرضة للخطر في اختطاف الواجهة الأمامية؟
في الحوادث التي قُرئت، لا. أفادت Curve ومشاريع فبراير 2026 بأن العقود لم تُخترق. ويفقد المستخدمون أموالهم بالتوقيع على الصفحة المستنسخة.
هل يحمي DNSSEC الواجهة الأمامية لـDeFi؟
يحمي الإجابات أثناء النقل، وقد حدّ من استيلاء eth.limo في أبريل 2026. لكنه لا يوقف مهاجما يسيطر على حساب المسجِّل، لذا استخدمه مع أمن الحساب وقفل النقل.
هل قفل السجل متاح لكل امتداد؟
لا. تقدمه Verisign لـ.com وو.net وو.cc وو.name عبر مسجِّلين مشاركين. ولا يقدم Wardmint قفل السجل؛ بل يقدم قفل النقل وحماية النطاق.
ماذا ينبغي أن يفعل البروتوكول في الساعة الأولى من الاختطاف؟
اتصل بالمسجِّل ومزود DNS، وأخبر المستخدمين بالتوقف عن التوقيع على النطاق الرئيسي، ووجّههم إلى البديل المعلن مسبقا، واحفظ الأدلة. اتبعت Curve هذا النمط في 12 مايو 2025.
هل تستطيع خزينة DAO أن تدفع ثمن نطاق بديل؟
نعم. يأخذ Wardmint BTC, USDT, USDC, ETH, SOL, LTC في رصيد مسبق بحد أدنى لإعادة الشحن 25 US$، مع بريد إلكتروني واحد متحقق منه لكل نطاق ودون وثائق هوية.
خلاصة
- خمس طبقات تصل إلى المستخدم: المسجِّل، وDNS، والشهادات، والاستضافة أو CDN، ومحلل المستخدم.
- ست حالات اختراق موثقة من أكتوبر 2023 إلى أكتوبر 2026 مرت عبر طبقة النطاق لا عبر العقود.
- أعاد Galxe أكثر من 396,000 دولار بقليل إلى أكثر من 980 مستخدما؛ وتتبعت موجة أكتوبر 2026 نحو $138,000 إلى ثلاث محافظ EVM.
- أقفل حساب المسجِّل، وفعّل قفل النقل، ووقّع بـDNSSEC، وقيّد الإصدار بـCAA.
- حدّ DNSSEC من استيلاء eth.limo لكنه لا يوقف صاحب الحساب.
- أعلن بديلا، ونطاقا ثانيا أو اسم ENS، قبل أي حادث.
- يقدم Wardmint قفل النقل وDNSSEC المُدار وCAA؛ ولا يقدم قفل السجل ولا المراقبة.
المصادر (7)
- حادثة نطاق Curve — Curve Finance (تاريخ القراءة 2026-11-12)
- Galxe تعلن استرداد 396,000 دولار للمستخدمين المتأثرين بعد هجوم DNS — The Block, 11 October 2023 (تاريخ القراءة 2026-11-12)
- باحثون: إعدادات أمان افتراضية ضعيفة مكّنت من اختطاف نطاقات Squarespace — Krebs on Security, 15 July 2024 (تاريخ القراءة 2026-11-12)
- اختطاف الواجهة الأمامية وسطح هجوم Web2 الذي يهدد بروتوكولات Web3 — Blockaid, 19 March 2026 (تاريخ القراءة 2026-11-12)
- eth.limo domain hijack, DNSSEC and social engineering — Cointelegraph, 20 April 2026 (تاريخ القراءة 2026-11-12)
- قراصنة يختطفون عشرة مواقع DeFi مسجّلة لدى Name.com — The Block, 31 October 2026 (تاريخ القراءة 2026-11-12)
- ENSIP-7: Contenthash field — ENS documentation (تاريخ القراءة 2026-11-12)