# Co máte dělat, když phishingový web napodobuje váš projekt?

> Kontrolní seznam první hodiny, když phishingový web se vydává za váš krypto projekt: potvrďte, varujte uživatele, hlaste paralelně a měňte přístupy.

- URL: https://wardmint.com/cs/guides/handle-a-domain-impersonation-incident/
- Poslední aktualizace: 2026-11-12
- Vydavatel: Wardmint (https://wardmint.com)

První hodina rozhodne, kolik uživatelů podepíše špatnou žádost. Tento kontrolní seznam odliší podobný web od únosu vaší vlastní domény a pak seřadí varování, hlášení a navazující kroky.

**Rychlá odpověď — Co máte dělat, když phishingový web napodobuje váš projekt?**

Když phishingový web napodobuje váš projekt, nejdřív zkontrolujte, zda vaše vlastní doména pořád správně ukazuje, pak varujte uživatele z ověřených kanálů s vaší skutečnou adresou, nahlaste web registrátorovi a hostiteli paralelně a změňte veškerý přístup, který by mohl útočník mít. Chainalysis napočítal, že podvody s vydáváním se za jiného vzrostly v roce 2025 zhruba o 1,400 %. **Wardmint** jedná do 24 hodin od dobře zdokumentovaného hlášení.

## První hodina, minutu po minutě

*Pracovní plán, ne záruka jakéhokoli výsledku.*

| Okno | Zásah | Majitel |
| --- | --- | --- |
| 0 až 10 minut | Potvrďte padělek, zkontrolujte vlastní DNS, určete vedoucího incidentu | Vedoucí bezpečnosti |
| 10 až 25 minut | Zveřejněte varování na každém ověřeném kanálu se skutečnou adresou; pozastavte každou kampaň s podpisy | Vedoucí komunity |
| 25 až 40 minut | Pošlete balíček důkazů registrátorovi a hostiteli; označte URL na seznamech varování | Vedoucí bezpečnosti |
| 40 až 60 minut | Zkontrolujte přístup k účtu registrátora, změňte hesla a 2FA, zkontrolujte záznamy DNS | Vedoucí provozu |
| Po první hodině | Sledujte hlášení, informujte uživatele, rozhodněte o stížnosti UDRP | Vedoucí incidentu |

## Kontrolní seznam první hodiny

1. **Oddělte podobný název od únosu** — Spusťte kontrolu DNS níže. Podobný název je jiná doména; uživatelé, kteří špatně napsali nebo klikli, tam přistáli. Únos znamená, že vaše vlastní doména nyní ukazuje jinam, a případ je u vašeho registrátora nouzový.
2. **Určete jednoho vedoucího incidentu** — Jeden člověk vlastní časovou osu, složku s důkazy a každou odchozí zprávu. Ostatní vykonávají; nepracují na vlastní pěst.
3. **Varujte uživatele z kanálů, kterým věří** — Zveřejněte skutečnou adresu na banneru webu, na sociálních účtech, na komunitním serveru a v kanálech integrace peněženek. Řekněte jasně: nikdy nepodepisujte žádost z jiné adresy. Falešnou adresu zapište bez aktivního odkazu, například example[.]com, aby na ni nikdo neklikl.
4. **Spusťte hlášení paralelně** — Nejdřív registrátor a hostitel, pak Safe Browsing, Netcraft, Chainabuse a seznamy blokovaných peněženek. Návod k hlášení obsahuje příkazy RDAP.
5. **Zajistěte vlastní přístup** — Zkontrolujte účet registrátora, poskytovatele DNS a přihlášení k hostingu. Změňte hesla, nahraďte 2FA přes SMS hardwarovým klíčem a zkontrolujte záznamy DNS řádek po řádku. Viz jak chránit účet registrátora před převzetím.
6. **Pomozte uživatelům, kteří už podepsali** — Řekněte jim, aby zbylé prostředky přesunuli do nové peněženky, aby zkontrolovali a odvolali schválení tokenů pomocí kontroly schválení v block exploreru, a aby vám poslali hash transakce. V první zprávě nesliby vrácení peněz.

*Krok 1: ukazuje vaše vlastní doména ještě tam, kam má?*

```bash
dig +short NS yourdomain.com
dig +short A yourdomain.com
dig +short TXT yourdomain.com
curl -sL https://rdap.org/domain/yourdomain.com | jq '{status: .status, nameservers: [.nameservers[].ldhName], changed: [.events[] | select(.eventAction=="last changed") | .eventDate]}'

# compare with the values you recorded in your runbook; a changed nameserver or a new "last changed" date you did not make is a hijack
```

## Jak poznáte podobný web od únosu vaší vlastní domény?

**Pokud vaše doména pořád ukazuje na vaše servery a její jmenné servery jsou vaše, falešná stránka žije na jiné doméně.** Kontrola trvá méně než minutu s příkazy výše. Podobný název znamená, že útočník vlastní jinou doménu a spoléhá na to, že uživatelé přepíšou adresu, klikněte na reklamu nebo následují odkaz.

Únos je něco jiného. 12. května 2025 byla doména Curve Finance přesměrována na úrovni registrátora zhruba ve 20:55 UTC; tým ji našel ve 21:20 UTC, řekl uživatelům, ať jako dočasnou adresu použijí curve.finance, a uvedl, že smlouvy ani data uživatelů nebyly ovlivněny. Večer 30. října 2026 byly domény zhruba tuctu DeFi webů registrovaných u Name.com přesměrovány na sadu vysávače a The Block uvedl, že deset domén bylo následující ráno v 8:32 ET pozastaveno. U úniku zavolejte svému registrátorovi dřív než čemukoli jinému.

## Co má varování pro uživatele říkat?

**Dobré varování uvádí skutečnou adresu, říká, co odmítnout, a nikoho neoznačuje za viníka.** Držte se čtyř řádků: co se stalo, jedna oficiální adresa, pokyn odmítnout každou žádost o podpis z jiné adresy a čas další aktualizace.

Falešný web nelinkujte. Neodhadujte ztráty. Oznámení Curve z května 2025 je vzorem tohoto druhu: uvedlo, co bylo přesměrováno, kterou adresu použít a že smlouvy zůstaly nedotčeny. Oznámení připněte na každém kanálu a když se skutečnosti změní, upravte je přímo, s časem každé úpravy. Dlouhodobějším krokem je [defenzivní sada vlastních variant](https://wardmint.com/cs/defensive-domain-registration/ "What is defensive domain registration?"), aby zjevné padělky nebyly na prodej útočníkovi.

## Co uděláte s hlášeními a důkazy?

**Pošlete jeden balíček důkazů každému příjemci ve stejnou hodinu.** Balíček obsahuje URL, datované snímky obrazovky, žádost o podpis, adresy přijímajících peněženek a výstup RDAP. Úplné pořadí kontaktů je v [jak odstranit phishingový web kopírující vaši dApp](https://wardmint.com/cs/guides/take-down-a-phishing-site/ "How to take down a phishing site copying your dApp").

Veďte záznam každého hlášení s časem, příjemcem a referenčním číslem. Pozdější stížnost UDRP, stížnost ICANN Compliance nebo policejní oznámení vychází z tohoto záznamu. Ztráty z vysávačů jsou velké: ScamSniffer napočítal 106,106 obětí a USD 83.85 milionu ztrát z vysávačů peněženek na řetězcích EVM v roce 2025, takže čistý záznam pomůže uživatelům, kteří podávají vlastní hlášení.

## Kolik změní příprava první hodinu?

**Písemný runbook ušetří minuty, které nemáte.** Podle průzkumu Wardmint ze 12. listopadu 2026 jeho výzkumný soubor obsahuje čtyři případy únosu s primárním zdrojem od července 2024: vlnu Squarespace (červenec 2024), Curve Finance (květen 2025), shluk pěti projektů (únor 2026) a zákazníky Name.com (říjen 2026). Každý zdroj spojuje útok s vrstvou domény, registrátora nebo DNS, a ne s chytrými smlouvami, ačkoli příčina z října 2026 je sporná mezi Name.com a Vercel. Zapište si předem: kdo vlastní přihlášení k registrátorovi, kde jsou klíče 2FA, jaké záznamy DNS očekáváte a kontakt pro každý kanál.

Pro zpevnění před incidentem viz [jak zabezpečit doménu proti únosu DNS](https://wardmint.com/cs/guides/secure-domain-against-dns-hijacking/ "How to secure your domain against DNS hijacking"). Podpora na Wardmint: odpovědi na e-maily do 12 hodin, 7 dní v týdnu, včetně pomoci s DNSSEC, záznamy CAA a hlášeními zneužití.

## Otázky k incidentům vydávání se za jiného

### Měl bych během incidentu vypnout svůj skutečný web?

Jen pokud je vaše vlastní doména unesena nebo kompromitována. U podobného názvu na jiné doméně nechte web v provozu a zviditelněte skutečnou adresu.

### Mám incident veřejně oznámit?

Ano, jakmile jej potvrdíte. Uživatelé podepisují falešnou žádost v minutách předtím, než o ní uslyší, takže krátké věcné oznámení z ověřených kanálů udělá víc dobrého než úplná zpráva napsaná později.

### Mohou uživatelé získat své prostředky zpět?

Neslibujte to. Řekněte uživatelům, jak chránit zbylé prostředky, a požádejte je o sdílení hashů transakcí; obnova závisí na řetězci, na vysavači a na případném zásahu orgánů činných v trestním řízení.

### Jak brzy registrátor na mé hlášení zareaguje?

Žádný časový rámec nezavazuje všechny registrátory. ICANN od 5. dubna 2024 požaduje, aby akreditovaní registrátoři promptně jednali na základě průkazných důkazů phishingu. U Wardmint akce přichází do 24 hodin od dobře zdokumentovaného hlášení.

**Shrnutí**

- Nejdřív zkontrolujte vlastní DNS: podobný název a únos vyžadují jiné kroky.
- Varujte uživatele z ověřených kanálů se skutečnou adresou a bez živého odkazu na padělek.
- Pošlete hlášení registrátorovi a hostiteli paralelně s jedním balíčkem důkazů.
- Změňte přístupy k registrátorovi, DNS a hostingu a přejděte na hardwarové 2FA.
- Chainalysis napočítal, že podvody s vydáváním se za jiného vzrostly v roce 2025 zhruba o 1,400 %.
- ScamSniffer napočítal USD 83.85 milionu ztrát na vysavačích peněženek na řetězcích EVM v roce 2025.
- Wardmint jedná do 24 hodin od dobře zdokumentovaného hlášení.

## Zdroje

1. [Incident domény Curve Finance](https://news.curve.finance/curve-domain-incident/) — Curve Finance (čteno 2026-11-12)
2. [Hackeři unesou tucet DeFi webů, všechny registrované u Name.com](https://theblock.co/news/defi/2026-10-31-hackers-hijack-a-dozen-defi-websites-all-registered-with-name-com-and-steal-about-138000-432251) — The Block (čteno 2026-11-12)
3. [Kryptopodvody 2026: zpráva Chainalysis](https://www.chainalysis.com/blog/crypto-scams-2026/) — Chainalysis (čteno 2026-11-12)
4. [Zpráva ScamSniffer 2025: ztráty z krypto phishingu klesají o 83 % na $84 million](https://drops.scamsniffer.io/scam-sniffer-2025-crypto-phishing-losses-fall-83-to-84-million/) — ScamSniffer (čteno 2026-11-12)
5. [Únos frontendu a útočná plocha Web2](https://blockaid.io/blog/frontend-hijacking-and-the-web2-attack-surface-threatening-web3-protocols) — Blockaid (čteno 2026-11-12)
6. [Výzkumníci: slabá výchozí bezpečnostní nastavení umožnila únos domén Squarespace](https://krebsonsecurity.com/2024/07/researchers-weak-security-defaults-enabled-squarespace-domains-hijacks/) — Krebs on Security (čteno 2026-11-12)
7. [Globální novely Registrar Accreditation Agreement z roku 2024: zneužití DNS](https://www.icann.org/resources/pages/global-amendment-2024-en) — ICANN (čteno 2026-11-12)

---

Wardmint: Wardmint registruje defenzivní domény, které krypto projekt potřebuje — vlastní název napříč příponami, které phishingoví útočníci používají, a vlastní překlepy a podobné varianty — placené v kryptoměnách bez KYC: žádný doklad totožnosti, jen jeden ověřený e-mail na doménu. Provozuje ji DomaineGoat LLC, společnost registrovaná v Panamě; domény se registrují u našeho registrátorského partnera akreditovaného ICANN. Doména .com stojí 12,49 US$/rok, každý rok stejně.