Jak zabezpečit svou doménu proti únosu DNS?

Co je únos DNS a proč zasahuje krypto frontendy?

Únos DNS je neoprávněná změna záznamů nebo registrace, které říkají prohlížečům, kde doména je. Útočník se chytrých kontraktů nedotkne. Pošle uživatele vaší skutečné adresy na kopii vašeho frontendu, který žádá o podpis z peněženky.

Proto se útok hodí na krypto. Uživatel, který zadá správnou adresu a vidí platný zámek, nemá důvod stránce nedůvěřovat. Curve Finance po incidentu 12. května 2025 uvedla, že její kontrakty ani uživatelská data kompromitovány nebyly, přesto byli návštěvníci přesměrováni na statickou návnadu, která žádala o podpisy. Ztráta vzniká z podpisu, ne z chyby v kódu.

Útočník potřebuje kontrolu nad jednou ze tří věcí: účtem registrátora, který doménu drží, poskytovatelem DNS, který obsluhuje její záznamy, nebo cestou překladače mezi uživatelem a serverem. Tento průvodce pokrývá první dvě, protože ty projekt ovládá. Ochraně třetí slouží DNSSEC, který je vysvětlen v jak zapnout DNSSEC na vaší doméně.

Které skutečné incidenty ukazují, jak únosy probíhají?

Veřejné incidenty od roku 2022 ukazují, že útočníci procházejí přes účty a podpůrné pracovníky, ne přes kryptografii. Tabulka výše je vypisuje a vzorec se opakuje.

Podle počtu Wardmint z 12. listopadu 2026 obsahuje tabulka incidentů v jejich výzkumu sedm záznamů mezi srpnem 2022 a říjnem 2026 (Curve dvakrát, Balancer, Galxe, vlna Squarespace z července 2024, shluk z února 2026 a vlna z října 2026). Každý z nich zasáhl doménu, poskytovatele DNS nebo účet registrátora. Úplný seznam se zdroji je v které krypto projekty přišly o uživatele kvůli únosu DNS.

Jak uzamknete účet registrátora?

Berte účet registrátora jako klíč k celému frontendu a dejte mu nejsilnější přihlášení, jaké máte. Použijte heslo, které je dlouhé, náhodné a nikde jinde nepoužité, a zapněte dvoufaktorové ověření. Přihlašovací údaje držte ve správci hesel nebo v trezoru chráněném hardwarem, ne ve sdíleném chatu.

Omezte počet lidí, kteří se mohou přihlásit. Určete jednoho vlastníka a jednu zálohu, zaznamenejte, kdo drží který přístup, a odeberte přístup v den, kdy někdo tým opustí. Obnovu udržujte stejně přísnou jako přihlášení: účet, který chrání dvoufaktorové ověření, ale podpůrný pracovník ho na žádost resetuje, je jen tak silný jako jeho kontrolní seznam. Případy Balancer i Avantis zahrnovaly člověka u poskytovatele.

Celý postup, včetně toho, jak poznat phishing přihlášení k registrátorovi, je v jak chránit účet registrátora před převzetím. U Wardmint odpovědi na e-maily do 12 hodin, 7 dní v týdnu, včetně pomoci s DNSSEC, záznamy CAA a hlášeními zneužití, takže s těmito nastaveními požádejte o pomoc podporu.

K čemu slouží zámek přenosu a registry lock?

Zámek převodu brání tomu, aby se doména přesunula k jinému registrátorovi; zámek registru jde dál a blokuje změny přímo v registru. Jsou to dvě různé vrstvy a projekt může mít jednu bez druhé.

Zámek převodu je stav na straně registrátora clientTransferProhibited. Brání neoprávněnému převodu, ale nezastavuje úpravy záznamů DNS v DNS hostingu registrátora. Wardmint nabízí zámek převodu, který v klientské zóně zapínáte nebo vypínáte u každé domény; kód pro převod (EPP) si tam také vyžádáte.

Zámek registru, který Verisign nabízí pro .com a .net přes zapojené registrátory, přidává ověření mimo účet, takže změny jmenných serverů, převodů a vlastnictví nelze provést jen přihlašovacími údaji k účtu. Registrátoři za něj obvykle účtují zhruba USD 100 až 600 ročně, podle údajů z DomainNameWire a stránky prodejce, které jsou zastaralé a neověřené. Wardmint zámek registru nenabízí. Místo něj nabízí zámek převodu a Ochranu domény za +29 US$/rok na doménu, kde je doména zaregistrována na jméno DomaineGoat LLC, je pod zámkem převodu a každou stížnost na ni přečte člověk, než se podnikne jakýkoli krok. Rozdíl vysvětluje zámek registru vs. zámek registrátora.

Zabrání DNSSEC a záznamy CAA únosu?

DNSSEC a CAA zmírňují škody z únosu; nezastaví útočníka, který vlastní váš účet. DNSSEC podepisuje vaše záznamy, takže resolver může na cestě odmítnout padělané odpovědi. Útočník, který se přihlásí k registrátorovi, ale může nahradit záznam DS nebo nameservery, takže podpis pak chrání útočníkova data.

Záznamy CAA určují, které certifikační autority smějí vydávat certifikáty pro vaši doménu. Definuje je RFC 8659. Mají význam, protože útočníci v únoru 2026 získali certifikáty ve stejný den jako změnu DNS; záznam CAA, který uvádí jen vaši autoritu, je přinutí nejdřív změnit i jej, což může zachytit upozornění. Žádná z obou kontrol nenahrazuje zamčený účet a každá zabere jen několik minut práce. Syntaxi najdete v jak nastavit záznamy CAA.

Jak poznáte únos během několika minut?

Sledujte dvě veřejné stopy, které každý únos zanechá: nový certifikát a změněnou odpověď DNS. Logy Certificate Transparency ukazují každý veřejně důvěryhodný certifikát vydaný pro vaše jméno a bezplatné vyhledávání nebo stream rychle ukáže neočekávaný. Naplánovaná kontrola, která porovnává vaše nameservery a záznamy A s očekávanými hodnotami, zachytí samotnou změnu.

Připravte odpověď dřív, než ji budete potřebovat. Mějte předem oznámenou alternativní oficiální adresu, krátkou zprávu připravenou pro vaše sociální kanály a naléhavý kontakt na registrátora. Curve použila 12. května 2025 curve.finance jako dočasný přístupový bod, což ukazuje hodnotu druhé domény, kterou ovládáte. Obranná sada zaregistrovaná předem vám tuto druhou adresu dá; .com, .net, .org, .io, .xyz, .app stojí u Wardmint $128.94 ročně.

Jaké je krátké shrnutí?

Doména odolná vůči únosu je taková, u které je účet těžko převzatelný, přenos vyžaduje kód, odpovědi jsou podepsané a certifikáty se sledují. Podle čtení veřejných záznamů od Wardmint je v sedmi incidentech, které sledují, cílem účet a jeho podpůrná cesta. Zabezpečit je nejdřív a pak přidat DNSSEC a CAA je pořadí, které odpovídá důkazům. Wardmint prodává registrace a nástroje DNS; bezplatný DNS hosting se záznamy A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV a CAA, spravované DNSSEC a vlastní jmenné servery, pokud je preferujete (2 až 13). Monitoring neprodává, takže tento krok pokryjí bezplatné nástroje z průvodce monitoringem.