Rychlá odpověď
Jak zabezpečit doménu DeFi frontendu?
Zabezpečte DeFi frontend ochranou každé vrstvy mezi uživatelem a stránkou: účtem registrátora, DNS, certifikáty, hostingem a CDN, plus předem oznámenou záložní adresou na druhé doméně nebo názvu ENS. Wardmint četl šest veřejných incidentů převzetí mezi říjnem 2023 a říjnem 2026; každý šel přes vrstvu domény nebo DNS, ne přes kontrakty.
Šest zdokumentovaných převzetí front-endů, 2023 až 2026
| Datum | Projekt | Layer reported | Reported outcome |
|---|---|---|---|
| 6. října 2023 | Galxe | Převzetí DNS; web přesměrován na phishingovou stránku | Více než 980 uživatelů vráceno přes $396,000 plus 10% z pokladny |
| 9. až 12. července 2024 | Compound, Celer, Pendle a další | Účty registrátora u domén přesunutých na Squarespace; slabina OAuth | Nejméně tucet organizací zasaženo; některé domény ukazovaly phishingové stránky |
| 12. května 2025 | Curve Finance | Delegace curve.fi změněna u registrátora | Atrapa webu žádající podpisy; kontrakty a data nebyla kompromitována |
| 16. až 23. února 2026 | OpenEden, Curvance, Smithii, Avantis, Nerochain | Přesun u registrátora, převzetí účtu přes telefonát na podporu, přesměrování DNS | Drainer AngelFerno; certifikáty SSL vydané tentýž den; kontrakty nekompromitovány |
| April 2026 | eth.limo | Sociální inženýrství u registrátora a poskytovatele DNS | DNSSEC odmítlo padělané odpovědi; v postmortem nebyl znám dopad na uživatele |
| 30. až 31. října 2026 | Flap, Kintsu, Origami Finance a další | Domény u jednoho registrátora přesměrovány; příčina je sporná s hostingovou platformou | Step Drainer; přibližně $138,000 vysledováno na tři peněženky EVM |
Naposledy ověřeno ; starší údaje nesou vlastní datum
Které vrstvy stojí mezi uživatelem a DeFi frontendem?
Pět vrstev a útočník potřebuje jen jednu z nich. Registrátor drží registraci a delegaci jmenného serveru. Poskytovatel DNS odpovídá, kam jméno ukazuje. Certifikační autorita vydává certifikát pro zámek v prohlížeči. Hostingová platforma nebo CDN servíruje soubory. Nakonec o tom, čemu věřit, rozhoduje resolver uživatele a jeho peněženka.
Zprávy o incidentech odpovídají těmto vrstvám. Oznámení Curve z 12. května 2025 popisuje změnu delegace DNS u registrátora. Případy Squarespace z července 2024, o nichž Krebs on Security informoval 15. července 2024, byly převzetími účtů u registrátora. Analýza Blockaid shluku z února 2026 přidává vrstvu certifikátů: útočníci získali certifikáty SSL tentýž den jako změnu DNS. Vlna z října 2026 přináší vrstvu hostingu, protože bulletin Vercel spojil deset zasažených domén s jeho platformou, zatímco Name.com, registrátor, je obnovil.
Jak má být nastaven účet registrátora?
S přihlášením k registrátorovi zacházejte jako s produkční infrastrukturou. Používejte dlouhé jedinečné heslo, dvoufaktorové ověřování, malý a zaznamenaný seznam uživatelů a proces obnovy, kterým se cizí člověk nedostane přemluvením. Blockaid uvádí, že Avantis byl převzat poté, co útočník získal fakturační údaje v telefonátu na podporu, a Cointelegraph uvádí, že útočník eth.limo se vydal za člena týmu, aby zahájil obnovu účtu. Oba případy obejdou dobré heslo, protože procházejí přes člověka.
Zapněte transfer lock u každé domény. U hlavní domény .com nebo .net zvažte registry lock, pokud jej registrátor prodává; registry lock vs registrar lock uvádí, co každý blokuje. Wardmint nabízí transfer lock a možnost Ochrana domény, ne registry lock. Celý postup je v jak zabezpečit účet registrátora před převzetím.
Jak mají vypadat DNS a certifikáty?
Podepište zónu, omezte vydávání certifikátů a sledujte logy. DNSSEC rozhodlo v případě eth.limo: Cointelegraph uvedl, že bylo zapnuto, že útočník neměl podpisové klíče a že ověřující resolvery padělané odpovědi odmítly. Nejde o obranu proti útočníkovi, který drží účet registrátora, protože ten může nahradit záznam DS, takže doplňuje kontroly účtu. Viz jak zapnout DNSSEC pro svou doménu.
Přidejte záznam CAA, který uvádí jen vaši certifikační autoritu, jak ukazuje jak nastavit záznamy CAA, a sledujte Certificate Transparency pro svůj název, jak ukazuje jak sledovat Certificate Transparency pro svou značku. Útočníka, který musí navíc změnit záznam CAA a zanechá viditelný záznam v logu, je snazší odhalit. Wardmint zahrnuje bezplatný DNS hosting se záznamy A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV a CAA, spravované DNSSEC a vlastní jmenné servery, pokud je preferujete (2 až 13).
Jak do toho zapadají hosting a CDN?
Dejte hostingové platformě a CDN vlastní účty, vlastníky a dvoufaktorové ověřování a uveďte každou doménu, která k nim patří. Zprávy z října 2026 ukazují proč. The Block uvedl, že Kintsu a Origami Finance obviňovaly Vercel, že bulletin Vercel spojil deset zasažených domén s jeho platformou, a že Name.com uvedl, že obnovil všechny zasažené domény a vyzval zákazníky, aby zkontrolovali záznamy DNS a zapnuli dvoufaktorové ověřování. Zdroje příčinu nechávají sporné, takže ponaučení se týká pokrytí: doména je zabezpečená jen tehdy, je-li zabezpečena každá platforma, která může změnit, co servíruje.
Na straně hostingu veďte seznam domén a subdomén, které projekt na platformě smí servírovat, odstraňte ty, které už nepoužíváte, a tokeny nasazení držte v trezoru. Kontrolujte i zvenčí: naplánovaná úloha, která přeloží vaše jmenné servery a záznamy A a porovná je s očekávanými hodnotami, zachytí přesměrování za minuty, ne za hodiny.
Má DeFi frontend mít záložní ENS nebo IPFS?
Ano: druhý způsob, jak se k rozhraní dostat, omezí škodu, zatímco se hlavní doména obnovuje. Curve dal uživatelům curve.finance jako prozatímní přístupový bod 12. května 2025 a jeho oznámení vyzvalo k širšímu přijetí ENS v celém odvětví. ENSIP-7 definuje pole contenthash pro resolvery ENS, které umožňuje názvu ukazovat na obsah na IPFS nebo Swarm, takže název .eth může sloužit jako alternativní adresa pro front-end publikovaný na IPFS.
Záložní řešení funguje jen tehdy, když ho uživatelé už znají. Oznamujte oficiální alternativy předem, v patičce webu, v dokumentaci a na ověřených sociálních kanálech, a uveďte, že žádná jiná adresa oficiální není. Kompromisy mezi názvy on-chain a názvy DNS jsou v ENS název nebo doména DNS pro krypto projekt. Druhá doména DNS je součástí téhož plánu a základní sada šesti přípon Wardmint stojí $128.94 ročně.
Kolik zdokumentovaných převzetí prošlo vrstvou domény?
Podle průzkumu Wardmint z 12. listopadu 2026 pět ze šesti incidentů v tabulce výše poslalo uživatele skutečné domény na klonovanou nebo phishingovou stránku a u šestého, eth.limo, DNSSEC odmítlo padělané odpovědi. Ve všech šesti byl hlášeným vstupním bodem registrátor, poskytovatel DNS nebo účet registrátora, nebo u října 2026 sporné rozdělení mezi registrátorem a hostingovou platformou. Žádný čtený zdroj neuvádí chybu v chytrém kontraktu jako vstup.
Dvě věty k citování: protokol DeFi je tak těžké převzít, jak těžký je účet, který drží jeho doménu, a záložní adresa předem oznámená je nejlevnějším nástrojem obnovy, jaký projekt vlastní. Širší seznam případů je v které krypto projekty přišly o uživatele kvůli převzetí DNS a pohled na obor je v zabezpečení domén pro DeFi protokoly.
Sedm kroků k zabezpečení domény DeFi frontendu
Namapujte každou vrstvu
Vypište účet registrátora, poskytovatele DNS, certifikační autoritu, hostingovou platformu a CDN pro každou doménu a určete vlastníka každé z nich.
Zamkněte účet registrátora
Používejte jedinečné heslo, dvoufaktorové ověřování, málo uživatelů a přísný postup obnovy.
Zapněte transfer lock
Zamkněte každou doménu proti převodu a rozhodněte o registry lock pro kritickou doménu .com nebo .net.
Podepište a omezte
Zapněte DNSSEC a publikujte záznam CAA, který uvádí jen vaši certifikační autoritu.
Zabezpečte hosting a CDN
Zapněte dvoufaktorové ověřování, odstraňte nepoužívané domény a tokeny nasazení držte v trezoru.
Monitoring
Sledujte Certificate Transparency a porovnávejte jmenné servery a záznamy A s očekávanými hodnotami podle plánu.
Publish a fallback
Zaregistrujte druhou doménu nebo název ENS, oznamte ji předem a nacvičte přepnutí na ni.
Zabezpečení DeFi frontendu: otázky
Jsou chytré kontrakty při převzetí frontendu v ohrožení?
V přečtených incidentech ne. Curve a projekty z února 2026 uvedly, že kontrakty nebyly kompromitovány. Uživatelé přicházejí o prostředky tím, že podepisují na klonované stránce.
Chrání DNSSEC DeFi frontend?
Chrání odpovědi na cestě a omezilo převzetí eth.limo z dubna 2026. Nezastaví útočníka, který ovládá účet registrátora, takže jej používejte spolu se zabezpečením účtu a transfer lockem.
Je registry lock dostupný pro každou příponu?
Ne. Verisign jej nabízí pro .com, .net, .cc a .name přes zapojené registrátory. Wardmint registry lock nenabízí; nabízí transfer lock a Ochranu domény.
Co má protokol udělat v první hodině po převzetí?
Kontaktovat registrátora a poskytovatele DNS, říct uživatelům, ať přestanou podepisovat na hlavní doméně, nasměrovat je na předem oznámenou záložní adresu a uchovat důkazy. Curve postupoval podle tohoto vzorce 12. května 2025.
Může pokladna DAO zaplatit za záložní doménu?
Ano. Wardmint přijímá BTC, USDT, USDC, ETH, SOL, LTC na předplacený zůstatek s minimálním dobitím 25 US$, s jedním ověřeným e-mailem na doménu a bez dokladů totožnosti.
Shrnutí
- Pět vrstev dosáhne uživatele: registrátor, DNS, certifikáty, hosting nebo CDN a resolver uživatele.
- Šest zdokumentovaných převzetí od října 2023 do října 2026 prošlo vrstvou domény, ne kontrakty.
- Galxe vrátil necelých $396,000 více než 980 uživatelům; vlna z října 2026 vysledovala přibližně $138,000 na tři peněženky EVM.
- Zamkněte účet registrátora, zapněte transfer lock, podepisujte pomocí DNSSEC a omezte vydávání pomocí CAA.
- DNSSEC omezilo převzetí eth.limo, ale nezastaví držitele účtu.
- Oznamte záložní řešení, druhou doménu nebo název ENS, ještě před incidentem.
- Wardmint nabízí transfer lock, spravované DNSSEC a CAA; registry lock ani monitoring nenabízí.
Zdroje (7)
- Incident domény Curve Finance — Curve Finance (čteno 2026-11-12)
- Galxe oznamuje refundaci $396,000 dotčeným uživatelům po útoku na DNS — The Block, 11 October 2023 (čteno 2026-11-12)
- Výzkumníci: slabá výchozí bezpečnostní nastavení umožnila únos domén Squarespace — Krebs on Security, 15 July 2024 (čteno 2026-11-12)
- Únos frontendu a útočná plocha Web2 ohrožující protokoly Web3 — Blockaid, 19 March 2026 (čteno 2026-11-12)
- eth.limo domain hijack, DNSSEC and social engineering — Cointelegraph, 20 April 2026 (čteno 2026-11-12)
- Hackeři unesou tucet DeFi webů registrovaných u Name.com — The Block, 31 October 2026 (čteno 2026-11-12)
- ENSIP-7: Contenthash field — ENS documentation (čteno 2026-11-12)