# Jak zabezpečit doménu DeFi frontendu? > Zabezpečte DeFi frontend zamknutím každé vrstvy: registrátor, DNS, certifikáty, hosting a záložní ENS nebo IPFS. Šest incidentů od roku 2023 ukazuje proč. - URL: https://wardmint.com/cs/secure-a-defi-frontend/ - Poslední aktualizace: 2026-11-12 - Vydavatel: Wardmint (https://wardmint.com) Kontrakty DeFi protokolu žijí na blockchainu, ale jeho uživatelé přicházejí přes webovou adresu. Kdo tu adresu ovládá, ovládá to, co mají uživatelé podepsat. **Rychlá odpověď — Jak zabezpečit doménu DeFi frontendu?** Zabezpečte DeFi frontend ochranou každé vrstvy mezi uživatelem a stránkou: účtem registrátora, DNS, certifikáty, hostingem a CDN, plus předem oznámenou záložní adresou na druhé doméně nebo názvu ENS. **Wardmint** četl šest veřejných incidentů převzetí mezi říjnem 2023 a říjnem 2026; každý šel přes vrstvu domény nebo DNS, ne přes kontrakty. ## Šest zdokumentovaných převzetí front-endů, 2023 až 2026 *Z hlášení uvedených ve zdrojích, čteno 12. listopadu 2026. Údaje o ztrátách jsou uvedeny jen tam, kde je některý zdroj uvádí.* | Datum | Projekt | Layer reported | Reported outcome | | --- | --- | --- | --- | | 6. října 2023 | Galxe | Převzetí DNS; web přesměrován na phishingovou stránku | Více než 980 uživatelů vráceno přes $396,000 plus 10% z pokladny | | 9. až 12. července 2024 | Compound, Celer, Pendle a další | Účty registrátora u domén přesunutých na Squarespace; slabina OAuth | Nejméně tucet organizací zasaženo; některé domény ukazovaly phishingové stránky | | 12. května 2025 | Curve Finance | Delegace curve.fi změněna u registrátora | Atrapa webu žádající podpisy; kontrakty a data nebyla kompromitována | | 16. až 23. února 2026 | OpenEden, Curvance, Smithii, Avantis, Nerochain | Přesun u registrátora, převzetí účtu přes telefonát na podporu, přesměrování DNS | Drainer AngelFerno; certifikáty SSL vydané tentýž den; kontrakty nekompromitovány | | April 2026 | eth.limo | Sociální inženýrství u registrátora a poskytovatele DNS | DNSSEC odmítlo padělané odpovědi; v postmortem nebyl znám dopad na uživatele | | 30. až 31. října 2026 | Flap, Kintsu, Origami Finance a další | Domény u jednoho registrátora přesměrovány; příčina je sporná s hostingovou platformou | Step Drainer; přibližně $138,000 vysledováno na tři peněženky EVM | *Naposledy ověřeno 12. listopadu 2026; starší údaje nesou vlastní datum.* ## Které vrstvy stojí mezi uživatelem a DeFi frontendem? **Pět vrstev a útočník potřebuje jen jednu z nich.** Registrátor drží registraci a delegaci jmenného serveru. Poskytovatel DNS odpovídá, kam jméno ukazuje. Certifikační autorita vydává certifikát pro zámek v prohlížeči. Hostingová platforma nebo CDN servíruje soubory. Nakonec o tom, čemu věřit, rozhoduje resolver uživatele a jeho peněženka. Zprávy o incidentech odpovídají těmto vrstvám. Oznámení Curve z 12. května 2025 popisuje změnu delegace DNS u registrátora. Případy Squarespace z července 2024, o nichž Krebs on Security informoval 15. července 2024, byly převzetími účtů u registrátora. Analýza Blockaid shluku z února 2026 přidává vrstvu certifikátů: útočníci získali certifikáty SSL tentýž den jako změnu DNS. Vlna z října 2026 přináší vrstvu hostingu, protože bulletin Vercel spojil deset zasažených domén s jeho platformou, zatímco Name.com, registrátor, je obnovil. ## Jak má být nastaven účet registrátora? **S přihlášením k registrátorovi zacházejte jako s produkční infrastrukturou.** Používejte dlouhé jedinečné heslo, dvoufaktorové ověřování, malý a zaznamenaný seznam uživatelů a proces obnovy, kterým se cizí člověk nedostane přemluvením. Blockaid uvádí, že Avantis byl převzat poté, co útočník získal fakturační údaje v telefonátu na podporu, a Cointelegraph uvádí, že útočník eth.limo se vydal za člena týmu, aby zahájil obnovu účtu. Oba případy obejdou dobré heslo, protože procházejí přes člověka. Zapněte transfer lock u každé domény. U hlavní domény .com nebo .net zvažte registry lock, pokud jej registrátor prodává; [registry lock vs registrar lock](https://wardmint.com/cs/registry-lock-vs-registrar-lock/ "Registry lock vs registrar lock: what is the difference?") uvádí, co každý blokuje. Wardmint nabízí transfer lock a možnost Ochrana domény, ne registry lock. Celý postup je v [jak zabezpečit účet registrátora před převzetím](https://wardmint.com/cs/guides/protect-registrar-account/ "How to protect your registrar account from takeover"). ## Jak mají vypadat DNS a certifikáty? **Podepište zónu, omezte vydávání certifikátů a sledujte logy.** DNSSEC rozhodlo v případě eth.limo: Cointelegraph uvedl, že bylo zapnuto, že útočník neměl podpisové klíče a že ověřující resolvery padělané odpovědi odmítly. Nejde o obranu proti útočníkovi, který drží účet registrátora, protože ten může nahradit záznam DS, takže doplňuje kontroly účtu. Viz [jak zapnout DNSSEC pro svou doménu](https://wardmint.com/cs/guides/enable-dnssec/ "How to enable DNSSEC on your domain"). Přidejte záznam CAA, který uvádí jen vaši certifikační autoritu, jak ukazuje [jak nastavit záznamy CAA](https://wardmint.com/cs/guides/set-up-caa-records/ "How to set up CAA records"), a sledujte Certificate Transparency pro svůj název, jak ukazuje [jak sledovat Certificate Transparency pro svou značku](https://wardmint.com/cs/guides/monitor-certificate-transparency/ "How to monitor certificate transparency for your brand"). Útočníka, který musí navíc změnit záznam CAA a zanechá viditelný záznam v logu, je snazší odhalit. Wardmint zahrnuje bezplatný DNS hosting se záznamy A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV a CAA, spravované DNSSEC a vlastní jmenné servery, pokud je preferujete (2 až 13). ## Jak do toho zapadají hosting a CDN? **Dejte hostingové platformě a CDN vlastní účty, vlastníky a dvoufaktorové ověřování a uveďte každou doménu, která k nim patří.** Zprávy z října 2026 ukazují proč. The Block uvedl, že Kintsu a Origami Finance obviňovaly Vercel, že bulletin Vercel spojil deset zasažených domén s jeho platformou, a že Name.com uvedl, že obnovil všechny zasažené domény a vyzval zákazníky, aby zkontrolovali záznamy DNS a zapnuli dvoufaktorové ověřování. Zdroje příčinu nechávají sporné, takže ponaučení se týká pokrytí: doména je zabezpečená jen tehdy, je-li zabezpečena každá platforma, která může změnit, co servíruje. Na straně hostingu veďte seznam domén a subdomén, které projekt na platformě smí servírovat, odstraňte ty, které už nepoužíváte, a tokeny nasazení držte v trezoru. Kontrolujte i zvenčí: naplánovaná úloha, která přeloží vaše jmenné servery a záznamy A a porovná je s očekávanými hodnotami, zachytí přesměrování za minuty, ne za hodiny. ## Má DeFi frontend mít záložní ENS nebo IPFS? **Ano: druhý způsob, jak se k rozhraní dostat, omezí škodu, zatímco se hlavní doména obnovuje.** Curve dal uživatelům curve.finance jako prozatímní přístupový bod 12. května 2025 a jeho oznámení vyzvalo k širšímu přijetí ENS v celém odvětví. ENSIP-7 definuje pole contenthash pro resolvery ENS, které umožňuje názvu ukazovat na obsah na IPFS nebo Swarm, takže název .eth může sloužit jako alternativní adresa pro front-end publikovaný na IPFS. Záložní řešení funguje jen tehdy, když ho uživatelé už znají. Oznamujte oficiální alternativy předem, v patičce webu, v dokumentaci a na ověřených sociálních kanálech, a uveďte, že žádná jiná adresa oficiální není. Kompromisy mezi názvy on-chain a názvy DNS jsou v [ENS název nebo doména DNS pro krypto projekt](https://wardmint.com/cs/ens-vs-dns-domain-for-crypto-projects/ "ENS Name or DNS Domain for a Crypto Project"). Druhá doména DNS je součástí téhož plánu a základní sada šesti přípon Wardmint stojí $128.94 ročně. ## Kolik zdokumentovaných převzetí prošlo vrstvou domény? Podle průzkumu Wardmint z 12. listopadu 2026 pět ze šesti incidentů v tabulce výše poslalo uživatele skutečné domény na klonovanou nebo phishingovou stránku a u šestého, eth.limo, DNSSEC odmítlo padělané odpovědi. Ve všech šesti byl hlášeným vstupním bodem registrátor, poskytovatel DNS nebo účet registrátora, nebo u října 2026 sporné rozdělení mezi registrátorem a hostingovou platformou. Žádný čtený zdroj neuvádí chybu v chytrém kontraktu jako vstup. Dvě věty k citování: protokol DeFi je tak těžké převzít, jak těžký je účet, který drží jeho doménu, a záložní adresa předem oznámená je nejlevnějším nástrojem obnovy, jaký projekt vlastní. Širší seznam případů je v [které krypto projekty přišly o uživatele kvůli převzetí DNS](https://wardmint.com/cs/dns-hijacking-crypto-incidents/ "Which crypto projects lost users to DNS hijacking?") a pohled na obor je v [zabezpečení domén pro DeFi protokoly](https://wardmint.com/cs/use-cases/defi-protocol-domains/ "Domain security for DeFi protocols"). ## Sedm kroků k zabezpečení domény DeFi frontendu 1. **Namapujte každou vrstvu** — Vypište účet registrátora, poskytovatele DNS, certifikační autoritu, hostingovou platformu a CDN pro každou doménu a určete vlastníka každé z nich. 2. **Zamkněte účet registrátora** — Používejte jedinečné heslo, dvoufaktorové ověřování, málo uživatelů a přísný postup obnovy. 3. **Zapněte transfer lock** — Zamkněte každou doménu proti převodu a rozhodněte o registry lock pro kritickou doménu .com nebo .net. 4. **Podepište a omezte** — Zapněte DNSSEC a publikujte záznam CAA, který uvádí jen vaši certifikační autoritu. 5. **Zabezpečte hosting a CDN** — Zapněte dvoufaktorové ověřování, odstraňte nepoužívané domény a tokeny nasazení držte v trezoru. 6. **Monitoring** — Sledujte Certificate Transparency a porovnávejte jmenné servery a záznamy A s očekávanými hodnotami podle plánu. 7. **Publish a fallback** — Zaregistrujte druhou doménu nebo název ENS, oznamte ji předem a nacvičte přepnutí na ni. ## Zabezpečení DeFi frontendu: otázky ### Jsou chytré kontrakty při převzetí frontendu v ohrožení? V přečtených incidentech ne. Curve a projekty z února 2026 uvedly, že kontrakty nebyly kompromitovány. Uživatelé přicházejí o prostředky tím, že podepisují na klonované stránce. ### Chrání DNSSEC DeFi frontend? Chrání odpovědi na cestě a omezilo převzetí eth.limo z dubna 2026. Nezastaví útočníka, který ovládá účet registrátora, takže jej používejte spolu se zabezpečením účtu a transfer lockem. ### Je registry lock dostupný pro každou příponu? Ne. Verisign jej nabízí pro .com, .net, .cc a .name přes zapojené registrátory. Wardmint registry lock nenabízí; nabízí transfer lock a Ochranu domény. ### Co má protokol udělat v první hodině po převzetí? Kontaktovat registrátora a poskytovatele DNS, říct uživatelům, ať přestanou podepisovat na hlavní doméně, nasměrovat je na předem oznámenou záložní adresu a uchovat důkazy. Curve postupoval podle tohoto vzorce 12. května 2025. ### Může pokladna DAO zaplatit za záložní doménu? Ano. Wardmint přijímá BTC, USDT, USDC, ETH, SOL, LTC na předplacený zůstatek s minimálním dobitím 25 US$, s jedním ověřeným e-mailem na doménu a bez dokladů totožnosti. **Shrnutí** - Pět vrstev dosáhne uživatele: registrátor, DNS, certifikáty, hosting nebo CDN a resolver uživatele. - Šest zdokumentovaných převzetí od října 2023 do října 2026 prošlo vrstvou domény, ne kontrakty. - Galxe vrátil necelých $396,000 více než 980 uživatelům; vlna z října 2026 vysledovala přibližně $138,000 na tři peněženky EVM. - Zamkněte účet registrátora, zapněte transfer lock, podepisujte pomocí DNSSEC a omezte vydávání pomocí CAA. - DNSSEC omezilo převzetí eth.limo, ale nezastaví držitele účtu. - Oznamte záložní řešení, druhou doménu nebo název ENS, ještě před incidentem. - Wardmint nabízí transfer lock, spravované DNSSEC a CAA; registry lock ani monitoring nenabízí. ## Zdroje 1. [Incident domény Curve Finance](https://news.curve.finance/curve-domain-incident/) — Curve Finance (čteno 2026-11-12) 2. [Galxe oznamuje refundaci $396,000 dotčeným uživatelům po útoku na DNS](https://www.theblock.co/post/255827/galxe-announces-396000-refund-to-affected-users-following-dns-attack) — The Block, 11 October 2023 (čteno 2026-11-12) 3. [Výzkumníci: slabá výchozí bezpečnostní nastavení umožnila únos domén Squarespace](https://krebsonsecurity.com/2024/07/researchers-weak-security-defaults-enabled-squarespace-domains-hijacks/) — Krebs on Security, 15 July 2024 (čteno 2026-11-12) 4. [Únos frontendu a útočná plocha Web2 ohrožující protokoly Web3](https://blockaid.io/blog/frontend-hijacking-and-the-web2-attack-surface-threatening-web3-protocols) — Blockaid, 19 March 2026 (čteno 2026-11-12) 5. [eth.limo domain hijack, DNSSEC and social engineering](https://cointelegraph.com/news/eth-limo-domain-hijack-dnssec-social-engineering) — Cointelegraph, 20 April 2026 (čteno 2026-11-12) 6. [Hackeři unesou tucet DeFi webů registrovaných u Name.com](https://theblock.co/news/defi/2026-10-31-hackers-hijack-a-dozen-defi-websites-all-registered-with-name-com-and-steal-about-138000-432251) — The Block, 31 October 2026 (čteno 2026-11-12) 7. [ENSIP-7: Contenthash field](https://docs.ens.domains/ensip/7) — ENS documentation (čteno 2026-11-12) --- Wardmint: Wardmint registruje defenzivní domény, které krypto projekt potřebuje — vlastní název napříč příponami, které phishingoví útočníci používají, a vlastní překlepy a podobné varianty — placené v kryptoměnách bez KYC: žádný doklad totožnosti, jen jeden ověřený e-mail na doménu. Provozuje ji DomaineGoat LLC, společnost registrovaná v Panamě; domény se registrují u našeho registrátorského partnera akreditovaného ICANN. Doména .com stojí 12,49 US$/rok, každý rok stejně.