¿Cómo se protege un dominio contra el secuestro de DNS?

¿Qué es el secuestro de DNS y por qué afecta a los front ends cripto?

El secuestro de DNS es el cambio no autorizado de los registros o del registro del dominio que indican a los navegadores dónde está alojado un dominio. El atacante no toca sus contratos inteligentes. Envía a los usuarios de su dirección real a una copia de su front end que pide firmas de cartera.

Por eso el ataque encaja con el mundo cripto. Un usuario que escribe la dirección correcta y ve un candado válido no tiene motivos para dudar de la página. Curve Finance dijo tras su incidente del 12 de mayo de 2025 que sus contratos y los datos de los usuarios no se vieron comprometidos, y aun así los visitantes fueron redirigidos a un señuelo estático que pedía firmas. La pérdida procede de la firma, no de un fallo en el código.

El atacante necesita controlar una de tres cosas: la cuenta del registrador que guarda el dominio, el proveedor de DNS que sirve sus registros o la ruta del resolvedor entre el usuario y el servidor. Esta guía cubre las dos primeras, porque son las que un proyecto controla. Proteger la tercera es la finalidad de DNSSEC, y se explica en cómo activar DNSSEC en su dominio.

¿Qué incidentes reales muestran cómo ocurren los secuestros?

Los incidentes públicos desde 2022 muestran a atacantes que pasan por las cuentas y el personal de soporte, no por la criptografía. La tabla anterior los enumera, y el patrón se repite.

Según el recuento de Wardmint del 12 de noviembre de 2026, la tabla de incidentes de su investigación reúne siete entradas entre agosto de 2022 y octubre de 2026 (Curve dos veces, Balancer, Galxe, la oleada de Squarespace de julio de 2024, el grupo de febrero de 2026 y la oleada de octubre de 2026), y todas ellas actuaron sobre el dominio, el proveedor de DNS o la cuenta del registrador. La lista completa con fuentes está en qué proyectos cripto perdieron usuarios por el secuestro de DNS.

¿Cómo se blinda la cuenta del registrador?

Trate la cuenta del registrador como la llave de todo el front end y proporciónele el acceso más fuerte de que disponga. Use una contraseña larga, aleatoria y que no utilice en ningún otro sitio, y active la autenticación en dos pasos. Guarde las credenciales en un gestor de contraseñas o en una caja fuerte respaldada por hardware, no en un chat compartido.

Reduzca el número de personas que pueden iniciar sesión. Nombre a un titular y a un suplente, registre quién tiene cada credencial y retire el acceso el mismo día en que alguien deje el equipo. Mantenga la vía de recuperación tan estricta como el acceso: una cuenta protegida con autenticación en dos pasos pero que un agente de soporte puede restablecer a petición solo es tan fuerte como la lista de comprobación de ese agente. Los casos de Balancer y Avantis implicaron ambos a una persona de un proveedor.

La rutina completa, incluida la forma de detectar el phishing contra los accesos del registrador, está en cómo proteger su cuenta de registrador contra una toma de control. En Wardmint, respuestas por correo en menos de 12 horas, los 7 días de la semana, incluida ayuda con DNSSEC, registros CAA e informes de abuso, así que pida ayuda a soporte con cualquiera de estos ajustes.

¿Qué detiene cada uno: el bloqueo de transferencia y el bloqueo de registro?

Un bloqueo de transferencia impide que el dominio pase a otro registrador; un bloqueo de registro va más allá y bloquea los cambios en el propio registro. Son dos capas distintas, y un proyecto puede tener una sin la otra.

Un bloqueo de transferencia es el estado del lado del registrador clientTransferProhibited. Evita una transferencia no autorizada, pero no impide editar los registros DNS dentro del alojamiento DNS del registrador. Wardmint ofrece un bloqueo de transferencia que activa o desactiva para cada dominio en el área de cliente; el código de transferencia (EPP) también se solicita allí.

Un bloqueo de registro, que Verisign ofrece para .com y .net a través de registradores participantes, añade una verificación fuera de banda para que los cambios de servidores de nombres, de transferencia y de propiedad no puedan hacerse solo con credenciales de la cuenta. Los registradores suelen cobrar entre 100 y 600 USD al año por ello, según cifras de DomainNameWire y de una página de revendedor, fechadas y no verificadas. Wardmint no ofrece bloqueo de registro. En su lugar ofrece el bloqueo de transferencia, y la Protección de dominio a +29 US$/año por dominio, donde el dominio se registra a nombre de DomaineGoat LLC, se mantiene bajo bloqueo de transferencia, y cada reclamación sobre él la lee una persona antes de cualquier acción. La diferencia se explica en bloqueo de registro frente a bloqueo de registrador.

¿Evitan DNSSEC y los registros CAA un secuestro?

DNSSEC y CAA reducen el daño de un secuestro; no detienen a un atacante que es dueño de su cuenta. DNSSEC firma sus registros para que un resolvedor pueda rechazar respuestas falsificadas en el camino. Un atacante que inicia sesión en el registrador puede reemplazar el registro DS o los servidores de nombres, y entonces la firma protege los datos del atacante.

Los registros CAA nombran las autoridades de certificación autorizadas a emitir certificados para su dominio. Los define la RFC 8659. Importan porque los atacantes de febrero de 2026 obtuvieron certificados el mismo día del cambio de DNS; un registro CAA que nombre solo a su autoridad les obliga a modificarlo primero, algo que una alerta puede detectar. Ninguno de los dos controles sustituye a una cuenta bloqueada, y cada uno supone unos minutos de trabajo. La sintaxis está en cómo configurar registros CAA.

¿Cómo se detecta un secuestro en cuestión de minutos?

Vigile los dos rastros públicos que deja todo secuestro: un certificado nuevo y una respuesta DNS modificada. Los registros de Certificate Transparency muestran todos los certificados de confianza pública emitidos para su nombre, y una búsqueda o un flujo gratuito saca a la luz rápidamente uno inesperado. Una comprobación programada que compare sus servidores de nombres y registros A con los valores esperados detecta el cambio en sí.

Prepare la respuesta antes de necesitarla. Tenga anunciada de antemano una dirección oficial alternativa, un mensaje breve listo para sus canales sociales y el contacto urgente del registrador. Curve usó curve.finance como punto de acceso provisional el 12 de mayo de 2025, lo que demuestra el valor de contar con un segundo dominio bajo su control. Un conjunto defensivo registrado con antelación le da esa segunda dirección; .com, .net, .org, .io, .xyz, .app cuesta $128.94 al año en Wardmint.

¿Cuál es la versión corta?

Un dominio resistente al secuestro es aquel en el que la cuenta es difícil de tomar, una transferencia requiere un código, las respuestas están firmadas y los certificados se vigilan. La lectura que hace Wardmint del registro público es que la cuenta y su vía de soporte son el objetivo en los siete incidentes que sigue. Protegerlos primero y añadir después DNSSEC y CAA es el orden que concuerda con la evidencia. Wardmint vende los registros y las herramientas de DNS; alojamiento DNS gratuito con registros A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV y CAA, DNSSEC gestionado y sus propios servidores de nombres si lo prefiere (de 2 a 13). No vende vigilancia, así que las herramientas gratuitas de la guía de vigilancia cubren ese paso.