Respuesta rápida
¿Cómo se protege el dominio de un frontend DeFi?
Proteja un frontend DeFi blindando cada capa entre el usuario y la página: la cuenta del registrador, el DNS, los certificados, el alojamiento y el CDN, además de un respaldo anunciado de antemano en un segundo dominio o en un nombre ENS. Wardmint leyó seis incidentes públicos de secuestro entre octubre de 2023 y octubre de 2026; cada uno pasó por la capa de dominio o de DNS, no por los contratos.
Seis secuestros documentados de frontends, de 2023 a 2026
| Fecha | Proyecto | Layer reported | Reported outcome |
|---|---|---|---|
| 6 de octubre de 2023 | Galxe | Secuestro de DNS; sitio redirigido a una página de phishing | Más de 980 usuarios reembolsados por algo más de $396,000, más 10% de la tesorería |
| Del 9 al 12 de julio de 2024 | Compound, Celer, Pendle y otros | Cuentas de registrador de dominios migrados a Squarespace; debilidad de OAuth | Al menos una docena de organizaciones afectadas; algunos dominios mostraron páginas de phishing |
| 12 may 2025 | Curve Finance | Delegación de curve.fi cambiada en el registrador | Sitio señuelo que pedía firmas; contratos y datos no comprometidos |
| Del 16 al 23 de febrero de 2026 | OpenEden, Curvance, Smithii, Avantis, Nerochain | Transferencia en el registrador, toma de cuenta por llamada de soporte, redirección DNS | Drenador AngelFerno; certificados SSL del mismo día; sin compromiso de contratos |
| April 2026 | eth.limo | Ingeniería social contra el registrador y el proveedor DNS | DNSSEC rechazó respuestas falsificadas; sin impacto conocido en usuarios en la revisión posterior |
| Del 30 al 31 de octubre de 2026 | Flap, Kintsu, Origami Finance y otros | Dominios de un registrador redirigidos; causa disputada con la plataforma de alojamiento | Step Drainer; unos $138,000 rastreados hasta tres carteras EVM |
Última comprobación el ; los datos más antiguos llevan su propia fecha
¿Qué capas hay entre un usuario y un frontend DeFi?
Cinco capas, y un atacante solo necesita una. El registrador tiene el registro y la delegación de servidores de nombres. El proveedor DNS responde a dónde apunta el nombre. La autoridad de certificación emite el candado. La plataforma de alojamiento o el CDN sirven los archivos. Por último, el resolutor y la cartera del propio usuario deciden qué confiar.
Los informes de incidentes encajan con estas capas. El aviso de Curve del 12 de mayo de 2025 describe un cambio de delegación DNS en el registrador. Los casos de Squarespace de julio de 2024, informados por Krebs on Security el 15 de julio de 2024, fueron tomas de cuentas en un registrador. El análisis de Blockaid sobre el grupo de febrero de 2026 añade la capa de certificados: los atacantes obtuvieron certificados SSL el día del cambio DNS. La ola de octubre de 2026 trae la capa de alojamiento, porque el boletín de Vercel vinculó diez dominios afectados a su plataforma mientras Name.com, el registrador, los restauró.
¿Cómo debe configurarse la cuenta del registrador?
Trate el acceso al registrador como infraestructura de producción. Use una contraseña larga y única, autenticación de dos factores, una lista pequeña y registrada de usuarios, y un proceso de recuperación que un desconocido no pueda sortear por teléfono. Blockaid informa de que Avantis fue tomada después de que un atacante obtuviera datos de facturación en una llamada de soporte, y Cointelegraph informa de que el atacante de eth.limo se hizo pasar por un miembro del equipo para iniciar una recuperación de cuenta. Ambos casos vencen una buena contraseña porque pasan por una persona.
Active el bloqueo de transferencia en cada dominio. Para un .com o .net principal, considere el registry lock donde un registrador lo venda; registry lock frente a registrar lock detalla qué bloquea cada uno. Wardmint ofrece el bloqueo de transferencia y la opción «Protección de dominio», no el registry lock. La rutina completa está en cómo proteger su cuenta de registrador frente a una toma de control.
¿Cómo deben quedar el DNS y los certificados?
Firme la zona, restrinja la emisión de certificados y vigile los registros. DNSSEC marcó la diferencia en el caso de eth.limo: Cointelegraph informó de que estaba activado, de que el atacante no tenía claves de firma y de que los resolutores que validan rechazaron las respuestas falsificadas. No es una defensa frente a un atacante que tiene la cuenta del registrador, ya que esa persona puede reemplazar el registro DS, así que complementa los controles de cuenta. Vea cómo activar DNSSEC en su dominio.
Añada un registro CAA que nombre solo a su autoridad de certificación, como en cómo configurar registros CAA, y vigile Certificate Transparency para su nombre, como en cómo monitorizar Certificate Transparency para su marca. Un secuestrador que además deba cambiar un registro CAA, y que deja una entrada visible en el registro, es más fácil de detectar. Wardmint incluye alojamiento DNS gratuito con registros A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV y CAA, DNSSEC gestionado y sus propios servidores de nombres si lo prefiere (de 2 a 13).
¿Cómo encajan el alojamiento y el CDN?
Dé a la plataforma de alojamiento y al CDN sus propias cuentas, propietarios y autenticación de dos factores, y liste cada dominio asociado a ellos. Los informes de octubre de 2026 muestran por qué. The Block registró que Kintsu y Origami Finance culparon a Vercel, que el boletín de Vercel vinculó diez dominios afectados a su plataforma, y que Name.com dijo haber restaurado todos los dominios afectados y pidió a los clientes revisar los registros DNS y activar la autenticación de dos factores. Las fuentes dejan la causa en disputa, así que la lección es de cobertura: un dominio solo está seguro si cada plataforma que puede cambiar lo que sirve también está protegida.
En el lado del alojamiento, mantenga una lista de los dominios y subdominios que cada proyecto puede servir en la plataforma, elimine los que ya no usa y guarde los tokens de despliegue en una bóveda. Compruebe también desde fuera: una tarea programada que resuelva sus servidores de nombres y registros A y los compare con los valores esperados detecta una redirección en minutos y no en horas.
¿Debe un frontend DeFi tener un respaldo en ENS o IPFS?
Sí: una segunda vía para llegar a la interfaz limita el daño mientras se recupera el dominio principal. Curve dio a los usuarios curve.finance como punto de acceso provisional el 12 de mayo de 2025, y su aviso pidió una adopción más amplia de ENS en el sector. ENSIP-7 define un campo contenthash para los resolutores de ENS, que permite que un nombre apunte a contenido en IPFS o Swarm, de modo que un nombre .eth puede servir como dirección alternativa para un frontend publicado en IPFS.
Un respaldo solo funciona si los usuarios ya lo conocen. Anuncie las alternativas oficiales antes de un incidente, en el pie de la web, en la documentación y en los canales sociales verificados, y declare que ninguna otra dirección es oficial. Las compensaciones entre nombres en cadena y nombres DNS están en nombre ENS o dominio DNS para un proyecto cripto. Un segundo dominio DNS forma parte del mismo plan, y el conjunto básico de seis extensiones de Wardmint cuesta $128.94 al año.
¿Cuántos de los secuestros documentados pasaron por la capa de dominio?
Según la encuesta de Wardmint del 12 de noviembre de 2026, cinco de los seis incidentes de la tabla anterior enviaron a los usuarios del dominio real a una copia o a una página de phishing, y en el sexto, eth.limo, DNSSEC rechazó las respuestas falsificadas. En los seis, el punto de entrada informado fue un registrador, un proveedor DNS o la cuenta del registrador, o, en octubre de 2026, una división en disputa entre el registrador y la plataforma de alojamiento. Ninguna fuente leída informa de un fallo de un contrato inteligente como punto de entrada.
Dos frases citables: un protocolo DeFi es tan difícil de secuestrar como la cuenta que tiene su dominio, y una dirección de respaldo anunciada de antemano es la herramienta de recuperación más barata que posee un proyecto. La lista más amplia de casos está en qué proyectos cripto perdieron usuarios por secuestro de DNS, y la visión del sector en seguridad de dominios para protocolos DeFi.
Siete pasos para proteger el dominio de un frontend DeFi
Mapee cada capa
Liste la cuenta del registrador, el proveedor DNS, la autoridad de certificación, la plataforma de alojamiento y el CDN de cada dominio, y nombre un responsable para cada uno.
Bloquee la cuenta del registrador
Use una contraseña única, autenticación de dos factores, pocos usuarios y una ruta de recuperación estricta.
Active el bloqueo de transferencia
Bloquee cada dominio contra transferencias y decida sobre el registry lock para un .com o .net crítico.
Firme y restrinja
Active DNSSEC y publique un registro CAA que nombre solo a su autoridad de certificación.
Proteja el alojamiento y el CDN
Aplique autenticación de dos factores, elimine los dominios sin uso y guarde los tokens de despliegue en una bóveda.
Vigilancia
Vigile Certificate Transparency y compare los servidores de nombres y los registros A con los valores esperados según un calendario.
Publish a fallback
Registre un segundo dominio o un nombre ENS, anúncielo de antemano y ensaye el cambio a él.
Protección de un frontend DeFi: preguntas
¿Están en riesgo los contratos inteligentes en un secuestro de frontend?
En los incidentes leídos, no. Curve y los proyectos de febrero de 2026 informaron de que los contratos no fueron comprometidos. Los usuarios pierden fondos al firmar en la página clonada.
¿Protege DNSSEC un frontend DeFi?
Protege las respuestas en tránsito y limitó la toma de eth.limo de abril de 2026. No detiene a un atacante que controla la cuenta del registrador, así que úselo junto con la seguridad de la cuenta y un bloqueo de transferencia.
¿Está disponible el registry lock para todas las extensiones?
No. Verisign lo ofrece para .com, .net, .cc y .name a través de registradores participantes. Wardmint no ofrece registry lock; ofrece un bloqueo de transferencia y «Protección de dominio».
¿Qué debe hacer un protocolo en la primera hora de un secuestro?
Contactar con el registrador y el proveedor DNS, pedir a los usuarios que dejen de firmar en el dominio principal, señalarles el respaldo anunciado de antemano y guardar las pruebas. Curve siguió este patrón el 12 de mayo de 2025.
¿Puede una tesorería DAO pagar un dominio de respaldo?
Sí. Wardmint acepta BTC, USDT, USDC, ETH, SOL, LTC en un saldo prepagado con una recarga mínima de 25 US$, con un correo verificado por dominio y sin documentos de identidad.
En resumen
- Cinco capas llegan al usuario: registrador, DNS, certificados, alojamiento o CDN, y el resolutor del usuario.
- Seis secuestros documentados de octubre de 2023 a octubre de 2026 pasaron por la capa de dominio, no por los contratos.
- Galxe reembolsó algo más de $396,000 a más de 980 usuarios; la ola de octubre de 2026 rastreó unos $138,000 hasta tres carteras EVM.
- Bloquee la cuenta del registrador, active el bloqueo de transferencia, firme con DNSSEC y restrinja la emisión con CAA.
- DNSSEC limitó la toma de eth.limo, pero no detiene a un titular de cuenta.
- Anuncie un respaldo, un segundo dominio o un nombre ENS antes de un incidente.
- Wardmint ofrece bloqueo de transferencia, DNSSEC gestionado y CAA; no ofrece registry lock ni monitorización.
Fuentes (7)
- Incidente de dominio de Curve — Curve Finance (consultado 2026-11-12)
- Galxe anuncia un reembolso de $396,000 a los usuarios afectados tras un ataque al DNS — The Block, 11 October 2023 (consultado 2026-11-12)
- Investigadores: configuraciones de seguridad débiles por defecto permitieron los secuestros de dominios de Squarespace — Krebs on Security, 15 July 2024 (consultado 2026-11-12)
- Secuestro de front ends y la superficie de ataque Web2 que amenaza a los protocolos Web3 — Blockaid, 19 March 2026 (consultado 2026-11-12)
- eth.limo domain hijack, DNSSEC and social engineering — Cointelegraph, 20 April 2026 (consultado 2026-11-12)
- Hackers secuestran una docena de sitios web DeFi registrados con Name.com — The Block, 31 October 2026 (consultado 2026-11-12)
- ENSIP-7: Contenthash field — ENS documentation (consultado 2026-11-12)