¿Cómo protejo los dominios de un protocolo DeFi?

¿Qué falla a nivel de dominio en DeFi?

Un atacante que controla el dominio controla lo que firma cada usuario. Los contratos siguen intactos, así que las auditorías y los programas de recompensas por errores no lo detectan.

El patrón es coherente en los incidentes anteriores. El aviso de Curve del 12 de mayo de 2025 dice que los usuarios fueron redirigidos a un señuelo estático que copiaba la página de inicio y pedía firmas, sin que los contratos ni los datos de los usuarios se vieran comprometidos. Blockaid, que siguió el grupo de febrero de 2026, informó de que los atacantes obtuvieron certificados SSL el mismo día del cambio de DNS y de que los usuarios de Nerochain fueron enviados a un host parecido con certificados comodín emitidos para el nombre real.

Según el índice de Wardmint del 12 de noviembre de 2026, 3 de los 7 incidentes a nivel de dominio de su tabla desde 2022 están fechados desde mayo de 2025, así que el riesgo no remite. Wardmint vende registros, no vigilancia, y no puede detener la toma de control de una cuenta en otro registrador; proporciona los nombres y las herramientas y procedimientos gratuitos para reforzarlos.

¿Qué controles necesita un protocolo en su dominio principal?

Cuatro controles cubren los fallos anteriores: seguridad de la cuenta, un bloqueo, DNSSEC y registros CAA.

• Cuenta: use un buzón de rol, una contraseña larga y única, autenticación en dos pasos y ningún inicio de sesión compartido. Consulte la guía para proteger un dominio frente al secuestro de DNS.
• Bloqueo: un bloqueo de transferencia impide un traslado a otro registrador. Un bloqueo de registro, que Verisign ofrece para .com y .net a través de registradores participantes, también bloquea los cambios de DNS y de propiedad hechos solo con credenciales. Wardmint no ofrece bloqueo de registro; un equipo que lo necesite para su .com principal debe tener ese nombre en un registrador que sí lo ofrezca.
• DNSSEC: active DNSSEC para que los resolutores detecten respuestas falsificadas. No sirve de nada si la cuenta del registrador está comprometida.
• CAA: configure los registros CAA para que solo su autoridad de certificación elegida pueda emitir certificados para el dominio.

Wardmint proporciona alojamiento DNS gratuito con registros A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV y CAA, DNSSEC gestionado y sus propios servidores de nombres si lo prefiere (de 2 a 13) para la zona.

¿Qué variantes debe registrar un protocolo DeFi?

Registre su nombre exacto en las extensiones que sus usuarios podrían probar, además de las erratas y palabras de finanzas que encajen con su producto. Para un protocolo, los conjuntos útiles son el conjunto básico (.com, .net, .org, .io, .xyz, .app, $128.94 al año), el conjunto de lanzamiento (.com, .io, .xyz, .app, .finance, .network, $195.94 al año) y las palabras de finanzas (.finance, .exchange, .money, .cash, .capital, .fund, $296.94 al año).

Dirija cada variante al sitio principal con reenvío de URL gratuito y aplique la plantilla DNS sin correo a los nombres sin uso para que no puedan enviar correo como su marca. Wardmint registra las variantes propias de un protocolo para ese protocolo; no registra parecidos del nombre de otro proyecto. El calendario de un lanzamiento está en qué dominios registrar antes del lanzamiento de un token.

¿Qué debe preparar el protocolo antes de un incidente?

Prepare una dirección provisional, un canal de estado y un contacto en el registrador antes de necesitarlos. Tras el secuestro del 12 de mayo de 2025, Curve trasladó a los usuarios a curve.finance como punto de acceso oficial provisional. Una dirección provisional solo es posible cuando ya hay registrado un segundo dominio, que es lo que proporciona un conjunto defensivo.

Redacte ya el manual de actuación: quién puede cambiar el DNS, quién puede contactar con soporte del registrador, cómo se indica a los usuarios que dejen de firmar y cómo se explica la revocación de aprobaciones. La lista de casos pasados y lo que enseñó cada uno está en ¿Qué proyectos cripto perdieron usuarios por el secuestro de DNS?.