پاسخ کوتاه
کدام پروژه‌های کریپتو کاربران خود را از دست دادند بر اثر ربودن DNS؟
Curve Finance (اوت 2022، حدود 570,000 دلار گزارش‌شده)، Balancer و Galxe (2023، Galxe حدود 396,000 دلار بازپرداخت کرد)، موج Squarespace در جولای 2024 (Compound، Celer، Pendle)، Curve دوباره در 12 مه 2025، پنج پروتکل در فوریه 2026، و دوازده سایت DeFi در 30 اکتبر 2026 (حدود 138,000 دلار ردیابی شد). Wardmint هر مورد را با منبعش در جدول می‌آورد.
ربودن دامنه و DNS کریپتو، 2018 تا 2026
| تاریخ | پروژه | چه اتفاقی افتاد | زیان گزارش‌شده | سطح منبع |
|---|---|---|---|---|
| 24 آوریل 2018 | MyEtherWallet | فضای آدرس Route 53 حدود دو ساعت از طریق BGP ربوده شد؛ پاسخ‌های DNS جعلی کاربران را به یک کلون فیشینگ با گواهی HTTPS نامعتبر فرستاد | حدود 150,000 دلار ETH (برآوردها متفاوت است) | ثانویه (The Register) |
| 9 اوت 2022 | Curve Finance | ربودن DNS در سمت ثبتکننده؛ کاربران به یک کلون فرستاده شدند که امضای کیف پول می‌خواست | رسانهها 530,000 تا 573,000 دلار گزارش کردند؛ CertiK حدود 612,000 دلار شمرد | ثانویه، ارقام متفاوت است |
| 19 سپتامبر 2023 | Balancer | رابط کاربری پس از یک حمله مهندسی اجتماعی به ارائه‌دهنده DNS آن تغییر مسیر داد، که Balancer شرح داد | 238,000 دلار در یک حمله دوم | ثانویه |
| 6 اکتبر 2023 | Galxe | سایت رسمی به یک سایت فیشینگ که کیف پولها را تخلیه می‌کرد هدایت شد؛ حدود یک ساعت از دسترس خارج بود | Galxe بیش از 396,000 دلار به بیش از 980 کاربر بازپرداخت کرد | منبع اصلی برای بازپرداخت (The Block) |
| 9 تا 12 جولای 2024 | Compound، Celer، Pendle، Unstoppable Domains و دیگران | دامنه‌هایی که از Google Domains به Squarespace منتقل شدند از طریق ایجاد حساب تصرف شدند؛ Squarespace ضعف OAuth را مقصر دانست، پژوهشگران یک پیش‌فرض ضعیف | مجموع تأییدشده‌ای وجود ندارد | منبع اصلی (Krebs on Security) |
| 12 مه 2025 | Curve Finance | دومین ربودن در سطح ثبتکننده برای curve.fi، کشف‌شده در ساعت 21:20 UTC؛ یک صفحه ایستای فریب‌دهنده امضا می‌خواست | Curve هیچ زیانی گزارش نکرد | منبع اصلی (اعلان Curve) |
| 16 تا 23 فوریه 2026 | OpenEden، Curvance، Smithii، Avantis، Nerochain | انتقال ثبتکننده، تصرف حساب ثبتکننده از طریق یک تماس پشتیبانی، و تغییر مسیر شبیه‌نما، که هرکدام گواهی‌های همان روز داشتند | رقم دلاری منتشر نشده است | منبع اصلی (Blockaid) |
| 30 تا 31 اکتبر 2026 | Flap، Kintsu، Pickle Finance، Origami Finance، FluxBeam، Echelon، StonkFun، StakePoint و دیگران | دامنه‌ها در یک ثبتکننده به یک کیت درینر هدایت شدند؛ ثبتکننده آن‌ها را بازگرداند؛ علت بین ثبتکننده و یک پلتفرم میزبانی محل اختلاف است | حدود 138,000 دلار ردیابی‌شده روی سه کیف پول EVM | منبع اصلی (The Block) |
آخرین بررسی در ؛ ارقام قدیمی‌تر تاریخ خودشان را دارند
در 2022 و 2025 چه بر سر Curve Finance آمد؟
Curve دو بار، با حدود سه سال فاصله، با ربودن DNS در سطح ثبتکننده کاربرانش را از دست داد. در 9 اوت 2022 کاربران به یک کلون فرستاده شدند که امضای کیف پول می‌خواست؛ رسانهها زیان‌هایی بین حدود 530,000 تا 573,000 دلار گزارش کردند و ارقام متفاوت است. در 12 مه 2025 حدود ساعت 20:55 UTC، واگذاری curve.fi در ثبتکننده تغییر کرد، و Curve ساعت 21:20 UTC متوجه شد. کاربران به یک صفحه ایستای فریب‌دهنده رسیدند که صفحه اصلی را کپی کرده بود و امضا می‌خواست.
اعلان Curve می‌گوید قراردادها آسیبی ندیدند، هیچ داده کاربری به خطر نیفتاد، و بیش از 400 میلیون دلار حجم روی زنجیره در زمان قطعی پردازش شد. تیم کاربران را به curve.finance به‌عنوان نشانی رسمی موقت منتقل کرد و پاسخ ثبتکننده را کند توصیف کرد. این اعلان زیانی گزارش نمیکند. درس مربوط به ثبتکننده است: وقتی واگذاری آنجا تغییر کند، هر رکورد DNS که دارید بی‌اثر می‌شود تا وقتی دامنه را پس بگیرید.
موج Squarespace در جولای 2024 چه بود؟
بین 9 و 12 جولای 2024، دست‌کم دوازده سازمان، بیشتر کسب‌وکارهای کریپتویی، پس از یک انتقال ثبتکننده دامنه‌هایشان را از دست دادند. Squarespace حدود ده میلیون دامنه را در ژوئن 2023 از Google Domains خریده بود و مشتریان را منتقل می‌کرد. پژوهشگران MetaMask و Paradigm گفتند مهاجم می‌توانست پیش از صاحب دامنه، حسابی با ایمیل مرتبط با دامنه منتقل‌شده بسازد. گزارش پس‌از‌رخداد Squarespace در 23 جولای، ضعفی در ورود OAuth را مقصر دانست که ظرف چند ساعت رفع شد، و خوانش پژوهشگران را رد کرد و گفت هیچ حساب ورود با ایمیل تأییدنشده‌ای درگیر نبوده است.
قربانیان نام‌برده‌شده در گزارش Krebs on Security شامل Celer Network، Compound Finance، Pendle Finance و Unstoppable Domains هستند. در برخی موارد دامنههای ربوده‌شده بازدیدکنندگان را به سایت‌های فیشینگ برای سرقت رمزارز هدایت کردند. درس: در هر انتقال ثبتکننده، حساب را خودتان در سمت جدید بسازید و امنش کنید، با احراز هویت دو مرحله‌ای روشن، پیش از آنکه کس دیگری بتواند.
هک‌های 2026 چه چیزی را نشان دادند؟
موارد 2026 نشان می‌دهند که مهاجمان به حساب‌های ثبتکننده و کارکنان ثبتکننده حمله میکنند، نه به پروتکل. بین 16 و 23 فوریه 2026، Blockaid پنج مورد سازش رابط کاربری را ردیابی کرد که درینر AngelFerno را تحویل می‌دادند. OpenEden و Curvance از طریق انتقال ثبتکننده از GoDaddy به Namecheap هدف قرار گرفتند. Avantis حساب Squarespace خود را از دست داد، پس از آنکه مهاجمان در یک تماس پشتیبانی اطلاعات صورتحساب را به دست آوردند. کاربران Nerochain به mainnet.live-nerochain.io فرستاده شدند، با گواهی‌های wildcard برای nerochain.io صادرشده. در چند مورد گواهی‌ها در همان روز تغییر DNS صادر شدند.
در 30 اکتبر 2026، دامنههای حدود دوازده سایت DeFi که نزد Name.com ثبت شده بودند در عصر تغییر مسیر یافتند و با کیت درینر Step پر شدند، طبق گزارش The Block. ده دامنه ساعت 8:32 صبح ET در 31 اکتبر تعلیق شدند، و Name.com گفت همه دامنههای آسیب‌دیده را بازگردانده و 15 دامنه مشتری را شمرده، نه 12. حدود 138,000 دلار به سه کیف پول EVM ردیابی شد، بدون زیان Solana و Aptos. Vercel ده دامنه را به پلتفرم خود مربوط دانست؛ Kintsu و Origami به Vercel اشاره می‌کردند، و علت همچنان محل اختلاف است.
گواهی همان‌روزه دلیل آن است که پایش شفافیت گواهی برای برندتان بخشی از دفاع است، در کنار قفلها و امنیت حساب.
این حوادث چه وجه مشترکی دارند؟
در هر مورد از 2022 به بعد، نقطه ضعف حساب دامنه، ارائه‌دهنده DNS یا فرایند ثبتکننده بود، نه قراردادهای هوشمند. Curve، Kintsu، Origami، FluxBeam و StonkFun همگی گفتند قراردادهای زنجیره‌ای‌شان دستنخورده بود. ربودن، محل نشانه را تغییر می‌دهد، پس کاربرانی که نشانی درست را تایپ میکنند همچنان به مهاجم می‌رسند.
چهار اقدامات مستقیماً به این موارد پاسخ می‌دهند. اولی حسابی است که نتوان با گفتگو آن را بازنشانی کرد: چگونه حساب ثبتکننده خود را از تصرف محافظت کنیم را ببینید. دومی قفلی است که انتقال‌ها را مسدود میکند و، جایی که رجیستری پشتیبانی کند، تغییراتی را که فقط با اعتبارنامه انجام می‌شوند: قفل رجیستری و قفل ثبتکننده در اینکه چه کسی میتواند آن را بردارد تفاوت دارند. سومی پایش گواهی و DNS است. چهارمی یک برنامه مکتوب برای ساعت اول است، در چگونه دامنه‌تان را در برابر ربودن DNS ایمن کنیم.
Wardmint ارائه می‌دهد قفل انتقال که می‌توانید برای هر دامنه در ناحیه کاربری روشن یا خاموش کنید؛ کد انتقال (EPP) هم از همان‌جا درخواست می‌شود. قفل رجیستری ارائه نمی‌دهد.
چند مورد در جدول وجود دارد؟
بر اساس شمارش Wardmint در 12 نوامبر 2026، جدول 8 ورودی حادثه از آوریل 2018 تا اکتبر 2026 دارد، که 7 مورد آن از اوت 2022 رخ داده‌اند.
موارد مارس و آوریل 2026 (Neutrl، BonkFun، CoW Swap، eth.limo) را کنار گذاشته‌ایم چون نتوانستیم منابعشان را باز کنیم، و یک کمپین فیشینگ ایمیلی Trezor و Ledger را هم چون ربودن دامنه خود یک پروژه را دربرنمی‌گرفت.
پرسش‌ها درباره ربودن DNS سایت‌های کریپتو
ربودن DNS یک سایت کریپتو چیست؟
تغییری است در جایی که یک نام دامنه به آن اشاره میکند، بدون رضایت مالک، بهطوری که بازدیدکنندگانی که نشانی درست را تایپ میکنند به نسخه مهاجم سایت برسند. قراردادهای هوشمند دستنخورده میمانند؛ رابط کاربری از کاربران میخواهد تراکنشهایی را امضا کنند که کیف پولهایشان را تخلیه میکند.
آیا DNSSEC جلوی هیچیک از این ربودنها را گرفت؟
هیچیک از منابعی که خواندیم نمیگوید چنین کرده است. جایی که خود حساب ثبتکننده تصرف شود، مهاجم میتواند سرورهای نام و رکورد DS را آنجا تغییر دهد، پس DNSSEC بهتنهایی از این مسیر محافظت نمیکند.
چرا ارقام زیان برای یک حادثه واحد متفاوت است؟
رسانهها کیف پولها و تاریخهای متفاوتی را میشمارند، و برخی فقط آنچه ردیابی کردهاند را گزارش میکنند. بنابراین ما یک بازه یا رقم منبع اصلی میدهیم، و ارقام را میان حوادث جمع نمیزنیم.
ربودنها چقدر سریع رخ می‌دهند؟
در مورد 12 مه 2025، Curve تغییر را 25 دقیقه پس از شروعش یافت. در فوریه 2026، Blockaid می‌گوید گواهی‌ها اغلب در همان روز تغییر DNS صادر شدند.
آیا دامنههای دفاعی میتوانند ربودن دامنه اصلی من را متوقف کنند؟
خیر. دامنههای دفاعی شبیهنماها را متوقف میکنند، نه تصرف نام خودتان را. قفلها، امنیت حساب و پایش در راهنماها خود ربودن را هدف میگیرند.
خلاصه
- Curve Finance در 9 اوت 2022 و دوباره در 12 مه 2025 در سطح ثبتکننده ربوده شد.
- Galxe پس از 6 اکتبر 2023 بیش از 396,000 دلار را به بیش از 980 کاربر بازپرداخت کرد.
- موج Squarespace از 9 تا 12 جولای 2024 دست‌کم دوازده سازمان را هدف گرفت، از جمله Compound، Celer و Pendle.
- پنج پروتکل بین 16 و 23 فوریه 2026 ربوده شدند؛ گواهی‌ها در همان روز صادر شدند.
- در 30 اکتبر 2026 دوازده سایت DeFi نزد یک ثبتکننده تغییر مسیر یافتند؛ حدود 138,000 دلار ردیابی شد.
- در همه حوادث از 2022 به بعد، نقطه ضعف حساب دامنه، ارائه‌دهنده DNS یا فرایند ثبتکننده بود.
- Wardmint قفل انتقال ارائه می‌دهد، نه قفل رجیستری.
منابع (8)
- جدول حادثه Curve — Curve Finance (خوانده‌شده 2026-11-12)
- پژوهشگران: پیش‌فرض‌های امنیتی ضعیف، ربوده شدن دامنههای Squarespace را ممکن کرد — Krebs on Security (خوانده‌شده 2026-11-12)
- امنیت رابط کاربری و سطح حمله Web2 که پروتکل‌های Web3 را تهدید میکند — Blockaid (خوانده‌شده 2026-11-12)
- هکرها دوازده وب‌سایت DeFi را که همه با Name.com ثبت شده بودند ربودند و حدود 138,000 دلار دزدیدند — The Block (خوانده‌شده 2026-11-12)
- Galxe بازپرداخت 396,000 دلاری به کاربران آسیب‌دیده پس از حمله DNS اعلام کرد — The Block (خوانده‌شده 2026-11-12)
- کاربران Curve Finance در حمله به رابط کاربری 573,000 دلار از دست دادند — ForkLog (خوانده‌شده 2026-11-12)
- حملات DNS به Galxe و Balancer نشان می‌دهد بسیاری از شرکت‌های کریپتویی آسیب‌پذیرند — FXStreet (خوانده‌شده 2026-11-12)
- ربودن DNS در MyEtherWallet — The Register (خوانده‌شده 2026-11-12)