پاسخ کوتاه
وقتی یک سایت فیشینگ پروژه شما را جا می‌زند چه باید کرد؟
وقتی یک سایت فیشینگ پروژه شما را جا می‌زند، نخست بررسی کنید آیا دامنه خودتان هنوز درست حل می‌شود، سپس کاربران را از کانال‌های تأییدشده با نشانی واقعی‌تان مطلع کنید، گزارش سایت را موازی به ثبت‌کننده و میزبانش بفرستید، و هر دسترسی‌ای را که مهاجم ممکن است داشته باشد بچرخانید. Chainalysis شمرد که کلاهبرداری‌های جعل هویت در 2025 حدود 1,400% بالا رفته‌اند. Wardmint در کمتر از 24 ساعت پس از یک گزارش مستند عمل می‌کند.
ساعت نخست، دقیقه به دقیقه
| بازه | اقدام | مسئول |
|---|---|---|
| 0 تا 10 دقیقه | جعلی بودن را تأیید کنید، DNS خودتان را بررسی کنید، یک مسئول حادثه تعیین کنید | مسئول امنیت |
| 10 تا 25 دقیقه | در هر کانال تأییدشده هشدار بگذارید با نشانی واقعی؛ هر کمپین امضای فعال را متوقف کنید | مسئول جامعه |
| 25 تا 40 دقیقه | بسته شواهد را برای ثبت‌کننده و میزبان بفرستید؛ نشانی URL را در فهرست‌های هشدار علامت بزنید | مسئول امنیت |
| 40 تا 60 دقیقه | دسترسی حساب ثبت‌کننده را بررسی کنید، گذرواژه‌ها و 2FA را بچرخانید، رکوردهای DNS را مرور کنید | مسئول عملیات |
| پس از ساعت نخست | گزارش‌ها را پیگیری کنید، کاربران را به‌روز کنید، درباره شکایت UDRP تصمیم بگیرید | مسئول حادثه |
چک‌لیست ساعت نخست
شبیه‌نما را از ربودن جدا کنید
بررسی DNS زیر را اجرا کنید. شبیه‌نما دامنه‌ای دیگر است؛ کاربرانی که اشتباه تایپ کرده یا کلیک کرده‌اند به آنجا رسیده‌اند. ربودن یعنی دامنه خودتان اکنون جای دیگری اشاره می‌کند، و این مورد نزد ثبت‌کننده‌تان یک وضعیت اضطراری است.
یک مسئول حادثه تعیین کنید
یک نفر جدول زمانی، پوشه شواهد و هر پیام خروجی را در اختیار دارد. دیگران اجرا می‌کنند؛ خودسرانه عمل نمی‌کنند.
کاربران را از کانال‌هایی که به آن‌ها اعتماد دارند مطلع کنید
نشانی واقعی را در بنر سایت، حساب‌های اجتماعی، سرور جامعه و کانال‌های یکپارچه‌سازی کیف پول منتشر کنید. صریح بگویید: هرگز از هیچ نشانی دیگری درخواستی را امضا نکنید. نشانی جعلی را دفاعی‌شده بنویسید، مثلاً example[.]com، تا کسی روی آن کلیک نکند.
گزارش‌ها را موازی شروع کنید
ابتدا ثبت‌کننده و میزبان، سپس Safe Browsing، Netcraft، Chainabuse و فهرست‌های بلاک کیف پول. راهنمای گزارش دستورهای RDAP را دارد.
دسترسی خودتان را قفل کنید
ورودهای ثبت‌کننده، ارائه‌دهنده DNS و میزبانی را بررسی کنید. گذرواژه‌ها را بچرخانید، 2FA مبتنی بر SMS را با یک کلید سخت‌افزاری جایگزین کنید، و رکوردهای DNS را خط به خط بررسی کنید. ببینید چگونه حساب ثبت‌کننده خود را از تصرف محافظت کنیم.
به کسانی که قبلاً امضا کرده‌اند کمک کنید
به آن‌ها بگویید باقی‌مانده وجوه را به یک کیف پول جدید منتقل کنند، مجوزهای توکن را با یک بررسی‌گر مجوز در کاوشگر بلاکچین مرور و لغو کنند، و هش تراکنش را برای شما بفرستند. در اولین پیام بازپرداخت را وعده ندهید.
dig +short NS yourdomain.com
dig +short A yourdomain.com
dig +short TXT yourdomain.com
curl -sL https://rdap.org/domain/yourdomain.com | jq '{status: .status, nameservers: [.nameservers[].ldhName], changed: [.events[] | select(.eventAction=="last changed") | .eventDate]}'
# compare with the values you recorded in your runbook; a changed nameserver or a new "last changed" date you did not make is a hijackچگونه یک سایت شبیه‌نما را از ربودن دامنه خودتان تشخیص دهیم؟
اگر دامنه شما هنوز به سرورهای شما حل می‌شود و سرورهای نام آن مال شماست، سایت جعلی روی دامنه دیگری زندگی می‌کند. بررسی با فرمان‌های بالا کمتر از یک دقیقه طول می‌کشد. شبیه‌نما یعنی مهاجم دامنه‌ای دیگر دارد و به اشتباه تایپ، کلیک روی تبلیغ یا دنبال کردن یک لینک توسط کاربران تکیه می‌کند.
ربودن فرق دارد. در 12 مه 2025 دامنه Curve Finance در سطح ثبت‌کننده حدود ساعت 20:55 UTC تغییر مسیر داد؛ تیم آن را در 21:20 UTC یافت و به کاربران گفت از curve.finance به‌عنوان نشانی موقت استفاده کنند، و گفت قراردادها و داده‌های کاربران تحت تأثیر قرار نگرفته‌اند. در شامگاه 30 اکتبر 2026، دامنه‌های حدود دوازده رابط DeFi که نزد Name.com ثبت شده بودند به یک کیت درینر هدایت شدند، و The Block گزارش داد که ده دامنه صبح روز بعد ساعت 8:32 به وقت شرقی تعلیق شدند. در یک ربودن، پیش از هر کار دیگری با ثبت‌کننده‌تان تماس بگیرید.
هشدار به کاربران چه باید بگوید؟
یک هشدار خوب نشانی واقعی را می‌دهد، می‌گوید چه چیزی را رد کنند، و هیچ کس را مقصر نمی‌داند. آن را در چهار خط نگه دارید: چه اتفاقی افتاد، تنها نشانی رسمی، دستور رد هر درخواست امضا از نشانی دیگر، و زمان به‌روزرسانی بعدی.
سایت جعلی را لینک نکنید. زیان‌ها را حدس نزنید. اعلان Curve در می 2025 الگوی این قالب است: گفت چه چیزی تغییر مسیر یافته، از کدام نشانی استفاده شود، و اینکه قراردادها دست‌نخورده‌اند. اعلان را در همه کانال‌ها سنجاق کنید و هر وقت واقعیت‌ها تغییر کرد، آن را در همان جا ویرایش کنید و زمان هر ویرایش را بنویسید. گام بلندمدت یک مجموعه دفاعی از واریانت‌های خودتان است تا جعلی‌های آشکار برای مهاجم در دسترس نباشند.
درباره گزارش‌ها و شواهد چه کاری می‌کنید؟
یک بسته شواهد را در همان ساعت به هر گیرنده بفرستید. بسته شامل نشانی URL، اسکرین‌شات‌های تاریخ‌دار، درخواست امضا، نشانی‌های کیف پول دریافت‌کننده و خروجی RDAP است. ترتیب کامل تماس‌ها در چگونه یک سایت فیشینگ را که dApp شما را کپی کرده حذف کنیم آمده است.
یک گزارش از هر گزارش با زمان، گیرنده و شماره پیگیری نگه دارید. یک شکایت بعدی UDRP، شکایت ICANN Compliance یا گزارش پلیس از این گزارش آغاز می‌شود. زیان‌های درینر بزرگ‌اند: ScamSniffer در 2025 شمرد که 106,106 قربانی و 83.85 میلیون دلار زیان درینر کیف پول روی زنجیره‌های EVM رخ داده، پس یک گزارش تمیز به کاربرانی کمک می‌کند که گزارش‌های خودشان را ثبت می‌کنند.
آمادگی چقدر ساعت نخست را تغییر می‌دهد؟
یک runbook مکتوب دقیقه‌هایی را نجات می‌دهد که نمی‌توانید از دست بدهید. بر اساس بررسی Wardmint در 12 نوامبر 2026، فایل پژوهشی آن چهار مورد ربودن با منبع اصلی از جولای 2024 دارد: موج Squarespace (جولای 2024)، Curve Finance (مه 2025)، خوشه پنج پروژه‌ای (فوریه 2026) و مشتریان Name.com (اکتبر 2026). هر منبع حمله را به دامنه، ثبت‌کننده یا لایه DNS مربوط می‌کند، نه به قراردادهای هوشمند، هرچند علت اکتبر 2026 بین Name.com و Vercel محل اختلاف است. پیش از نیاز بنویسید: مالک ورود به ثبت‌کننده، محل نگهداری کلیدهای 2FA، رکوردهای DNS که انتظار دارید، و تماس هر کانال.
برای سخت‌سازی پیش از حادثه، چگونه دامنه‌تان را در برابر ربودن DNS ایمن کنیم را ببینید. پشتیبانی در Wardmint: پاسخ ایمیلی در کمتر از 12 ساعت، هفت روز هفته، از جمله کمک برای DNSSEC، رکوردهای CAA و گزارش‌های سوءاستفاده.
پرسش‌ها درباره حوادث جعل هویت
آیا در یک حادثه باید سایت واقعی خود را آفلاین کنم؟
فقط اگر دامنه خودتان ربوده یا سازش شده باشد. برای شبیه‌نمای روی دامنه دیگر، سایت خود را بالا نگه دارید و نشانی واقعی را بیشتر به چشم بیاورید.
آیا باید حادثه را عمومی اعلام کنم؟
بله، پس از تأیید آن. کاربران در دقایق پیش از شنیدن خبر، درخواست جعلی را امضا می‌کنند، پس یک اعلان کوتاه و واقعی از کانال‌های تأییدشده بیش از یک گزارش کامل نوشته‌شده بعدی کمک می‌کند.
آیا کاربران می‌توانند وجوه خود را پس بگیرند؟
وعده‌اش را ندهید. به کاربران بگویید چگونه باقی‌مانده وجوه را محافظت کنند و از آن‌ها بخواهید هش تراکنش‌ها را بفرستند؛ بازیابی به زنجیره، درینر و هر اقدام مجری قانون بستگی دارد.
ثبت‌کننده چقدر زود پس از گزارش من اقدام می‌کند؟
هیچ جدول زمانی‌ای همه ثبت‌کننده‌ها را متعهد نمی‌کند. ICANN از 5 آوریل 2024 از ثبت‌کنندگان دارای اعتبار خواسته که درباره شواهد قابل پیگیری فیشینگ به‌سرعت اقدام کنند. نزد Wardmint، اقدام در کمتر از 24 ساعت پس از یک گزارش مستند انجام می‌شود.
خلاصه
- نخست DNS خودتان را بررسی کنید: شبیه‌نما و ربودن هر کدام به اقدام متفاوتی نیاز دارند.
- با نشانی واقعی و بدون لینک زنده به جعلی، کاربران را از کانال‌های تأییدشده مطلع کنید.
- گزارش‌های ثبت‌کننده و میزبان را موازی با یک بسته شواهد بفرستید.
- دسترسی ثبت‌کننده، DNS و میزبانی را بچرخانید و به 2FA سخت‌افزاری بروید.
- Chainalysis شمرد که کلاهبرداری‌های جعل هویت در 2025 حدود 1,400% بالا رفته‌اند.
- ScamSniffer شمرد که 83.85 میلیون دلار با درینرهای کیف پول روی زنجیره‌های EVM در 2025 از دست رفته است.
- Wardmint در کمتر از 24 ساعت پس از یک گزارش مستند عمل می‌کند.
منابع (7)
- جدول حادثه Curve — Curve Finance (خوانده‌شده 2026-11-12)
- هکرها دوازده وب‌سایت DeFi را که همه نزد Name.com ثبت شده بودند می‌ربایند — The Block (خوانده‌شده 2026-11-12)
- کلاهبرداری‌های کریپتو 2026: گزارش Chainalysis — Chainalysis (خوانده‌شده 2026-11-12)
- گزارش ScamSniffer 2025: زیان‌های فیشینگ کریپتو 83% کاهش یافت و به 84 میلیون دلار رسید — ScamSniffer (خوانده‌شده 2026-11-12)
- ربودن رابط کاربری و سطح حمله Web2 — Blockaid (خوانده‌شده 2026-11-12)
- پژوهشگران: پیش‌فرض‌های امنیتی ضعیف، ربوده شدن دامنه‌های Squarespace را ممکن کرد — Krebs on Security (خوانده‌شده 2026-11-12)
- اصلاحات جهانی 2024 به توافق‌نامه اعتبارنامه ثبت‌کننده: سوءاستفاده DNS — ICANN (خوانده‌شده 2026-11-12)