Bagaimana cara mengamankan domain Anda dari DNS hijacking?

Apa itu DNS hijacking, dan mengapa ia menyerang front end kripto?

DNS hijacking adalah perubahan tanpa izin pada catatan atau pendaftaran yang memberi tahu browser di mana sebuah domain berada. Penyerang tidak menyentuh smart contract Anda. Mereka mengarahkan pengguna dari alamat asli Anda ke salinan front end Anda yang meminta tanda tangan dompet.

Itulah sebabnya serangan ini cocok untuk kripto. Pengguna yang mengetik alamat yang benar dan melihat gembok yang valid tidak punya alasan untuk meragukan halaman itu. Curve Finance menyatakan setelah insidennya pada 12 Mei 2025 bahwa kontrak dan data pengguna mereka tidak dikompromikan, namun pengunjung dialihkan ke halaman tiruan statis yang meminta tanda tangan. Kerugiannya berasal dari tanda tangan, bukan dari cacat pada kode.

Penyerang memerlukan kendali atas salah satu dari tiga hal: akun registrar yang menyimpan domain, penyedia DNS yang melayani catatannya, atau jalur resolver antara pengguna dan server. Panduan ini membahas dua yang pertama, karena keduanya berada dalam kendali proyek. Melindungi yang ketiga adalah tujuan DNSSEC, dan dijelaskan di cara mengaktifkan DNSSEC pada domain Anda.

Insiden nyata apa yang menunjukkan bagaimana hijacking terjadi?

Insiden publik sejak 2022 menunjukkan penyerang masuk melalui akun dan staf dukungan, bukan melalui kriptografi. Tabel di atas mencantumkannya, dan polanya berulang.

Menurut hitungan Wardmint tanggal 12 November 2026, tabel insiden dalam risetnya memuat tujuh entri antara Agustus 2022 dan Oktober 2026 (Curve dua kali, Balancer, Galxe, gelombang Squarespace Juli 2024, klaster Februari 2026, dan gelombang Oktober 2026), dan setiap entri bertindak pada domain, penyedia DNS, atau akun registrar. Daftar lengkap dengan sumbernya ada di proyek kripto mana yang kehilangan pengguna karena DNS hijacking.

Bagaimana cara mengunci akun registrar?

Perlakukan akun registrar sebagai kunci ke seluruh front end, dan berikan login terkuat yang Anda miliki. Gunakan kata sandi yang panjang, acak, dan tidak dipakai di tempat lain, lalu aktifkan autentikasi dua faktor. Simpan login di pengelola kata sandi atau brankas berbasis perangkat keras, bukan di obrolan bersama.

Kurangi jumlah orang yang bisa masuk. Tetapkan satu pemilik dan satu cadangan, catat siapa yang memegang setiap kredensial, dan hapus akses pada hari seseorang keluar dari tim. Jaga jalur pemulihan tetap seketat login: akun yang dilindungi dua faktor tetapi bisa direset oleh agen dukungan atas permintaan hanya sekuat daftar periksa agen itu. Kasus Balancer dan Avantis sama-sama melibatkan manusia di sisi penyedia.

Rutin lengkapnya, termasuk cara mengenali phishing terhadap login registrar, ada di cara melindungi akun registrar Anda dari pengambilalihan. Di Wardmint, balasan email dalam 12 jam, 7 hari seminggu, termasuk bantuan soal DNSSEC, rekaman CAA dan laporan penyalahgunaan, jadi mintalah bantuan dukungan untuk salah satu pengaturan ini.

Apa yang dilakukan kunci transfer dan kunci registry masing-masing?

Transfer lock mencegah domain pindah ke registrar lain; registry lock lebih jauh dan memblokir perubahan di registri itu sendiri. Keduanya adalah dua lapisan berbeda, dan sebuah proyek dapat memiliki salah satu tanpa yang lain.

Transfer lock adalah status sisi registrar clientTransferProhibited. Ini mencegah transfer tanpa izin, tetapi tidak menghentikan pengeditan rekaman DNS di hosting DNS milik registrar. Wardmint menawarkan kunci transfer yang bisa Anda aktifkan atau nonaktifkan untuk setiap domain di area klien; kode transfer (EPP) juga diminta di sana.

Registry lock, yang ditawarkan untuk .com dan .net oleh Verisign melalui registrar peserta, menambahkan verifikasi out-of-band sehingga perubahan nameserver, transfer, dan kepemilikan tidak dapat dilakukan hanya dengan kredensial akun. Registrar biasanya mengenakan sekitar USD 100 hingga 600 per tahun untuk ini, menurut angka dari DomainNameWire dan halaman reseller yang sudah lama dan belum terverifikasi. Wardmint tidak menawarkan registry lock. Sebagai gantinya, Wardmint menawarkan transfer lock, dan Perlindungan domain seharga +US$29/tahun per domain, saat domain didaftarkan atas nama DomaineGoat LLC, tetap di bawah transfer lock, dan setiap keluhan tentangnya dibaca oleh seseorang sebelum tindakan apa pun. Perbedaannya dijelaskan di registry lock vs registrar lock.

Apakah DNSSEC dan catatan CAA mencegah hijacking?

DNSSEC dan CAA mengurangi kerusakan akibat hijacking; keduanya tidak menghentikan penyerang yang memiliki akun Anda. DNSSEC menandatangani catatan Anda sehingga resolver dapat menolak jawaban palsu di jalurnya. Penyerang yang masuk ke registrar dapat mengganti rekor DS atau nameserver, sehingga tanda tangan itu kemudian melindungi data penyerang.

Catatan CAA menyebutkan otoritas sertifikat yang diizinkan menerbitkan sertifikat untuk domain Anda. RFC 8659 mendefinisikannya. Catatan ini penting karena penyerang pada Februari 2026 memperoleh sertifikat pada hari yang sama dengan perubahan DNS; catatan CAA yang hanya menyebutkan otoritas Anda memaksa mereka mengubahnya lebih dulu, yang bisa tertangkap oleh peringatan. Tidak ada kontrol ini yang menggantikan akun yang terkunci, dan masing-masing hanya membutuhkan beberapa menit kerja. Sintaksisnya ada di cara mengatur catatan CAA.

Bagaimana Anda mengetahui hijacking dalam hitungan menit?

Pantau dua jejak publik yang selalu ditinggalkan setiap hijacking: sertifikat baru dan jawaban DNS yang berubah. Log Certificate Transparency menampilkan setiap sertifikat tepercaya publik yang diterbitkan untuk nama Anda, dan pencarian atau stream gratis menampilkan yang tidak terduga dengan cepat. Pemeriksaan terjadwal yang membandingkan nameserver dan rekor A Anda dengan nilai yang diharapkan menangkap perubahan itu sendiri.

Siapkan respons sebelum Anda membutuhkannya. Simpan alamat resmi alternatif yang sudah diumumkan sebelumnya, pesan singkat yang siap untuk kanal media sosial Anda, dan kontak darurat registrar. Curve menggunakan curve.finance sebagai titik akses sementara pada 12 Mei 2025, yang menunjukkan nilai dari memiliki domain kedua yang Anda kendalikan. Sekumpulan domain defensif yang didaftarkan lebih awal memberi Anda alamat kedua itu; .com, .net, .org, .io, .xyz, .app berharga $128.94 per tahun di Wardmint.

Apa intinya?

Domain yang tahan terhadap hijacking adalah domain yang akunnya sulit diambil alih, transfer membutuhkan kode, jawabannya ditandatangani, dan sertifikatnya diawasi. Pembacaan Wardmint atas catatan publik adalah bahwa akun dan jalur dukungannya adalah target dalam tujuh insiden yang dilacaknya. Mengamankannya lebih dulu, lalu menambahkan DNSSEC dan CAA, adalah urutan yang sesuai dengan buktinya. Wardmint menjual pendaftaran dan alat DNS; DNS gratis dengan rekaman A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV dan CAA, DNSSEC terkelola, dan nameserver Anda sendiri jika Anda mau (2 sampai 13). Wardmint tidak menjual pemantauan, jadi alat gratis dalam panduan pemantauan mencakup langkah itu.