# Quali progetti crypto hanno perso utenti a causa del dirottamento DNS?

> Otto dirottamenti di DNS e domini di siti crypto dal 2018, documentati con fonti, dai $570K di Curve nel 2022 ai 12 siti DeFi del 30 ottobre 2026.

- URL: https://wardmint.com/it/dns-hijacking-crypto-incidents/
- Ultimo aggiornamento: 2026-11-12
- Editore: Wardmint (https://wardmint.com)

Una tabella datata dei dirottamenti di domini e DNS che hanno portato gli utenti crypto su front end falsi, cosa insegna ciascun caso e quanto siamo sicuri di ogni fatto.

**Risposta rapida — Quali progetti crypto hanno perso utenti a causa del dirottamento DNS?**

Curve Finance (agosto 2022, circa $570,000 riportati), Balancer e Galxe (2023, Galxe ha rimborsato $396,000), l'ondata di Squarespace del luglio 2024 (Compound, Celer, Pendle), di nuovo Curve il 12 maggio 2025, cinque protocolli nel febbraio 2026 e una dozzina di siti DeFi il 30 ottobre 2026 (circa $138,000 ricondotti). **Wardmint** tabula ogni caso con la sua fonte.

## Dirottamenti di domini e DNS nel crypto, dal 2018 al 2026

*Sono elencati solo i casi di cui abbiamo potuto reperire una fonte. Le perdite sono quelle riportate dalla testata citata e non vengono sommate.*

| Data | Progetto | Cosa è successo | Perdita riportata | Livello della fonte |
| --- | --- | --- | --- | --- |
| 24 apr 2018 | MyEtherWallet | Spazio di indirizzi di Route 53 dirottato via BGP per circa due ore; risposte DNS false hanno indirizzato gli utenti a un clone di phishing con un certificato HTTPS non valido | Circa $150,000 in ETH (le stime variano) | Secondaria (The Register) |
| 9 ago 2022 | Curve Finance | Dirottamento DNS lato registrar; utenti reindirizzati a un clone che chiedeva firme del wallet | Le testate hanno riportato da $530,000 a $573,000; CertiK ha contato circa $612,000 | Secondaria, le cifre differiscono |
| 19 set 2023 | Balancer | Front end reindirizzato dopo un attacco di ingegneria sociale al suo provider DNS, descritto da Balancer | $238,000 in un secondo attacco | Secondaria |
| 6 ott 2023 | Galxe | Sito ufficiale reindirizzato a un sito di phishing che svuotava i wallet; offline per circa un'ora | Galxe ha rimborsato poco più di $396,000 a più di 980 utenti | Primaria per il rimborso (The Block) |
| Dal 9 al 12 lug 2024 | Compound, Celer, Pendle, Unstoppable Domains e altri | Domini migrati da Google Domains a Squarespace presi in mano tramite la creazione di account; Squarespace ha incolpato una debolezza di OAuth, i ricercatori un'impostazione predefinita debole | Nessun totale confermato | Primaria (Krebs on Security) |
| 12 mag 2025 | Curve Finance | Secondo dirottamento a livello di registrar di curve.fi, scoperto alle 21:20 UTC; una pagina esca statica chiedeva firme | Nessuna riportata da Curve | Primaria (avviso di Curve) |
| Dal 16 al 23 feb 2026 | OpenEden, Curvance, Smithii, Avantis, Nerochain | Trasferimento di registrar, furto di account di registrar tramite una telefonata al supporto e reindirizzamento a un dominio simile, ciascuno con certificati emessi lo stesso giorno | Nessuna cifra in dollari pubblicata | Primaria (Blockaid) |
| Dal 30 al 31 ott 2026 | Flap, Kintsu, Pickle Finance, Origami Finance, FluxBeam, Echelon, StonkFun, StakePoint e altri | Domini presso un registrar reindirizzati a un kit drainer; il registrar li ha ripristinati; causa contesa tra il registrar e una piattaforma di hosting | Circa $138,000 ricondotti a tre wallet EVM | Primaria (The Block) |

*Ultima verifica il 12 novembre 2026; i dati più vecchi riportano la propria data.*

## Cosa è successo a Curve Finance nel 2022 e nel 2025?

**Curve ha perso utenti a causa di un dirottamento DNS lato registrar per due volte, a quasi tre anni di distanza.** Il 9 agosto 2022 gli utenti sono stati reindirizzati a un clone che chiedeva firme del wallet; le testate hanno riportato perdite tra circa $530,000 e $573,000 e le cifre differiscono. Il 12 maggio 2025 alle 20:55 UTC circa la delega di curve.fi è stata modificata presso il registrar, e Curve se n'è accorta alle 21:20 UTC. Gli utenti hanno raggiunto una pagina esca statica che copiava la home page e chiedeva firme.

L'avviso di Curve dice che i contratti non sono stati toccati, nessun dato degli utenti è stato compromesso e più di $400 million di volume on-chain sono stati elaborati durante l'interruzione. Il team ha spostato gli utenti su curve.finance come indirizzo ufficiale provvisorio e ha definito lenta la risposta del registrar. L'avviso non riporta alcuna perdita. La lezione riguarda il registrar: quando la delega cambia lì, ogni record DNS che detenete diventa irrilevante finché non riavete il dominio.

## Cos'è stata l'ondata di Squarespace di luglio 2024?

**Tra il 9 e il 12 luglio 2024, almeno una dozzina di organizzazioni, per lo più aziende crypto, si sono viste sottrarre i domini dopo una migrazione di registrar.** Squarespace aveva acquistato circa 10 milioni di domini da Google Domains nel giugno 2023 e stava trasferendo i clienti. I ricercatori di MetaMask e Paradigm hanno detto che un attaccante poteva creare un account con un'e-mail legata a un dominio migrato prima del titolare. L'analisi post-incidente di Squarespace del 23 luglio ha attribuito la colpa a una debolezza negli accessi OAuth corretta in poche ore, e ha contestato la lettura dei ricercatori, dicendo che non erano coinvolti account con accesso via e-mail non verificata.

Tra le vittime citate nel rapporto di Krebs on Security figurano Celer Network, Compound Finance, Pendle Finance e Unstoppable Domains. In alcuni casi i domini dirottati hanno reindirizzato i visitatori a siti di phishing volti a rubare criptovalute. La lezione: durante qualsiasi migrazione di registrar, create e proteggete voi stessi l'account sul nuovo lato, con l'autenticazione a due fattori attiva, prima che possa farlo qualcun altro.

## Cosa hanno mostrato i dirottamenti del 2026?

**I casi del 2026 mostrano attaccanti che prendono di mira gli account di registrar e il personale dei registrar, non il protocollo.** Tra il 16 e il 23 febbraio 2026 Blockaid ha monitorato cinque compromissioni di front end che hanno diffuso il drainer AngelFerno. OpenEden e Curvance sono stati colpiti tramite un trasferimento di registrar da GoDaddy a Namecheap. Avantis ha perso il proprio account Squarespace dopo che gli attaccanti hanno ottenuto i dati di fatturazione durante una telefonata al supporto. Gli utenti di Nerochain sono stati inviati a mainnet.live-nerochain.io, con certificati wildcard emessi per nerochain.io. In diversi casi i certificati sono stati emessi lo stesso giorno della modifica del DNS.

Il 30 ottobre 2026, i domini di una dozzina di siti DeFi registrati con Name.com sono stati reindirizzati in serata e caricati con il kit Step Drainer, ha riferito The Block. Dieci domini sono stati sospesi alle 8:32 a.m. ET del 31 ottobre, e Name.com ha dichiarato di aver ripristinato tutti i domini interessati e di aver contato 15 domini di clienti, non 12. Circa $138,000 sono stati ricondotti a tre wallet EVM, senza perdite su Solana e Aptos. Vercel ha collegato dieci dei domini alla propria piattaforma; Kintsu e Origami hanno indicato Vercel, e la causa resta contesa.

Un certificato emesso lo stesso giorno è il motivo per cui [monitorare la certificate transparency per il proprio marchio](https://wardmint.com/it/guides/monitor-certificate-transparency/ "How to monitor certificate transparency for your brand") fa parte della difesa, accanto a blocchi e sicurezza dell'account.

## Cosa hanno in comune questi incidenti?

**In ogni caso dal 2022 in poi, il punto debole era l'account del dominio, il provider DNS o il processo del registrar, non gli smart contract.** Curve, Kintsu, Origami, FluxBeam e StonkFun hanno tutti dichiarato che i loro contratti on-chain non erano stati toccati. Un dirottamento cambia dove punta il nome, quindi gli utenti che digitano l'indirizzo corretto raggiungono comunque l'attaccante.

Quattro misure rispondono direttamente a questi casi. La prima è un account che non si può convincere a un ripristino: vedete [come proteggere il proprio account di registrar dal furto](https://wardmint.com/it/guides/protect-registrar-account/ "How to protect your registrar account from takeover"). La seconda è un blocco che impedisce i trasferimenti e, dove il registry lo supporta, le modifiche fatte con le sole credenziali: [registry lock e blocco del registrar](https://wardmint.com/it/registry-lock-vs-registrar-lock/ "Registry lock vs registrar lock: what is the difference?") differiscono per chi può rimuoverli. La terza è il monitoraggio di certificati e DNS. La quarta è un piano scritto per la prima ora, in [come proteggere il proprio dominio dal dirottamento DNS](https://wardmint.com/it/guides/secure-domain-against-dns-hijacking/ "How to secure your domain against DNS hijacking").

Wardmint offre un blocco dei trasferimenti che attivate o disattivate per ogni dominio nell'area clienti; anche il codice di trasferimento (EPP) si richiede da lì. Non offre il registry lock.

## Quanti casi ci sono nella tabella?

Secondo il conteggio di Wardmint del 12 novembre 2026, la tabella elenca 8 incidenti da aprile 2018 a ottobre 2026, e 7 di essi sono avvenuti dall'agosto 2022.

## Domande sul dirottamento DNS dei siti crypto

### Cos'è un dirottamento DNS di un sito crypto?

È una modifica di dove punta un nome di dominio, effettuata senza il consenso del titolare, in modo che i visitatori che digitano l'indirizzo giusto raggiungano la copia del sito di un attaccante. Gli smart contract restano intatti; il front end chiede agli utenti di firmare transazioni che svuotano i loro wallet.

### DNSSEC ha impedito qualcuno di questi dirottamenti?

Nessuna delle fonti che abbiamo letto dice di sì. Quando è l'account stesso del registrar a essere preso, l'attaccante può modificare lì i name server e il record DS, quindi DNSSEC da solo non protegge quel percorso.

### Perché le cifre delle perdite differiscono per lo stesso incidente?

Le testate contano wallet e date diversi, e alcune riportano solo ciò che hanno ricondotto. Per questo indichiamo un intervallo o la cifra della fonte primaria, e non sommiamo le cifre tra incidenti.

### Quanto sono rapidi i dirottamenti?

Nel caso del 12 maggio 2025 Curve ha trovato la modifica 25 minuti dopo il suo inizio. A febbraio 2026 Blockaid afferma che i certificati venivano spesso emessi lo stesso giorno della modifica del DNS.

### I domini difensivi possono fermare un dirottamento del mio dominio principale?

No. I domini difensivi fermano i nomi simili, non il furto del vostro stesso nome. I blocchi, la sicurezza dell'account e il monitoraggio descritti nelle guide riguardano il dirottamento in sé.

**In sintesi**

- Curve Finance è stata dirottata presso il registrar il 9 agosto 2022 e di nuovo il 12 maggio 2025.
- Galxe ha rimborsato poco più di $396,000 a più di 980 utenti dopo il 6 ottobre 2023.
- L'ondata di Squarespace dal 9 al 12 luglio 2024 ha colpito almeno una dozzina di organizzazioni, tra cui Compound, Celer e Pendle.
- Cinque protocolli sono stati dirottati tra il 16 e il 23 febbraio 2026; i certificati sono stati emessi lo stesso giorno.
- Il 30 ottobre 2026 una dozzina di siti DeFi presso un unico registrar è stata reindirizzata; circa $138,000 sono stati ricondotti.
- In tutti gli incidenti dal 2022 il punto debole era l'account del dominio, il provider DNS o il processo del registrar.
- Wardmint offre un blocco dei trasferimenti, non il registry lock.

## Fonti

1. [Incidente del dominio di Curve](https://news.curve.finance/curve-domain-incident/) — Curve Finance (letto il 2026-11-12)
2. [Ricercatori: impostazioni di sicurezza deboli di default hanno permesso il dirottamento di domini Squarespace](https://krebsonsecurity.com/2024/07/researchers-weak-security-defaults-enabled-squarespace-domains-hijacks/) — Krebs on Security (letto il 2026-11-12)
3. [Dirottamento del front end e superficie di attacco Web2 che minaccia i protocolli Web3](https://blockaid.io/blog/frontend-hijacking-and-the-web2-attack-surface-threatening-web3-protocols) — Blockaid (letto il 2026-11-12)
4. [Hacker dirottano una dozzina di siti DeFi, tutti registrati con Name.com, e rubano circa $138,000](https://theblock.co/news/defi/2026-10-31-hackers-hijack-a-dozen-defi-websites-all-registered-with-name-com-and-steal-about-138000-432251) — The Block (letto il 2026-11-12)
5. [Galxe annuncia un rimborso di $396,000 agli utenti colpiti dopo l'attacco al DNS](https://www.theblock.co/post/255827/galxe-announces-396000-refund-to-affected-users-following-dns-attack) — The Block (letto il 2026-11-12)
6. [Gli utenti di Curve Finance perdono $573,000 in un attacco al front end](https://forklog.com/en/curve-finance-users-lose-573000-in-front-end-attack/) — ForkLog (letto il 2026-11-12)
7. [Gli attacchi DNS a Galxe e Balancer rivelano che molte aziende crypto sono vulnerabili](https://www.fxstreet.com/cryptocurrencies/news/galxe-balancer-dns-attacks-reveals-many-crypto-enterprises-are-vulnerable-to-subdomain-domain-hijacking-202310080705) — FXStreet (letto il 2026-11-12)
8. [Dirottamento DNS di MyEtherWallet](https://www.theregister.com/2018/04/24/myetherwallet_dns_hijack/) — The Register (letto il 2026-11-12)

---

Wardmint: Wardmint registra i domini difensivi di cui un progetto crypto ha bisogno — il proprio nome sulle estensioni usate dai phisher, le proprie varianti con errori di battitura e simili — pagati in crypto senza KYC: nessun documento d'identità, solo un'e-mail verificata per dominio. È gestito da DomaineGoat LLC, società registrata a Panama; i domini sono registrati tramite il suo registrar partner accreditato ICANN. Un .com costa 12,49 USD/anno, lo stesso prezzo ogni anno.