Risposta rapida
Come si protegge il dominio di un front end DeFi?
Proteggi un front end DeFi proteggendo ogni livello tra l'utente e la pagina: l'account del registrar, il DNS, i certificati, l'hosting e il CDN, più un fallback preannunciato su un secondo dominio o un nome ENS. Wardmint ha letto sei incidenti pubblici di dirottamento tra ottobre 2023 e ottobre 2026; ognuno è passato dal livello del dominio o del DNS, non dai contratti.
Sei dirottamenti documentati di front end, dal 2023 al 2026
| Data | Progetto | Layer reported | Reported outcome |
|---|---|---|---|
| 6 ottobre 2023 | Galxe | Dirottamento DNS; sito reindirizzato a una pagina di phishing | Oltre 980 utenti rimborsati per poco più di $396,000 più il 10% dalla tesoreria |
| Dal 9 al 12 luglio 2024 | Compound, Celer, Pendle e altri | Account del registrar su domini migrati a Squarespace; debolezza OAuth | Almeno una dozzina di organizzazioni colpite; alcuni domini mostravano pagine di phishing |
| 12 mag 2025 | Curve Finance | Delega di curve.fi modificata presso il registrar | Sito esca che chiedeva firme; contratti e dati non compromessi |
| Dal 16 al 23 febbraio 2026 | OpenEden, Curvance, Smithii, Avantis, Nerochain | Trasferimento presso il registrar, presa di controllo dell'account tramite chiamata di supporto, reindirizzamento DNS | Drainer AngelFerno; certificati SSL dello stesso giorno; nessun contratto compromesso |
| April 2026 | eth.limo | Ingegneria sociale sul registrar e sul fornitore DNS | DNSSEC ha rifiutato le risposte falsificate; nessun impatto noto sugli utenti al postmortem |
| Dal 30 al 31 ottobre 2026 | Flap, Kintsu, Origami Finance e altri | Domini presso un registrar reindirizzati; causa contestata con la piattaforma di hosting | Step Drainer; circa $138,000 ricondotti a tre wallet EVM |
Ultima verifica il ; i dati più vecchi riportano la propria data
Quali livelli stanno tra un utente e un front end DeFi?
Cinque livelli, e un attaccante ne ha bisogno di uno solo. Il registrar detiene la registrazione e la delega dei nameserver. Il fornitore DNS risponde su dove punta il nome. L'autorità di certificazione emette il lucchetto. La piattaforma di hosting o il CDN serve i file. Infine il resolver e il wallet dell'utente decidono cosa considerare attendibile.
I rapporti sugli incidenti corrispondono a questi livelli. L'avviso di Curve del 12 maggio 2025 descrive un cambio di delega DNS presso il registrar. I casi Squarespace del luglio 2024, riportati da Krebs on Security il 15 luglio 2024, erano prese di controllo di account presso un registrar. L'analisi di Blockaid sul gruppo di febbraio 2026 aggiunge il livello dei certificati: gli attaccanti hanno ottenuto certificati SSL lo stesso giorno della modifica DNS. L'ondata di ottobre 2026 coinvolge il livello dell'hosting, perché il bollettino di Vercel collegava dieci domini colpiti alla sua piattaforma, mentre Name.com, il registrar, li ha ripristinati.
Come va impostato l'account del registrar?
Tratta l'accesso al registrar come infrastruttura di produzione. Usa una password lunga e unica, l'autenticazione a due fattori, un elenco ristretto e registrato di utenti e una procedura di recupero che un estraneo non possa aggirare a parole. Blockaid riferisce che Avantis è stata presa di controllo dopo che un attaccante ha ottenuto i dati di fatturazione in una chiamata di supporto, e Cointelegraph riferisce che l'attaccante di eth.limo si è finto un membro del team per avviare un recupero dell'account. Entrambi i casi aggirano una buona password perché passano attraverso una persona.
Attiva il blocco del trasferimento per ogni dominio. Per un .com o .net principale, valuta il registry lock dove un registrar lo vende; registry lock vs registrar lock spiega cosa blocca ciascuno. Wardmint offre il blocco del trasferimento e l'opzione « Protezione del dominio », non il registry lock. La procedura completa è in come proteggere il proprio account registrar dal dirottamento.
Come devono essere DNS e certificati?
Firma la zona, limita l'emissione dei certificati e controlla i log. DNSSEC ha fatto la differenza nel caso eth.limo: Cointelegraph ha riportato che era attivo, che l'attaccante non aveva chiavi di firma e che i resolver validanti avevano rifiutato le risposte falsificate. Non è una difesa contro un attaccante che controlla l'account del registrar, perché quella persona può sostituire il record DS, quindi integra i controlli dell'account. Vedi come attivare DNSSEC sul tuo dominio.
Aggiungi un record CAA che nomini solo la tua autorità di certificazione, come in come configurare i record CAA, e controlla la Certificate Transparency per il tuo nome, come in come monitorare la Certificate Transparency per il tuo marchio. Un hijacker che deve anche cambiare un record CAA, producendo una voce di log visibile, è più facile da individuare. Wardmint include hosting DNS gratuito con record A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV e CAA, DNSSEC gestito e, se preferite, nameserver personalizzati (da 2 a 13).
Come si inseriscono hosting e CDN?
Dai alla piattaforma di hosting e al CDN account, titolari e autenticazione a due fattori propri, ed elenca ogni dominio collegato. I rapporti di ottobre 2026 ne mostrano il motivo. The Block ha riportato che Kintsu e Origami Finance hanno dato la colpa a Vercel, che il bollettino di Vercel collegava dieci domini colpiti alla sua piattaforma, e che Name.com ha detto di aver ripristinato tutti i domini colpiti e ha invitato i clienti a controllare i record DNS e ad attivare l'autenticazione a due fattori. Le fonti lasciano contestata la causa, quindi la lezione riguarda la copertura: un dominio è sicuro solo se ogni piattaforma che può cambiare ciò che serve è protetta.
Sul lato hosting, tieni una lista dei domini e dei sottodomini che ogni progetto sulla piattaforma può servire, rimuovi quelli non più usati e conserva i token di deployment in un vault. Controlla anche dall'esterno: un job programmato che risolve i tuoi nameserver e i record A e li confronta con i valori attesi individua un reindirizzamento in minuti anziché ore.
Un front end DeFi dovrebbe avere un fallback ENS o IPFS?
Sì: un secondo modo per raggiungere l'interfaccia limita il danno mentre il dominio principale viene recuperato. Curve ha offerto agli utenti curve.finance come punto di accesso provvisorio il 12 maggio 2025, e il suo avviso chiedeva un'adozione più ampia di ENS nel settore. ENSIP-7 definisce un campo contenthash per i resolver ENS, che permette a un nome di puntare a contenuti su IPFS o Swarm, quindi un nome .eth può fare da indirizzo alternativo per un front end pubblicato su IPFS.
Un fallback funziona solo se gli utenti lo conoscono già. Annuncia le alternative ufficiali prima di un incidente, nel footer del sito, nella documentazione e nei canali social verificati, e dichiara che nessun altro indirizzo è ufficiale. I compromessi tra nomi onchain e nomi DNS sono in ENS name o dominio DNS per un progetto crypto. Un secondo dominio DNS fa parte dello stesso piano, e il set di base di sei estensioni di Wardmint costa $128.94 l'anno.
Quanti dei dirottamenti documentati sono passati dal livello del dominio?
Secondo il sondaggio di Wardmint del 12 novembre 2026, cinque dei sei incidenti nella tabella sopra hanno portato gli utenti del dominio reale su un clone o una pagina di phishing, e nel sesto, eth.limo, DNSSEC ha rifiutato le risposte falsificate. In tutti e sei il punto d'ingresso segnalato era un registrar, un fornitore DNS o l'account del registrar, oppure, per ottobre 2026, una divisione contestata tra registrar e piattaforma di hosting. Nessuna fonte letta riporta un difetto di uno smart contract come punto d'ingresso.
Due frasi da citare: un protocollo DeFi è difficile da dirottare quanto l'account che detiene il suo dominio, e un indirizzo di fallback annunciato in anticipo è lo strumento di recupero più economico che un progetto possieda. L'elenco più ampio dei casi è in quali progetti crypto hanno perso utenti per il dirottamento DNS, e la visione di settore è in sicurezza dei domini per i protocolli DeFi.
Sette passaggi per proteggere il dominio di un front end DeFi
Mappa ogni livello
Elenca l'account del registrar, il fornitore DNS, l'autorità di certificazione, la piattaforma di hosting e il CDN per ogni dominio, e indica un responsabile per ciascuno.
Blocca l'account del registrar
Usa una password unica, l'autenticazione a due fattori, pochi utenti e un percorso di recupero rigoroso.
Attiva il blocco del trasferimento
Blocca ogni dominio contro il trasferimento e decidi sul registry lock per un .com o .net critico.
Firma e limita
Attiva DNSSEC e pubblica un record CAA che nomini solo la tua autorità di certificazione.
Proteggi hosting e CDN
Applica l'autenticazione a due fattori, rimuovi i domini inutilizzati e conserva i token di deployment in un vault.
Monitorare
Controlla la Certificate Transparency e confronta nameserver e record A con i valori attesi a intervalli regolari.
Publish a fallback
Registra un secondo dominio o un nome ENS, annuncialo in anticipo ed esercita il passaggio a quello.
Proteggere un front end DeFi: domande
Gli smart contract sono a rischio in un dirottamento del front end?
Negli incidenti letti, no. Curve e i progetti di febbraio 2026 hanno segnalato che i contratti non sono stati compromessi. Gli utenti perdono fondi firmando sulla pagina clonata.
DNSSEC protegge un front end DeFi?
Protegge le risposte in transito e ha limitato la presa di controllo di eth.limo dell'aprile 2026. Non ferma un attaccante che controlla l'account del registrar, quindi usalo insieme alla sicurezza dell'account e a un blocco del trasferimento.
Il registry lock è disponibile per ogni estensione?
No. Verisign lo offre per .com, .net, .cc e .name tramite i registrar aderenti. Wardmint non offre il registry lock; offre un blocco del trasferimento e la « Protezione del dominio ».
Cosa dovrebbe fare un protocollo nella prima ora di un dirottamento?
Contatta il registrar e il fornitore DNS, dì agli utenti di smettere di firmare sul dominio principale, indirizzali al fallback annunciato in anticipo e conserva le prove. Curve ha seguito questo schema il 12 maggio 2025.
Una tesoreria DAO può pagare un dominio di fallback?
Sì. Wardmint accetta BTC, USDT, USDC, ETH, SOL, LTC in un saldo prepagato con un versamento minimo di 25 USD, con un'e-mail verificata per dominio e nessun documento d'identità.
In sintesi
- Cinque livelli raggiungono l'utente: registrar, DNS, certificati, hosting o CDN, e il resolver dell'utente.
- Sei dirottamenti documentati da ottobre 2023 a ottobre 2026 sono passati dal livello del dominio, non dai contratti.
- Galxe ha rimborsato poco più di $396,000 a oltre 980 utenti; l'ondata di ottobre 2026 ha ricondotto circa $138,000 a tre wallet EVM.
- Blocca l'account del registrar, attiva il blocco del trasferimento, firma con DNSSEC e limita l'emissione con CAA.
- DNSSEC ha limitato la presa di controllo di eth.limo ma non ferma un titolare di account.
- Annuncia un fallback, un secondo dominio o un nome ENS, prima di un incidente.
- Wardmint offre blocco del trasferimento, DNSSEC gestito e CAA; non offre registry lock né monitoraggio.
Fonti (7)
- Incidente del dominio di Curve — Curve Finance (letto il 2026-11-12)
- Galxe annuncia un rimborso di $396,000 agli utenti colpiti dopo l'attacco al DNS — The Block, 11 October 2023 (letto il 2026-11-12)
- Ricercatori: impostazioni di sicurezza deboli di default hanno permesso il dirottamento di domini Squarespace — Krebs on Security, 15 July 2024 (letto il 2026-11-12)
- Dirottamento del front end e superficie di attacco Web2 che minaccia i protocolli Web3 — Blockaid, 19 March 2026 (letto il 2026-11-12)
- eth.limo domain hijack, DNSSEC and social engineering — Cointelegraph, 20 April 2026 (letto il 2026-11-12)
- Hacker dirottano una dozzina di siti DeFi registrati con Name.com — The Block, 31 October 2026 (letto il 2026-11-12)
- ENSIP-7: Contenthash field — ENS documentation (letto il 2026-11-12)