Come metto in sicurezza i domini di un protocollo DeFi?

Che cosa va storto a livello di dominio nella DeFi?

Un attaccante che controlla il dominio controlla ciò che ogni utente firma. I contratti restano intatti, quindi audit e bug bounty non lo individuano.

Lo schema è coerente negli incidenti qui sopra. L'avviso di Curve del 12 maggio 2025 dice che gli utenti sono stati reindirizzati a un'esca statica che copiava la homepage e chiedeva firme, con contratti e dati degli utenti non compromessi. Blockaid, che ha tracciato il gruppo di febbraio 2026, ha riferito che gli attaccanti hanno ottenuto certificati SSL lo stesso giorno della modifica DNS, e che gli utenti di Nerochain sono stati mandati su un host simile con certificati wildcard emessi per il nome vero.

Secondo l'indice di Wardmint del 12 novembre 2026, 3 dei 7 incidenti a livello di dominio nella sua tabella dal 2022 sono datati da maggio 2025 in poi, quindi il rischio non sta diminuendo. Wardmint vende registrazioni, non monitoraggio, e non può fermare la presa di controllo di un account presso un altro registrar; fornisce i nomi e gli strumenti gratuiti e le procedure per rafforzarli.

Quali controlli servono a un protocollo sul suo dominio principale?

Quattro controlli coprono i guasti sopra descritti: sicurezza dell'account, un blocco, DNSSEC e record CAA.

• Account: usi una casella basata su ruoli, una password lunga e unica, l'autenticazione a due fattori e nessun login condiviso. Consulti la guida su come proteggere un dominio dal dirottamento DNS.
• Blocco: un blocco di trasferimento impedisce uno spostamento verso un altro registrar. Un blocco di registro, che Verisign offre per .com e .net tramite i registrar aderenti, blocca anche le modifiche a DNS e alla proprietà effettuate con le sole credenziali. Wardmint non offre il blocco di registro; un team che ne ha bisogno per il proprio .com principale dovrebbe tenere quel nome presso un registrar che lo offre.
• DNSSEC: attivi DNSSEC così che i resolver possano rilevare risposte contraffatte. Non aiuta se è compromesso lo stesso account del registrar.
• CAA: configuri i record CAA così che solo l'autorità di certificazione da Lei scelta possa emettere certificati per il dominio.

Wardmint fornisce hosting DNS gratuito con record A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV e CAA, DNSSEC gestito e, se preferite, nameserver personalizzati (da 2 a 13) per la zona.

Quali varianti dovrebbe registrare un protocollo DeFi?

Registrate il vostro nome esatto sulle estensioni che i vostri utenti potrebbero provare, più i refusi e le parole della finanza adatti al vostro prodotto. Per un protocollo i set utili sono il set base (.com, .net, .org, .io, .xyz, .app, $128.94 l'anno), il set di lancio (.com, .io, .xyz, .app, .finance, .network, $195.94 l'anno) e le parole della finanza (.finance, .exchange, .money, .cash, .capital, .fund, $296.94 l'anno).

Puntate ogni variante al sito principale con l'inoltro URL gratuito, e applicate il template DNS senza email ai nomi inutilizzati così non possono inviare posta a nome del vostro marchio. Wardmint registra le varianti di un protocollo per quel protocollo; non registra nomi simili al nome di un altro progetto. La tempistica per un lancio è in quali domini registrare prima del lancio di un token.

Che cosa dovrebbe preparare il protocollo prima di un incidente?

Preparate un indirizzo provvisorio, un canale di stato e un contatto presso il registrar prima di averne bisogno. Dopo l'hijack del 12 maggio 2025, Curve ha spostato gli utenti su curve.finance come punto di accesso ufficiale provvisorio. Un indirizzo provvisorio è possibile solo quando un secondo dominio è già registrato, ed è ciò che offre un set difensivo.

Scrivete ora il runbook: chi può cambiare il DNS, chi può raggiungere l'assistenza del registrar, come si dice agli utenti di smettere di firmare e come si spiega la revoca delle approvazioni. L'elenco dei casi passati e di ciò che ciascuno ha insegnato è in Quali progetti crypto hanno fatto perdere utenti a causa del DNS hijacking?.