# DNS ハイジャックでユーザーを失った暗号資産プロジェクトは?

> 2018年以降の、出典付きの暗号資産サイトに対する DNS とドメインのハイジャック8件。2022年の Curve の $570K から2026年10月30日の12の DeFi サイトまで。

- URL: https://wardmint.com/ja/dns-hijacking-crypto-incidents/
- 最終更新日: 2026-11-12
- 発行者: Wardmint (https://wardmint.com)

暗号資産ユーザーを偽のフロントエンドへ誘導したドメインと DNS のハイジャックを日付順にまとめた表。各事例から学べること、各事実の確度も示します。

**簡潔な回答 — DNS ハイジャックでユーザーを失った暗号資産プロジェクトは?**

Curve Finance(2022年8月、報告された被害は約 $570,000)、Balancer と Galxe(2023年、Galxe は $396,000 を返金)、2024年7月の Squarespace の一連の被害(Compound、Celer、Pendle)、2025年5月12日 の再度の Curve、2026年2月の5つのプロトコル、2026年10月30日 の十数件の DeFi サイト(約 $138,000 を追跡)。**Wardmint** は各事例を出典とともに表にまとめています。

## 暗号資産のドメインと DNS のハイジャック、2018年〜2026年

*出典を確認できた事例のみ掲載しています。損失は引用元の報道のとおりで、合算はしていません。*

| 日付 | プロジェクト | 起きたこと | 報告された損失 | 出典の区分 |
| --- | --- | --- | --- | --- |
| 2018年4月24日 | MyEtherWallet | Route 53 のアドレス空間が BGP で約2時間ハイジャックされ、偽の DNS 応答により、無効な HTTPS 証明書のフィッシングクローンにユーザーが誘導された | ETH で約 $150,000(推計にはばらつきあり) | 二次情報(The Register) |
| 2022年8月9日 | Curve Finance | レジストラ側での DNS ハイジャック。ウォレットの署名を求めるクローンへユーザーがリダイレクトされた | 報道では $530,000〜$573,000、CertiK は約 $612,000 と集計 | 二次情報、数字に差あり |
| 2023年9月19日 | Balancer | Balancer の説明によると、DNS プロバイダーへのソーシャルエンジニアリング攻撃の後、フロントエンドがリダイレクトされた | 2回目の攻撃で $238,000 | 二次情報 |
| 2023年10月6日 | Galxe | 公式サイトがウォレットを抜き取るフィッシングサイトにリダイレクトされ、約1時間停止 | Galxe は980人超のユーザーに $396,000 強を返金 | 返金については一次情報(The Block) |
| 2024年7月9日〜12日 | Compound、Celer、Pendle、Unstoppable Domains ほか | Google Domains から Squarespace に移行されたドメインが、アカウント作成を通じて乗っ取られた。Squarespace は OAuth の弱点を、研究者は弱い初期設定を原因とした | 確定した合計なし | 一次情報(Krebs on Security) |
| 2025年5月12日 | Curve Finance | curve.fi に対する2回目のレジストラレベルのハイジャック。21:20 UTC に発見。静的な偽ページが署名を要求 | Curve からの報告なし | 一次情報(Curve の通知) |
| 2026年2月16日〜23日 | OpenEden、Curvance、Smithii、Avantis、Nerochain | レジストラ移管、サポートへの電話によるレジストラアカウントの乗っ取り、類似ドメインへのリダイレクト。いずれも同日に証明書が発行された | 金額は公表されていない | 一次情報(Blockaid) |
| 2026年10月30日〜31日 | Flap、Kintsu、Pickle Finance、Origami Finance、FluxBeam、Echelon、StonkFun、StakePoint ほか | あるレジストラのドメインがドレイナーキットにリダイレクトされた。レジストラが復旧。原因はレジストラとホスティングプラットフォームの間で見解が分かれている | 3つの EVM ウォレットで約 $138,000 を追跡 | 一次情報(The Block) |

*最終確認日 2026年11月12日。それより古い数値にはそれぞれの日付を記載しています.*

## 2022年と2025年に Curve Finance に何が起きましたか?

**Curve は、レジストラ側の DNS ハイジャックでユーザーを2度失いました。間隔は3年近くです。** 2022年8月9日 には、ウォレットの署名を求めるクローンにユーザーがリダイレクトされました。報道では損失はおよそ $530,000 から $573,000 とされ、数字には差があります。2025年5月12日 の約 20:55 UTC に curve.fi の委任がレジストラで変更され、Curve は 21:20 UTC に気づきました。ユーザーはホームページをコピーして署名を求める静的な偽ページに到達しました。

Curve の通知によると、コントラクトは影響を受けず、ユーザーデータは侵害されず、障害の間に 4億ドル超のオンチェーン取引が処理されました。チームは暫定の公式アドレスとして curve.finance にユーザーを誘導し、レジストラの対応は遅かったと述べています。通知は損失を報告していません。教訓はレジストラについてです。そこで委任が変更されると、ドメインを取り戻すまで、保有しているすべての DNS レコードが意味を失います。

## 2024年7月の Squarespace の一連の被害とは何ですか?

**2024年7月9日から12日にかけて、少なくとも十数の組織(大半は暗号資産事業者)が、レジストラ移行後にドメインを乗っ取られました。** Squarespace は2023年6月に Google Domains から約1,000万のドメインを買収し、顧客の移行を進めていました。MetaMask と Paradigm の研究者は、攻撃者が所有者より先に、移行済みドメインに紐づくメールでアカウントを作成できたと述べました。Squarespace の7月23日の事後報告は OAuth ログインの弱点を原因とし、数時間で修正したと述べ、確認されていないメールログインのアカウントは関与していないとして、研究者の見方に異議を唱えました。

Krebs on Security の報道で名前が挙がった被害者には、Celer Network、Compound Finance、Pendle Finance、Unstoppable Domains が含まれます。ハイジャックされたドメインが、暗号資産を盗むことを狙ったフィッシングサイトに訪問者をリダイレクトした例もありました。教訓:レジストラの移行時は、他の誰かが先に作る前に、二要素認証をオンにして、移行先でご自身がアカウントを作成して保護してください。

## 2026年のハイジャックは何を示しましたか?

**2026年の事例は、攻撃者がプロトコルではなく、レジストラのアカウントとレジストラの担当者を狙っていることを示しています。** 2026年2月16日から23日にかけて、Blockaid は AngelFerno ドレイナーを配布した5件のフロントエンド侵害を追跡しました。OpenEden と Curvance は、GoDaddy から Namecheap へのレジストラ移管を通じて被害を受けました。Avantis は、サポートへの電話で攻撃者が請求情報を入手し、Squarespace のアカウントを失いました。Nerochain のユーザーは mainnet.live-nerochain.io に誘導され、nerochain.io にはワイルドカード証明書が発行されました。複数の事例で、DNS 変更と同じ日に証明書が発行されました。

The Block の報道によると、2026年10月30日 の夜、Name.com に登録されていた十数件の DeFi サイトのドメインがリダイレクトされ、Step Drainer キットが仕込まれました。10件のドメインは10月31日の米国東部時間午前8時32分に停止され、Name.com は影響を受けたすべてのドメインを復旧し、顧客のドメインは12件ではなく15件だったと述べました。約 $138,000 が3つの EVM ウォレットで追跡され、Solana と Aptos での損失はありませんでした。Vercel は10のドメインを自社プラットフォームに結び付け、Kintsu と Origami は Vercel を指摘しており、原因は依然として争われています。

同日に証明書が発行されることが、[ブランドの証明書透明性の監視](https://wardmint.com/ja/guides/monitor-certificate-transparency/ "How to monitor certificate transparency for your brand")がロックやアカウントのセキュリティと並ぶ防御の一部である理由です。

## これらのインシデントに共通するものは何ですか?

**2022年以降のすべての事例で、弱点はスマートコントラクトではなく、ドメインアカウント、DNS プロバイダー、レジストラの手続きでした。** Curve、Kintsu、Origami、FluxBeam、StonkFun はいずれも、オンチェーンのコントラクトは無傷だったと述べました。ハイジャックは名前の指す先を変えるため、正しいアドレスを入力したユーザーでも攻撃者に到達してしまいます。

これらの事例に直接対処する対策は4つあります。1つ目は、言いくるめてリセットされることのないアカウントです。[レジストラアカウントの乗っ取りを防ぐ方法](https://wardmint.com/ja/guides/protect-registrar-account/ "How to protect your registrar account from takeover")をご覧ください。2つ目は、移管を防ぎ、レジストリが対応していれば認証情報だけで行える変更も防ぐロックです。[レジストリロックとレジストラロック](https://wardmint.com/ja/registry-lock-vs-registrar-lock/ "Registry lock vs registrar lock: what is the difference?")は、誰が解除できるかが異なります。3つ目は証明書と DNS の監視です。4つ目は、最初の1時間の書面の計画で、[DNS ハイジャックからドメインを守る方法](https://wardmint.com/ja/guides/secure-domain-against-dns-hijacking/ "How to secure your domain against DNS hijacking")にあります。

Wardmintが提供するのは クライアントエリアでドメインごとにオン・オフできる移管ロック。移管(EPP)コードもそこから請求できます です。レジストリロックは提供していません。

## 表には何件の事例がありますか?

2026年11月12日 の Wardmint の集計によると、表には2018年4月から2026年10月までの8件のインシデントが掲載され、そのうち7件は2022年8月以降のものです。

2026年3月と4月の事例(Neutrl、BonkFun、CoW Swap、eth.limo)は出典を開けなかったため、Trezor と Ledger のメールフィッシングキャンペーンはプロジェクト自身のドメインのハイジャックではなかったため、除外しました。

## 暗号資産サイトの DNS ハイジャックに関する質問

### 暗号資産サイトの DNS ハイジャックとは何ですか?

所有者の同意なしにドメイン名の指す先が変更され、正しいアドレスを入力した訪問者が攻撃者のコピーサイトに到達してしまうことです。スマートコントラクトは無傷のままで、フロントエンドがウォレットを空にするトランザクションへの署名をユーザーに求めます。

### DNSSEC はこれらのハイジャックを防ぎましたか?

確認した出典のどれも、防いだとは述べていません。レジストラのアカウント自体が乗っ取られた場合、攻撃者はそこでネームサーバーと DS レコードを変更できるため、DNSSEC だけではその経路を防げません。

### 同じインシデントでも損失額が異なるのはなぜですか?

報道機関によって数えるウォレットや日付が異なり、追跡できたものだけを報じる場合もあります。そのため、範囲または一次情報の数字を示し、インシデントをまたいで数字を足し合わせることはしません。

### ハイジャックはどれくらい速く起きますか?

2025年5月12日 の事例では、Curve は変更が始まってから25分後に気づきました。2026年2月には、Blockaid によると、DNS 変更と同じ日に証明書が発行されることが多くありました。

### 防御的ドメインでメインドメインのハイジャックを防げますか?

いいえ。防御的ドメインが防ぐのは類似ドメインであり、自社名の乗っ取りではありません。ガイドのロック、アカウントセキュリティ、監視が、ハイジャック自体に対処します。

**まとめ**

- Curve Finance は、2022年8月9日 と 2025年5月12日 にレジストラでハイジャックされました。
- Galxe は、2023年10月6日 の後、980人超のユーザーに $396,000 強を返金しました。
- 2024年7月9日から12日の Squarespace の一連の被害は、Compound、Celer、Pendle を含む少なくとも十数の組織に及びました。
- 2026年2月16日から23日に5つのプロトコルがハイジャックされ、証明書は同日に発行されました。
- 2026年10月30日 に、あるレジストラの十数件の DeFi サイトがリダイレクトされ、約 $138,000 が追跡されました。
- 2022年以降のすべてのインシデントで、弱点はドメインアカウント、DNS プロバイダー、レジストラの手続きでした。
- Wardmint が提供するのは移管ロックで、レジストリロックではありません。

## 出典

1. [Curve のドメインインシデント](https://news.curve.finance/curve-domain-incident/) — Curve Finance (確認日 2026-11-12)
2. [研究者:弱いセキュリティ初期設定が Squarespace ドメインのハイジャックを可能にした](https://krebsonsecurity.com/2024/07/researchers-weak-security-defaults-enabled-squarespace-domains-hijacks/) — Krebs on Security (確認日 2026-11-12)
3. [Web3 プロトコルを脅かすフロントエンドのハイジャックと Web2 の攻撃対象領域](https://blockaid.io/blog/frontend-hijacking-and-the-web2-attack-surface-threatening-web3-protocols) — Blockaid (確認日 2026-11-12)
4. [ハッカーが Name.com に登録された十数件の DeFi ウェブサイトをハイジャックし、約 $138,000 を盗む](https://theblock.co/news/defi/2026-10-31-hackers-hijack-a-dozen-defi-websites-all-registered-with-name-com-and-steal-about-138000-432251) — The Block (確認日 2026-11-12)
5. [Galxe、DNS 攻撃の被害ユーザーへの $396,000 の返金を発表](https://www.theblock.co/post/255827/galxe-announces-396000-refund-to-affected-users-following-dns-attack) — The Block (確認日 2026-11-12)
6. [Curve Finance のユーザー、フロントエンド攻撃で $573,000 を失う](https://forklog.com/en/curve-finance-users-lose-573000-in-front-end-attack/) — ForkLog (確認日 2026-11-12)
7. [Galxe と Balancer の DNS 攻撃、多くの暗号資産企業が脆弱であることを明らかに](https://www.fxstreet.com/cryptocurrencies/news/galxe-balancer-dns-attacks-reveals-many-crypto-enterprises-are-vulnerable-to-subdomain-domain-hijacking-202310080705) — FXStreet (確認日 2026-11-12)
8. [MyEtherWallet の DNS ハイジャック](https://www.theregister.com/2018/04/24/myetherwallet_dns_hijack/) — The Register (確認日 2026-11-12)

---

Wardmint: Wardmint は、暗号資産プロジェクトに必要な防御的ドメイン(フィッシング犯が使う拡張子での自社名、自社名のタイプミスや類似バリエーション)を登録します。支払いは暗号資産、KYCなし:ID不要で、ドメインごとに確認済みのメールアドレス1つだけです。運営はパナマで登録された会社 DomaineGoat LLC で、ドメインは ICANN 認定のレジストラパートナーを通じて登録されます。.com は $12.49/年、毎年同じ価格です。