DNS ハイジャックからドメインを守るには?

DNS ハイジャックとは何か、なぜ暗号資産のフロントエンドが狙われるのか?

DNS ハイジャックとは、ドメインの所在をブラウザに伝えるレコードや登録情報を、無断で変更することです。攻撃者はスマートコントラクトには触れません。正規のアドレスにアクセスしたユーザーを、ウォレットの署名を求めるフロントエンドのコピーへ送り込みます。

だからこそ、この攻撃は暗号資産に向いています。正しいアドレスを入力し、有効な鍵マークを見たユーザーには、そのページを疑う理由がありません。Curve Finance は 2025 年 5 月 12 日の事件の後、コントラクトとユーザーデータは侵害されていないと述べましたが、訪問者は署名を求める静的な偽ページにリダイレクトされました。損失は署名から生じるのであって、コードの欠陥から生じるのではありません。

攻撃者が掌握する必要があるのは、次の 3 つのうちのいずれかです。ドメインを保有するレジストラのアカウント、レコードを配信する DNS プロバイダ、そしてユーザーとサーバーの間のリゾルバ経路です。このガイドが扱うのは、プロジェクト自身が管理できる前の 2 つです。3 つ目を守るのが DNSSEC の役割で、ドメインで DNSSEC を有効にする方法で説明しています。

実際のどんな事例から、ハイジャックの手口がわかりますか?

2022 年以降の公開事例では、攻撃者は暗号技術ではなく、アカウントとサポート担当者を突いています。上の表にそれらを挙げましたが、同じパターンが繰り返されています。

2026 年 11 月 12 日時点の Wardmint の集計では、同社の調査にある事例表には、2022 年 8 月から 2026 年 10 月までの 7 件が載っています(Curve が 2 回、Balancer、Galxe、2024 年 7 月の Squarespace 絡みの一連の事件、2026 年 2 月のまとまった事件、2026 年 10 月の一連の事件)。そのすべてが、ドメイン、DNS プロバイダ、またはレジストラのアカウントに作用したものでした。出典付きの全一覧は、DNS ハイジャックでユーザーを失った暗号資産プロジェクトにあります。

レジストラのアカウントはどのように堅く守りますか?

レジストラのアカウントはフロントエンド全体の鍵とみなし、持てる限り最も強力なログインを設定してください。長くランダムで、他では使っていないパスワードを使い、2 要素認証をオンにします。ログイン情報は、共有チャットではなく、パスワードマネージャーかハードウェア保護の保管庫に入れてください。

ログインできる人数を減らします。オーナー 1 名とバックアップ 1 名を決め、誰がどの認証情報を持っているかを記録し、チームを離れた日にアクセス権を削除します。復旧の経路もログインと同じ厳しさにしてください。2 要素認証で守られていても、サポート担当者が依頼だけでリセットできるアカウントは、その担当者のチェックリスト程度の強さしかありません。Balancer と Avantis の事例は、どちらもプロバイダ側の人間が関与していました。

レジストラのログインに対するフィッシングの見分け方を含む一連の手順は、レジストラのアカウントを乗っ取りから守る方法にあります。Wardmint では、メールでの返信は12時間以内、年中無休。DNSSEC、CAA レコード、不正利用報告のサポートも含みますので、これらの設定で困ったらサポートにご相談ください。

移管ロックとレジストリロックは、それぞれ何を防ぎますか?

転送ロックはドメインが別のレジストラへ移ることを防ぎ、レジストリロックはさらに進んで、レジストリ自体での変更をブロックします。 両者は別々の層であり、プロジェクトはどちらか一方だけを持つことも可能です。

転送ロックは、レジストラ側のステータス clientTransferProhibited です。不正な転送を防ぎますが、レジストラ自身の DNS ホスティング内の DNS レコードの編集は止めません。Wardmint は クライアントエリアでドメインごとにオン・オフできる移管ロック。移管(EPP)コードもそこから請求できます を提供しています。

レジストリロックは、Verisign が合意済みのレジストラを通じて .com と .net に提供するもので、帯域外の検証を追加し、ネームサーバー、転送、所有権の変更がアカウントの認証情報だけでは行えないようにします。レジストラは通常、年間およそ USD 100 から 600 を請求します。これは DomainNameWire と再販業者のページに掲載された数字で、日付が古く、検証されていません。Wardmint はレジストリロックを提供していません。 代わりに提供するのは、転送ロックと、ドメインごとに +$29/年のドメイン保護です。ドメインは DomaineGoat LLC の名義で登録され、転送ロックのもとに置かれ、すべての苦情はいかなる対応の前に人間が読みます。違いは レジストリロックとレジストラロックの比較 で説明しています。

DNSSEC と CAA レコードでハイジャックは防げますか?

DNSSEC と CAA はハイジャックの被害を減らしますが、アカウントを握った攻撃者を止めることはできません。DNSSEC はレコードに署名するので、リゾルバは経路上の偽の応答を拒否できます。しかし、レジストラにログインした攻撃者は DS レコードやネームサーバーを差し替えられるため、その場合の署名は攻撃者のデータを守ってしまいます。

CAA レコードは、ドメインに対して証明書を発行してよい認証局を指定します。定義は RFC 8659 です。2026 年 2 月の攻撃者は DNS を変更したその日に証明書を取得しており、自分の認証局だけを指定した CAA レコードがあれば、攻撃者はまずそれを書き換えなければならず、その変更はアラートで検知できます。どちらの対策もロックされたアカウントの代わりにはなりませんが、設定はそれぞれ数分で済みます。書き方はCAA レコードの設定方法にあります。

ハイジャックを数分以内に察知するには?

ハイジャックが必ず残す 2 つの公開された痕跡、つまり新しい証明書と変化した DNS 応答を監視します。Certificate Transparency ログには、あなたの名前に対して発行された公的に信頼されるすべての証明書が表示され、無料の検索やストリームを使えば、想定外の証明書をすばやく見つけられます。ネームサーバーと A レコードを期待値と比較する定期チェックを回せば、変更そのものを捉えられます。

必要になる前に対応を準備しておきましょう。事前に告知した代替の公式アドレス、SNS 用の短い告知文、レジストラの緊急連絡先を用意します。Curve は 2025 年 5 月 12 日に curve.finance を暫定のアクセス先として使いました。自分が管理する 2 つ目のドメインを持つ価値がよくわかる例です。防御用のセットを事前に登録しておけば、その 2 つ目のアドレスが手に入ります。.com, .net, .org, .io, .xyz, .appは Wardmint で年 $128.94 です。

要点は?

ハイジャックに強いドメインとは、アカウントが奪われにくく、移管にはコードが必要で、応答が署名され、証明書が監視されているドメインです。Wardmint が公開記録から読み取ったところでは、追跡している 7 件の事例では、アカウントとそのサポート経路が標的でした。まずそれらを守り、次に DNSSEC と CAA を加える順序が、証拠と合っています。Wardmint が販売するのは登録と DNS ツールで、A、AAAA、CNAME、ALIAS、MX、TXT、NS、SRV、CAA レコードに対応した無料の DNS ホスティング、マネージド DNSSEC、ご希望なら独自ネームサーバー(2〜13)。監視は販売していないので、その手順は監視ガイドにある無料ツールで対応できます。