# DeFi プロトコルのドメインを守るには?

> DeFi のフロントエンドは、そのドメインと同じ強さしかありません。Curve は 2022 年と 2025 年にレジストラでハイジャックされました。防御用コアセットは年 $128.94 です。

- URL: https://wardmint.com/ja/use-cases/defi-protocol-domains/
- 最終更新日: 2026-11-12
- 発行者: Wardmint (https://wardmint.com)

監査済みのコントラクトも、間違ったウェブサイトに送られたユーザーの助けにはなりません。ドメイン、DNS、そしてその背後にあるアカウントも、プロトコルの攻撃対象領域の一部です。

**簡潔な回答 — DeFi プロトコルのドメインを守るには?**

DeFi プロトコルのドメインは、レジストラのアカウントを守り、ゾーンに DNSSEC で署名し、CAA レコードで証明書を制限し、フィッシング犯が使いそうなバリアントを登録することで守ります。Curve Finance のフロントエンドは、2025 年 5 月 12 日にレジストラ経由でリダイレクトされました。**Wardmint** の 6 つの拡張子のコアセットは年 $128.94 です。

## DeFi チームが知っておくべきフロントエンドのドメインに関する事例

*日付と原因は、以下に挙げる出典の報告どおりです。損失額は報道機関によって異なり、出典が示している場合のみ記載しています。*

| 日付 | プロジェクト | 起きたこと | 教訓 |
| --- | --- | --- | --- |
| 2022年8月9日 | Curve Finance | レジストラでの DNS ハイジャック。ユーザーは署名を求める複製サイトに送られた | コントラクトだけでなく、レジストラのアカウントも守る |
| 2023年9月19日 | Balancer | フロントエンドの DNS ハイジャック。DNS プロバイダへのソーシャルエンジニアリングと説明されている | DNS プロバイダのログインも、レジストラのログインと同じくらい重要 |
| 2024 年 7 月 9 日から 12 日 | Compound、Celer、Pendle ほか | Google Domains から Squarespace に移行したドメインが、アカウントの弱点を突いて乗っ取られた | 移行はリスクの期間。新しいアカウントを先に確保する |
| 2025年5月12日 | Curve Finance | 2 度目のレジストラレベルのハイジャック。コントラクトとユーザーデータに影響なし | 暫定の公式アドレスを用意しておく |
| 2026 年 2 月 16 日から 23 日 | OpenEden、Curvance、Avantis ほか | 7 日間で 5 件のフロントエンド侵害。証明書は DNS の変更と同じ日に発行された | 証明書の発行を制限し、証明書ログを監視する |
| 2026 年 10 月 30 日から 31 日 | Flap、Kintsu、Pickle Finance、Origami ほか | 1 つのレジストラのドメインがドレイナーキットにリダイレクトされた。The Block が約 $138,000 を追跡 | プロバイダのインシデントのあとは DNS を確認する。原因は議論中 |

## DeFi では、ドメインレベルで何が問題になりますか?

**ドメインを握る攻撃者は、すべてのユーザーが何に署名するかを握ります。**コントラクトは無傷のままなので、監査もバグバウンティも、これを捉えられません。

上記の事例でパターンは一貫しています。2025 年 5 月 12 日の Curve の通知は、ユーザーがホームページを模した静的な偽ページにリダイレクトされて署名を求められ、コントラクトとユーザーデータは侵害されなかったと述べています。2026 年 2 月のまとまった事件を追跡した Blockaid は、攻撃者が DNS の変更と同じ日に SSL 証明書を取得していたこと、そして Nerochain のユーザーが、本物の名前に対して発行されたワイルドカード証明書を持つ類似ホストに送られたことを報告しました。

2026 年 11 月 12 日時点の Wardmint の索引では、2022 年以降の表にあるドメインレベルの事例 7 件のうち 3 件が 2025 年 5 月以降の日付であり、リスクは後退していません。Wardmint が販売するのは登録であって監視ではなく、他のレジストラでのアカウント乗っ取りは止められません。名前と、それを強化するための無料のツールと手続きを提供します。

## プロトコルのメインドメインには、どんな対策が必要ですか?

**上記の故障を防ぐ四つの管理策：アカウントのセキュリティ、ロック、DNSSEC、CAA レコードです。**

- **アカウント：** ロールベースのメールボックス、長くて一意のパスワード、二要素認証を使い、ログインは共有しないでください。[DNS ハイジャックからドメインを守るガイド](https://wardmint.com/ja/guides/secure-domain-against-dns-hijacking/ "How to secure your domain against DNS hijacking") を参照してください。
- **ロック：** 転送ロックは別のレジストラへの移動を防ぎます。レジストリロック（Verisign が合意済みのレジストラを通じて .com と .net に提供）は、認証情報だけで行われる DNS と所有権の変更もブロックします。Wardmint はレジストリロックを提供していません。主要な .com についてそれが必要なチームは、それを提供するレジストラでその名前を保持してください。
- **DNSSEC：** [DNSSEC を有効にする](https://wardmint.com/ja/guides/enable-dnssec/ "How to enable DNSSEC on your domain") と、リゾルバーが偽造された応答を検出できます。レジストラのアカウント自体が侵害された場合には役立ちません。
- **CAA：** [CAA レコードを設定する](https://wardmint.com/ja/guides/set-up-caa-records/ "How to set up CAA records") と、選んだ認証局だけがそのドメインの証明書を発行できるようになります。

Wardmint はゾーンのために A、AAAA、CNAME、ALIAS、MX、TXT、NS、SRV、CAA レコードに対応した無料の DNS ホスティング、マネージド DNSSEC、ご希望なら独自ネームサーバー(2〜13) を提供しています。

## DeFi プロトコルはどのバリアントを登録すべきですか?

**ユーザーが試しそうな拡張子で自分の正確な名前を登録し、プロダクトに合ったタイポと金融の単語も登録してください。**プロトコルに役立つセットは、コアセット(.com, .net, .org, .io, .xyz, .app、年 $128.94)、ローンチセット(.com, .io, .xyz, .app, .finance, .network、年 $195.94)、金融の単語(.finance, .exchange, .money, .cash, .capital, .fund、年 $296.94)です。

すべてのバリアントを無料の URL 転送でメインサイトに向け、未使用の名前にはメールなしの DNS テンプレートを適用して、ブランドとしてメールを送れないようにします。Wardmint が登録するのは、プロトコル自身のバリアントを、そのプロトコルのためにだけです。他のプロジェクトの名前の類似ドメインは登録しません。ローンチまでのスケジュールは、[トークンのローンチ前に登録するドメイン](https://wardmint.com/ja/domains-to-register-before-a-token-launch/ "Which domains should I register before a token launch?")にあります。

## インシデントの前に、プロトコルは何を準備すべきですか?

**暫定のアドレス、ステータスのチャンネル、レジストラの連絡先を、必要になる前に準備してください。**2025 年 5 月 12 日のハイジャックのあと、Curve はユーザーを暫定の公式アクセス先として curve.finance へ誘導しました。暫定のアドレスが使えるのは、2 つ目のドメインがすでに登録されている場合だけで、それを提供するのが防御用セットです。

運用手順書は今のうちに書いてください。誰が DNS を変更できるか、誰がレジストラのサポートに連絡できるか、署名をやめるようユーザーにどう伝えるか、承認の取り消しをどう説明するか。過去の事例と、そこから学べることの一覧は[DNS ハイジャックでユーザーを失った暗号資産プロジェクトは?](https://wardmint.com/ja/dns-hijacking-crypto-incidents/ "Which crypto projects lost users to DNS hijacking?")にあります。

## DeFi のドメインセキュリティ: よくある質問

### DNSSEC だけで、フロントエンドのハイジャックを止められますか?

いいえ。DNSSEC によりリゾルバは偽の応答を検知できますが、レジストラのアカウントを握る攻撃者は、ネームサーバーや DS レコードを変更できます。まずアカウントを守り、次にゾーンに署名してください。

### DeFi プロトコルはレジストリロックを使うべきですか?

フロントエンドを配信する唯一のドメインについては、レジストラに問い合わせる価値があります。Verisign は参加レジストラを通じて .com と .net に提供しており、料金はレジストラが決めます。Wardmint は提供していません。

### プロトコルはいくつのバリアントを登録すべきですか?

年 $128.94 の 6 つの拡張子のコアセットから始め、正確な名前のタイポを加えます。リストは、dnstwist と証明書ログが示すものに応じて増やしてください。

### multisig でドメイン代金を支払えますか?

はい。Wardmint は任意のウォレットまたは multisig から BTC, USDT, USDC, ETH, SOL, LTC を受け付けており、最低チャージ額は $25 で、ID は求めません。

### Wardmint は私のフロントエンドを監視しますか?

いいえ。Wardmint が販売するのは登録です。ガイドでは、監視のための無料ツールと、報告のための公式の手続きを紹介しています。

**まとめ**

- フロントエンドのハイジャックは、コントラクトではなく、レジストラや DNS のアカウントで起きます。
- Curve Finance は 2022 年 8 月 9 日と 2025 年 5 月 12 日にハイジャックされました。
- 2026 年 10 月 30 日の Name.com 絡みの一連の事件では、The Block によると約 $138,000 の損失が出ました。
- 対策: アカウントのセキュリティ、移管ロック、DNSSEC、CAA レコード。
- レジストリロックは Verisign のサービスで、Wardmint では提供していません。
- コアセットは年 $128.94、金融の単語は $296.94、ローンチセットは $195.94。
- インシデントの前に、暫定のアドレスと運用手順書を準備します。

## 出典

1. [Curve Finance のドメインインシデント通知、2025年5月12日](https://news.curve.finance/curve-domain-incident/) — Curve Finance (確認日 2026-11-12)
2. [Curve Finance のユーザー、フロントエンド攻撃で $573,000 を失う](https://forklog.com/en/curve-finance-users-lose-573000-in-front-end-attack/) — ForkLog (確認日 2026-11-12)
3. [Galxe と Balancer の DNS 攻撃](https://www.fxstreet.com/cryptocurrencies/news/galxe-balancer-dns-attacks-reveals-many-crypto-enterprises-are-vulnerable-to-subdomain-domain-hijacking-202310080705) — FXStreet (確認日 2026-11-12)
4. [研究者:弱いセキュリティ初期設定が Squarespace ドメインのハイジャックを可能にした](https://krebsonsecurity.com/2024/07/researchers-weak-security-defaults-enabled-squarespace-domains-hijacks/) — Krebs on Security (確認日 2026-11-12)
5. [フロントエンドのハイジャックと Web2 の攻撃対象領域](https://blockaid.io/blog/frontend-hijacking-and-the-web2-attack-surface-threatening-web3-protocols) — Blockaid (確認日 2026-11-12)
6. [ハッカーが Name.com に登録された十数件の DeFi ウェブサイトをハイジャック](https://theblock.co/news/defi/2026-10-31-hackers-hijack-a-dozen-defi-websites-all-registered-with-name-com-and-steal-about-138000-432251) — The Block (確認日 2026-11-12)
7. [Registry Lock](https://www.verisign.com/resources/registrar-resources/registry-lock) — Verisign (確認日 2026-11-12)

---

Wardmint: Wardmint は、暗号資産プロジェクトに必要な防御的ドメイン(フィッシング犯が使う拡張子での自社名、自社名のタイプミスや類似バリエーション)を登録します。支払いは暗号資産、KYCなし:ID不要で、ドメインごとに確認済みのメールアドレス1つだけです。運営はパナマで登録された会社 DomaineGoat LLC で、ドメインは ICANN 認定のレジストラパートナーを通じて登録されます。.com は $12.49/年、毎年同じ価格です。