Welke cryptoprojecten verloren gebruikers door DNS-hijacking?

Wat gebeurde er in 2022 en 2025 met Curve Finance?

Curve verloor gebruikers twee keer door een DNS-hijack aan de kant van de registrar, met bijna drie jaar ertussen. Op 9 augustus 2022 werden gebruikers omgeleid naar een kloon die om wallet-handtekeningen vroeg; media meldden verliezen tussen ongeveer $530,000 en $573,000 en de cijfers verschillen. Op 12 mei 2025 rond 20:55 UTC werd de delegatie van curve.fi bij de registrar gewijzigd, en Curve merkte het om 21:20 UTC. Gebruikers kwamen op een statische lokpagina die de startpagina kopieerde en om handtekeningen vroeg.

In de melding van Curve staat dat de contracten niet werden geraakt, dat er geen gebruikersgegevens zijn gecompromitteerd en dat tijdens de storing meer dan $400 million aan on-chainvolume werd verwerkt. Het team verplaatste gebruikers naar curve.finance als tijdelijk officieel adres en beschreef de reactie van de registrar als traag. De melding rapporteert geen verlies. De les gaat over de registrar: wanneer de delegatie daar verandert, wordt elk DNS-record dat u beheert irrelevant totdat u het domein terug hebt.

Wat was de Squarespace-golf van juli 2024?

Tussen 9 en 12 juli 2024 werden bij minstens een dozijn organisaties, meestal cryptobedrijven, domeinen overgenomen na een registrarmigratie. Squarespace had in juni 2023 ongeveer 10 million domeinen van Google Domains gekocht en was klanten aan het overzetten. Onderzoekers van MetaMask en Paradigm zeiden dat een aanvaller een account kon aanmaken met een e-mailadres dat aan een gemigreerd domein was gekoppeld voordat de eigenaar dat deed. De post-mortem van Squarespace van 23 juli wees op een zwakte in OAuth-logins die binnen enkele uren werd verholpen, en betwistte de lezing van de onderzoekers met de stelling dat er geen accounts met niet-geverifieerde e-maillogin bij betrokken waren.

Tot de genoemde slachtoffers in het rapport van Krebs on Security behoren Celer Network, Compound Finance, Pendle Finance en Unstoppable Domains. In sommige gevallen leidden de gekaapte domeinen bezoekers om naar phishingsites die erop gericht waren cryptovaluta te stelen. De les: maak bij elke registrarmigratie het account aan de nieuwe kant zelf aan en beveilig het, met tweefactorauthenticatie aan, voordat iemand anders dat kan.

Wat lieten de hijacks van 2026 zien?

De gevallen van 2026 tonen aanvallers die registraraccounts en registrarmedewerkers aanvallen, niet het protocol. Tussen 16 en 23 februari 2026 volgde Blockaid vijf front-endcompromittaties die de AngelFerno-drainer verspreidden. OpenEden en Curvance werden geraakt via een registrar-overdracht van GoDaddy naar Namecheap. Avantis verloor zijn Squarespace-account nadat aanvallers factureringsgegevens kregen tijdens een telefoontje naar support. Gebruikers van Nerochain werden naar mainnet.live-nerochain.io gestuurd, met wildcardcertificaten uitgegeven voor nerochain.io. In meerdere gevallen werden certificaten uitgegeven op de dag van de DNS-wijziging.

Op 30 oktober 2026 werden domeinen van een dozijn DeFi-sites die bij Name.com waren geregistreerd 's avonds omgeleid en voorzien van de Step Drainer-kit, meldde The Block. Tien domeinen werden op 31 oktober om 8:32 uur ET opgeschort, en Name.com zei alle getroffen domeinen te hebben hersteld en telde 15 klantdomeinen, niet 12. Ongeveer $138,000 werd herleid naar drie EVM-wallets, zonder verliezen op Solana en Aptos. Vercel koppelde tien van de domeinen aan zijn platform; Kintsu en Origami wezen naar Vercel, en de oorzaak blijft betwist.

Een certificaat op dezelfde dag is de reden dat het monitoren van certificate transparency voor uw merk deel uitmaakt van de verdediging, naast vergrendelingen en accountbeveiliging.

Wat hebben deze incidenten gemeen?

In elk geval vanaf 2022 was het zwakke punt het domeinaccount, de DNS-provider of het registrarproces, niet de smart contracts. Curve, Kintsu, Origami, FluxBeam en StonkFun zeiden allemaal dat hun on-chaincontracts onaangeroerd waren. Een hijack verandert waar de naam naar wijst, dus gebruikers die het juiste adres typen, komen toch bij de aanvaller.

Vier maatregelen sluiten direct aan op deze gevallen. De eerste is een account dat niet tot een reset kan worden overgehaald: zie hoe u uw registraraccount beschermt tegen overname. De tweede is een vergrendeling die overdrachten blokkeert en, waar de registry het ondersteunt, wijzigingen die alleen met inloggegevens worden gedaan: registrylock en registrarlock verschillen in wie ze kan opheffen. De derde is monitoring van certificaten en DNS. De vierde is een schriftelijk plan voor het eerste uur, in hoe u uw domein beveiligt tegen DNS-hijacking.

Wardmint biedt een overdrachtsvergrendeling die u per domeinnaam aan- of uitzet in het klantenpaneel; ook de overdrachtscode (EPP) vraagt u daar aan. Het biedt geen registrylock.

Hoeveel gevallen staan er in de tabel?

Volgens de telling van Wardmint van 12 november 2026 bevat de tabel 8 incidenten van april 2018 tot oktober 2026, en 7 daarvan vonden plaats sinds augustus 2022.

Wij hebben gevallen van maart en april 2026 weggelaten (Neutrl, BonkFun, CoW Swap, eth.limo) omdat wij hun bronnen niet konden openen, en een phishingcampagne per e-mail tegen Trezor en Ledger omdat daarbij geen domein van een project zelf werd gekaapt.