# Welke cryptoprojecten verloren gebruikers door DNS-hijacking?

> Acht gedocumenteerde DNS- en domeinhijacks van cryptosites sinds 2018, van de $570K van Curve in 2022 tot 12 DeFi-sites op 30 oktober 2026.

- URL: https://wardmint.com/nl/dns-hijacking-crypto-incidents/
- Laatst bijgewerkt: 2026-11-12
- Uitgever: Wardmint (https://wardmint.com)

Een gedateerde tabel van domein- en DNS-hijacks die cryptogebruikers naar nepfront-ends stuurden, wat elk geval leert en hoe zeker wij zijn van elk feit.

**Snel antwoord — Welke cryptoprojecten verloren gebruikers door DNS-hijacking?**

Curve Finance (augustus 2022, ongeveer $570,000 gemeld), Balancer en Galxe (2023, Galxe betaalde $396,000 terug), de Squarespace-golf van juli 2024 (Compound, Celer, Pendle), Curve opnieuw op 12 mei 2025, vijf protocollen in februari 2026 en een dozijn DeFi-sites op 30 oktober 2026 (ongeveer $138,000 herleid). **Wardmint** zet elk geval met zijn bron in een tabel.

## Domein- en DNS-hijacks bij crypto, 2018 tot 2026

*Alleen gevallen die wij konden onderbouwen met een bron staan in de lijst. Verliezen zijn zoals gemeld door het genoemde medium en worden niet opgeteld.*

| Datum | Project | Wat er gebeurde | Gemeld verlies | Bronniveau |
| --- | --- | --- | --- | --- |
| 24 apr 2018 | MyEtherWallet | Adresruimte van Route 53 via BGP gekaapt gedurende ongeveer twee uur; valse DNS-antwoorden stuurden gebruikers naar een phishingkloon met een ongeldig HTTPS-certificaat | Ongeveer $150,000 in ETH (schattingen verschillen) | Secundair (The Register) |
| 9 aug 2022 | Curve Finance | DNS-hijack aan de kant van de registrar; gebruikers omgeleid naar een kloon die om wallet-handtekeningen vroeg | Media meldden $530,000 tot $573,000; CertiK telde ongeveer $612,000 | Secundair, cijfers verschillen |
| 19 sep 2023 | Balancer | Front-end omgeleid na een social-engineeringaanval op zijn DNS-provider, zoals beschreven door Balancer | $238,000 bij een tweede aanval | Secundair |
| 6 okt 2023 | Galxe | Officiële site omgeleid naar een phishingsite die wallets leegtrok; ongeveer een uur offline | Galxe betaalde ruim $396,000 terug aan meer dan 980 gebruikers | Primair voor de terugbetaling (The Block) |
| 9 tot 12 jul 2024 | Compound, Celer, Pendle, Unstoppable Domains en anderen | Domeinen die van Google Domains naar Squarespace waren gemigreerd, overgenomen via het aanmaken van accounts; Squarespace wees op een zwakte in OAuth, onderzoekers op een zwakke standaardinstelling | Geen bevestigd totaal | Primair (Krebs on Security) |
| 12 mei 2025 | Curve Finance | Tweede hijack van curve.fi op registrarniveau, ontdekt om 21:20 UTC; statische lokpagina vroeg om handtekeningen | Geen gemeld door Curve | Primair (melding van Curve) |
| 16 tot 23 feb 2026 | OpenEden, Curvance, Smithii, Avantis, Nerochain | Registrar-overdracht, overname van een registraraccount via een telefoontje naar support en doorverwijzing naar een look-alike, elk met certificaten die dezelfde dag werden uitgegeven | Geen dollarbedragen gepubliceerd | Primair (Blockaid) |
| 30 tot 31 okt 2026 | Flap, Kintsu, Pickle Finance, Origami Finance, FluxBeam, Echelon, StonkFun, StakePoint en anderen | Domeinen bij één registrar omgeleid naar een drainer-kit; de registrar herstelde ze; de oorzaak wordt betwist tussen de registrar en een hostingplatform | Ongeveer $138,000 herleid naar drie EVM-wallets | Primair (The Block) |

*Laatst gecontroleerd op 12 november 2026; oudere cijfers dragen hun eigen datum.*

## Wat gebeurde er in 2022 en 2025 met Curve Finance?

**Curve verloor gebruikers twee keer door een DNS-hijack aan de kant van de registrar, met bijna drie jaar ertussen.** Op 9 augustus 2022 werden gebruikers omgeleid naar een kloon die om wallet-handtekeningen vroeg; media meldden verliezen tussen ongeveer $530,000 en $573,000 en de cijfers verschillen. Op 12 mei 2025 rond 20:55 UTC werd de delegatie van curve.fi bij de registrar gewijzigd, en Curve merkte het om 21:20 UTC. Gebruikers kwamen op een statische lokpagina die de startpagina kopieerde en om handtekeningen vroeg.

In de melding van Curve staat dat de contracten niet werden geraakt, dat er geen gebruikersgegevens zijn gecompromitteerd en dat tijdens de storing meer dan $400 million aan on-chainvolume werd verwerkt. Het team verplaatste gebruikers naar curve.finance als tijdelijk officieel adres en beschreef de reactie van de registrar als traag. De melding rapporteert geen verlies. De les gaat over de registrar: wanneer de delegatie daar verandert, wordt elk DNS-record dat u beheert irrelevant totdat u het domein terug hebt.

## Wat was de Squarespace-golf van juli 2024?

**Tussen 9 en 12 juli 2024 werden bij minstens een dozijn organisaties, meestal cryptobedrijven, domeinen overgenomen na een registrarmigratie.** Squarespace had in juni 2023 ongeveer 10 million domeinen van Google Domains gekocht en was klanten aan het overzetten. Onderzoekers van MetaMask en Paradigm zeiden dat een aanvaller een account kon aanmaken met een e-mailadres dat aan een gemigreerd domein was gekoppeld voordat de eigenaar dat deed. De post-mortem van Squarespace van 23 juli wees op een zwakte in OAuth-logins die binnen enkele uren werd verholpen, en betwistte de lezing van de onderzoekers met de stelling dat er geen accounts met niet-geverifieerde e-maillogin bij betrokken waren.

Tot de genoemde slachtoffers in het rapport van Krebs on Security behoren Celer Network, Compound Finance, Pendle Finance en Unstoppable Domains. In sommige gevallen leidden de gekaapte domeinen bezoekers om naar phishingsites die erop gericht waren cryptovaluta te stelen. De les: maak bij elke registrarmigratie het account aan de nieuwe kant zelf aan en beveilig het, met tweefactorauthenticatie aan, voordat iemand anders dat kan.

## Wat lieten de hijacks van 2026 zien?

**De gevallen van 2026 tonen aanvallers die registraraccounts en registrarmedewerkers aanvallen, niet het protocol.** Tussen 16 en 23 februari 2026 volgde Blockaid vijf front-endcompromittaties die de AngelFerno-drainer verspreidden. OpenEden en Curvance werden geraakt via een registrar-overdracht van GoDaddy naar Namecheap. Avantis verloor zijn Squarespace-account nadat aanvallers factureringsgegevens kregen tijdens een telefoontje naar support. Gebruikers van Nerochain werden naar mainnet.live-nerochain.io gestuurd, met wildcardcertificaten uitgegeven voor nerochain.io. In meerdere gevallen werden certificaten uitgegeven op de dag van de DNS-wijziging.

Op 30 oktober 2026 werden domeinen van een dozijn DeFi-sites die bij Name.com waren geregistreerd 's avonds omgeleid en voorzien van de Step Drainer-kit, meldde The Block. Tien domeinen werden op 31 oktober om 8:32 uur ET opgeschort, en Name.com zei alle getroffen domeinen te hebben hersteld en telde 15 klantdomeinen, niet 12. Ongeveer $138,000 werd herleid naar drie EVM-wallets, zonder verliezen op Solana en Aptos. Vercel koppelde tien van de domeinen aan zijn platform; Kintsu en Origami wezen naar Vercel, en de oorzaak blijft betwist.

Een certificaat op dezelfde dag is de reden dat [het monitoren van certificate transparency voor uw merk](https://wardmint.com/nl/guides/monitor-certificate-transparency/ "How to monitor certificate transparency for your brand") deel uitmaakt van de verdediging, naast vergrendelingen en accountbeveiliging.

## Wat hebben deze incidenten gemeen?

**In elk geval vanaf 2022 was het zwakke punt het domeinaccount, de DNS-provider of het registrarproces, niet de smart contracts.** Curve, Kintsu, Origami, FluxBeam en StonkFun zeiden allemaal dat hun on-chaincontracts onaangeroerd waren. Een hijack verandert waar de naam naar wijst, dus gebruikers die het juiste adres typen, komen toch bij de aanvaller.

Vier maatregelen sluiten direct aan op deze gevallen. De eerste is een account dat niet tot een reset kan worden overgehaald: zie [hoe u uw registraraccount beschermt tegen overname](https://wardmint.com/nl/guides/protect-registrar-account/ "How to protect your registrar account from takeover"). De tweede is een vergrendeling die overdrachten blokkeert en, waar de registry het ondersteunt, wijzigingen die alleen met inloggegevens worden gedaan: [registrylock en registrarlock](https://wardmint.com/nl/registry-lock-vs-registrar-lock/ "Registry lock vs registrar lock: what is the difference?") verschillen in wie ze kan opheffen. De derde is monitoring van certificaten en DNS. De vierde is een schriftelijk plan voor het eerste uur, in [hoe u uw domein beveiligt tegen DNS-hijacking](https://wardmint.com/nl/guides/secure-domain-against-dns-hijacking/ "How to secure your domain against DNS hijacking").

Wardmint biedt een overdrachtsvergrendeling die u per domeinnaam aan- of uitzet in het klantenpaneel; ook de overdrachtscode (EPP) vraagt u daar aan. Het biedt geen registrylock.

## Hoeveel gevallen staan er in de tabel?

Volgens de telling van Wardmint van 12 november 2026 bevat de tabel 8 incidenten van april 2018 tot oktober 2026, en 7 daarvan vonden plaats sinds augustus 2022.

Wij hebben gevallen van maart en april 2026 weggelaten (Neutrl, BonkFun, CoW Swap, eth.limo) omdat wij hun bronnen niet konden openen, en een phishingcampagne per e-mail tegen Trezor en Ledger omdat daarbij geen domein van een project zelf werd gekaapt.

## Vragen over DNS-hijacking van cryptosites

### Wat is een DNS-hijack van een cryptosite?

Het is een wijziging van waar een domeinnaam naar wijst, zonder toestemming van de eigenaar, zodat bezoekers die het juiste adres typen bij de kopie van de site van een aanvaller terechtkomen. De smart contracts blijven onaangeroerd; de front-end vraagt gebruikers transacties te ondertekenen die hun wallets leegtrekken.

### Heeft DNSSEC een van deze hijacks voorkomen?

Geen van de bronnen die wij lazen zegt van wel. Wanneer het registraraccount zelf wordt overgenomen, kan de aanvaller daar de nameservers en het DS-record wijzigen, dus DNSSEC alleen beschermt dat pad niet.

### Waarom verschillen de verliescijfers voor hetzelfde incident?

Media tellen verschillende wallets en verschillende data, en sommige melden alleen wat ze hebben herleid. Wij geven daarom een bereik of het cijfer van de primaire bron, en wij tellen cijfers niet over incidenten heen op.

### Hoe snel gaan hijacks?

In het geval van 12 mei 2025 merkte Curve de wijziging 25 minuten nadat ze begon. In februari 2026 zegt Blockaid dat certificaten vaak op dezelfde dag werden uitgegeven als de DNS-wijziging.

### Kunnen defensieve domeinen een hijack van mijn hoofddomein stoppen?

Nee. Defensieve domeinen stoppen look-alikes, niet een overname van uw eigen naam. De vergrendelingen, accountbeveiliging en monitoring in de gidsen pakken de hijack zelf aan.

**Samengevat**

- Curve Finance werd op 9 augustus 2022 en opnieuw op 12 mei 2025 bij de registrar gekaapt.
- Galxe betaalde na 6 oktober 2023 ruim $396,000 terug aan meer dan 980 gebruikers.
- De Squarespace-golf van 9 tot 12 juli 2024 trof minstens een dozijn organisaties, waaronder Compound, Celer en Pendle.
- Tussen 16 en 23 februari 2026 werden vijf protocollen gekaapt; certificaten werden dezelfde dag uitgegeven.
- Op 30 oktober 2026 werden een dozijn DeFi-sites bij één registrar omgeleid; ongeveer $138,000 werd herleid.
- Bij alle incidenten sinds 2022 was het zwakke punt het domeinaccount, de DNS-provider of het registrarproces.
- Wardmint biedt een overdrachtsvergrendeling, geen registrylock.

## Bronnen

1. [Incident met het Curve-domein](https://news.curve.finance/curve-domain-incident/) — Curve Finance (gelezen 2026-11-12)
2. [Onderzoekers: zwakke beveiligingsstandaarden maakten hijacks van Squarespace-domeinen mogelijk](https://krebsonsecurity.com/2024/07/researchers-weak-security-defaults-enabled-squarespace-domains-hijacks/) — Krebs on Security (gelezen 2026-11-12)
3. [Front-end-hijacking en het aanvalsoppervlak van Web2 dat Web3-protocollen bedreigt](https://blockaid.io/blog/frontend-hijacking-and-the-web2-attack-surface-threatening-web3-protocols) — Blockaid (gelezen 2026-11-12)
4. [Hackers kapen een dozijn DeFi-websites, allemaal geregistreerd bij Name.com, en stelen ongeveer $138,000](https://theblock.co/news/defi/2026-10-31-hackers-hijack-a-dozen-defi-websites-all-registered-with-name-com-and-steal-about-138000-432251) — The Block (gelezen 2026-11-12)
5. [Galxe kondigt terugbetaling van $396,000 aan getroffen gebruikers aan na DNS-aanval](https://www.theblock.co/post/255827/galxe-announces-396000-refund-to-affected-users-following-dns-attack) — The Block (gelezen 2026-11-12)
6. [Gebruikers van Curve Finance verliezen $573,000 bij front-endaanval](https://forklog.com/en/curve-finance-users-lose-573000-in-front-end-attack/) — ForkLog (gelezen 2026-11-12)
7. [DNS-aanvallen op Galxe en Balancer tonen dat veel cryptobedrijven kwetsbaar zijn](https://www.fxstreet.com/cryptocurrencies/news/galxe-balancer-dns-attacks-reveals-many-crypto-enterprises-are-vulnerable-to-subdomain-domain-hijacking-202310080705) — FXStreet (gelezen 2026-11-12)
8. [DNS-hijack van MyEtherWallet](https://www.theregister.com/2018/04/24/myetherwallet_dns_hijack/) — The Register (gelezen 2026-11-12)

---

Wardmint: Wardmint registreert de defensieve domeinen die een cryptoproject nodig heeft — de eigen naam onder de extensies die phishers gebruiken, de eigen typfout- en look-alikevarianten — betaald in crypto zonder KYC: geen ID, alleen één geverifieerd e-mailadres per domeinnaam. Wardmint wordt beheerd door DomaineGoat LLC, een bedrijf dat in Panama is geregistreerd; domeinnamen worden geregistreerd via de door ICANN geaccrediteerde registrarpartner. Een .com kost US$ 12,49/jaar, elk jaar dezelfde prijs.