Snel antwoord
Hoe beschermt u uw registraraccount tegen overname?
Bescherm een registraraccount met een lang willekeurig wachtwoord dat nergens anders wordt gebruikt, tweefactorauthenticatie, zo min mogelijk gebruikers en een herstelroute die een telefoontje naar support niet kan omzeilen. Wardmint telde in zijn tabel twee incidenten, in juli 2024 en februari 2026, waarbij het zwakke punt een login of supportproces van een registrar of platform was en niet de DNS-records.
Accountmaatregelen en het incident waarop elke maatregel antwoord geeft
| Maatregel | Wat het voorkomt | Openbaar geval waarop het antwoord geeft |
|---|---|---|
| Claim zelf het account van elk gemigreerd domein | Een aanvaller die het account als eerste aanmaakt | Squarespace-migraties, 9 tot 12 juli 2024 (OAuth-zwakte) |
| Supportregel: geen wijzigingen op een mondeling verzoek | Social engineering van een supportmedewerker | Avantis, februari 2026 (account overgenomen na een telefoontje naar support) |
| Tweefactorauthenticatie op het account | Inloggen met een gestolen wachtwoord | Advies van Name.com na de omleidingen van 30 tot 31 oktober 2026 |
| Uniek lang wachtwoord in een kluis | Hergebruik van inloggegevens en gokken | Algemene praktijk |
| Weinig benoemde gebruikers, verwijderd bij vertrek | Toegang van insiders en oud-leden | Verloop van DAO's en bijdragers |
| Login-adres als bladwijzer | Phishing van registrar-logins | Algemene praktijk |
Waarom is het registraraccount het doelwit?
Omdat het de nameservers, het DS-record en de eigenaar kan wijzigen, en geen code op uw chain dat ongedaan kan maken. Een hijacker die als u inlogt, kan het domein laten wijzen waarheen hij wil en daarna een certificaat voor de nieuwe bestemming aanvragen.
Het openbare dossier toont het patroon. Krebs on Security meldde in juli 2024 dat domeinen die van Google Domains naar Squarespace waren gemigreerd, openstonden voor een aanvaller die een account aanmaakte met het e-mailadres dat aan een domein was gekoppeld voordat de eigenaar dat deed, en Squarespace schreef dit toe aan een zwakte in verband met OAuth-logins. Blockaid schreef in februari 2026 dat Avantis werd gecompromitteerd via een Squarespace-account dat werd overgenomen nadat factureringsgegevens in een telefoontje naar support waren ontfutseld. Op 30 en 31 oktober 2026 werden domeinen van een dozijn DeFi-sites die bij één registrar waren geregistreerd, omgeleid; de registrar herstelde ze en drong aan op DNS-controles en tweefactorauthenticatie.
Volgens de telling van Wardmint van 12 november 2026 draaien twee van de zeven incidenten in zijn tabel (de golf van juli 2024 en het geval Avantis in februari 2026) om een login of supportproces bij een registrar of platform. De volledige set staat in welke cryptoprojecten gebruikers verloren door DNS-hijacking.
Welke wachtwoord- en loginopzet moet u gebruiken?
Gebruik een willekeurig wachtwoord van minstens 20 tekens, gegenereerd en bewaard door een wachtwoordmanager, en hergebruik het nooit. Een gedeeld chatbericht of een spreadsheet is geen kluis. Als meer dan één persoon toegang nodig heeft, gebruik dan een teamkluis met een audittrail en leg vast wie het geheim heeft gezien.
Zet tweefactorauthenticatie aan voor het account. Een hardwarebeveiligingssleutel is de sterkste gangbare tweede factor, omdat hij geen code aan een phishingpagina overhandigt. Een authenticator-app is de volgende keuze; een code per sms is de zwakste. Bewaar herstelcodes offline, op twee plaatsen, en schrijf op wie erbij kan.
Bij Wardmint logt u in met een accountnummer en wachtwoord, en kunt u tweefactorauthenticatie aanzetten in het klantenpaneel; antwoord per e-mail binnen 12 uur, 7 dagen per week, ook bij hulp met DNSSEC, CAA-records en misbruikmeldingen. Omdat voor de registratie zelf maar één geverifieerd e-mailadres per domeinnaam nodig is, houd het e-mailadres van het account op een mailbox die u beheert en bescherm die mailbox even strikt als het account.
Wie moet toegang hebben, en hoe gaat u om met een telefoontje naar support?
Benoem één eigenaar en één reserve, documenteer beide en stel een regel op dat er geen enkele wijziging wordt doorgevoerd op grond van een telefoontje. Het geval Avantis toont waarom. Als support een account kan wijzigen na een telefoongesprek, doet de sterkte van uw wachtwoord er niet meer toe.
Bepaal voor een DAO of stichting vooraf wie de inloggegevens beheert, hoe de treasury het saldo opwaardeert en hoe de toegang verandert wanneer een bijdrager vertrekt. De werkwijzen voor gedeeld beheer staan in hoe een DAO zijn domeinen moet aanhouden en betalen. Verwijder de toegang dezelfde dag dat iemand het team verlaat en wijzig dan het gedeelde wachtwoord.
Overweeg voor de belangrijkste domeinen Domeinbescherming voor +US$ 29/jaar per domein: het domein wordt geregistreerd op naam van DomaineGoat LLC, u blijft de begunstigde met een gratis teruggave op uw eigen naam, een overdrachtsvergrendeling staat aan en elke klacht wordt door een persoon gelezen voordat er actie wordt ondernomen. De optie wordt beschreven in wat Domeinbescherming is. Ze vermindert wat het account bevat en vervangt geen sterke login.
Een registraraccount beschermen in zeven stappen
Inventariseer elk account en elk domein
Maak een lijst van elk registraraccount, de domeinen erin en de mensen die kunnen inloggen. Neem accounts mee die uit migraties zijn overgenomen.
Claim gemigreerde accounts
Als een registrar uw oude heeft overgenomen, log dan in en bevestig dat u, en geen vreemde, het account voor elk domein beheert.
Vervang het wachtwoord
Genereer in een kluis een willekeurig wachtwoord van 20 tekens of meer en gebruik het alleen voor dit account.
Zet tweefactorauthenticatie aan
Geef de voorkeur aan een hardwaresleutel, daarna aan een authenticator-app. Bewaar herstelcodes offline op twee plaatsen.
Beperk en documenteer de toegang
Benoem één eigenaar en één reserve, verwijder alle anderen en noteer de datum en reden van elke wijziging.
Schrijf de supportregel op
Spreek af dat niemand DNS, eigenaar of contacten wijzigt op grond van een telefoontje of chat, en vertel het uw team.
Zet de login als bladwijzer en let op phishing
Open de registrar alleen via uw bladwijzer. Behandel elke e-mail die u vraagt in te loggen bij een registrar als een mogelijke phishingpoging.
Hoe herkent u een phishingpagina die uw registrar kopieert?
Controleer het adres voordat u iets typt en volg nooit een loginlink uit een e-mail. Registrarphishing rekent op urgentie: een bericht zegt dat het domein bijna verloopt of dat er een klacht is. Open de registrar via uw bladwijzer en zoek dezelfde melding in het account.
Gebruik een wachtwoordmanager die inloggegevens alleen invult op het exacte opgeslagen adres, zodat een look-alike-loginpagina niets krijgt. Hardwaresleutels voegen dezelfde bescherming toe aan de tweede factor. Als u ooit een wachtwoord op een twijfelachtige pagina invoert, wijzig het dan meteen, beëindig alle sessies en controleer de DNS-records en het contact-e-mailadres.
Een tweede laag is het verlopen. Een domein dat verloopt, kan door iedereen worden genomen, en de verlengingstaak wordt behandeld in hoe u voorkomt dat uw domeinen verlopen. Het bredere versterkingsplan staat in hoe u uw domein beveiligt tegen DNS-hijacking.
Vragen over de beveiliging van registraraccounts
Is tweefactorauthenticatie genoeg?
Het is noodzakelijk maar alleen niet genoeg. Het geval Avantis liep via een telefoontje naar support. Voeg een regel toe dat er niets via een telefoontje wordt gewijzigd, en houd het aantal gebruikers klein.
Beschermt een overdrachtsvergrendeling het account?
Nee. Ze stopt overdrachten naar een andere registrar. Ze verhindert niet dat iemand met de login nameservers of records wijzigt.
Moet het account een gedeeld team-e-mailadres gebruiken?
Gebruik een mailbox die het team beheert, beschermd met tweefactorauthenticatie, niet het persoonlijke adres van één lid. Elk domein heeft daarnaast één geverifieerd e-mailadres nodig voor zijn registratie.
Wat als een bijdrager met toegang vertrekt?
Wijzig het wachtwoord, verwijder zijn toegang, wissel de herstelcodes en controleer de DNS-records, allemaal dezelfde dag.
Kan Domeinbescherming een sterke login vervangen?
Nee. Ze zet het domein op naam van het bedrijf en voegt menselijke beoordeling van klachten toe, en het account heeft nog steeds een sterke login nodig.
Samengevat
- Het registraraccount kan nameservers, DS-records en de eigenaar wijzigen.
- Openbare hijacks van 2024 en 2026 liepen via een loginzwakte of een telefoontje naar support.
- Gebruik een willekeurig wachtwoord van 20 tekens of meer, in een kluis, nergens anders gebruikt.
- Zet tweefactorauthenticatie aan, bij voorkeur met een hardwaresleutel.
- Benoem één eigenaar en één reserve; verwijder vertrekkers dezelfde dag.
- Schrijf een regel op dat er niets wordt gewijzigd op grond van alleen een telefoontje.
- Domeinbescherming kost +US$ 29/jaar en vervangt geen sterke login.
Bronnen (3)
- Onderzoekers: zwakke beveiligingsstandaarden maakten hijacks van Squarespace-domeinen mogelijk — Krebs on Security (gelezen 2026-11-12)
- Front-end-hijacking en het aanvalsoppervlak van Web2 dat Web3-protocollen bedreigt — Blockaid (gelezen 2026-11-12)
- Hackers kapen een dozijn DeFi-websites die bij Name.com zijn geregistreerd — The Block (gelezen 2026-11-12)