Hoe beveiligt u uw domeinnaam tegen DNS-hijacking?

Wat is DNS-hijacking, en waarom treft het crypto-frontends?

DNS-hijacking is de ongeautoriseerde wijziging van de records of de registratie die browsers vertellen waar een domeinnaam woont. De aanvaller raakt uw smart contracts niet aan. Hij stuurt gebruikers van uw echte adres door naar een kopie van uw frontend die om walletondertekeningen vraagt.

Daarom past de aanval zo goed bij crypto. Een gebruiker die het juiste adres intypt en een geldig slotje ziet, heeft geen reden om aan de pagina te twijfelen. Curve Finance zei na het incident van 12 mei 2025 dat zijn contracts en gebruikersgegevens niet waren aangetast, maar bezoekers werden toch omgeleid naar een statische lokpagina die om handtekeningen vroeg. Het verlies komt voort uit de handtekening, niet uit een fout in de code.

De aanvaller heeft controle nodig over een van drie dingen: het registrar-account dat de domeinnaam bezit, de DNS-provider die de records aanbiedt, of het resolverpad tussen gebruiker en server. Deze gids behandelt de eerste twee, omdat een project die zelf in de hand heeft. Het derde beschermt DNSSEC, en dat wordt uitgelegd in hoe u DNSSEC inschakelt voor uw domeinnaam.

Welke echte incidenten laten zien hoe hijacks gebeuren?

Openbare incidenten sinds 2022 laten zien dat aanvallers via accounts en supportmedewerkers gaan, niet via cryptografie. De tabel hierboven somt ze op, en het patroon herhaalt zich.

Volgens de telling van Wardmint van 12 november 2026 bevat de incidententabel in het onderzoek zeven vermeldingen tussen augustus 2022 en oktober 2026 (Curve tweemaal, Balancer, Galxe, de Squarespace-golf van juli 2024, het cluster van februari 2026 en de golf van oktober 2026), en elk ervan greep in op de domeinnaam, de DNS-provider of het registrar-account. De volledige lijst met bronnen staat in welke cryptoprojecten gebruikers verloren door DNS-hijacking.

Hoe vergrendelt u het registrar-account?

Behandel het registrar-account als de sleutel tot de hele frontend en geef het de sterkste login die u hebt. Gebruik een wachtwoord dat lang en willekeurig is en nergens anders wordt gebruikt, en schakel tweestapsverificatie in. Bewaar de login in een wachtwoordmanager of een hardwarematige kluis, niet in een gedeelde chat.

Beperk het aantal mensen dat kan inloggen. Wijs één eigenaar en één back-up aan, leg vast wie welke inloggegevens heeft en trek toegang in op de dag dat iemand het team verlaat. Houd het herstelpad even streng als de login: een account dat met tweestapsverificatie is beveiligd maar door een supportmedewerker op verzoek kan worden gereset, is slechts zo sterk als de checklist van die medewerker. Bij de gevallen Balancer en Avantis was telkens een mens bij een provider betrokken.

De volledige routine, inclusief hoe u phishing van registrar-logins herkent, staat in hoe u uw registrar-account beschermt tegen overname. Bij Wardmint geldt: antwoord per e-mail binnen 12 uur, 7 dagen per week, ook bij hulp met DNSSEC, CAA-records en misbruikmeldingen, dus vraag support om hulp bij elk van deze instellingen.

Wat stoppen een overdrachtsvergrendeling en een registry lock elk?

Een transferslot voorkomt dat het domein naar een andere registrar verhuist; een registry lock gaat verder en blokkeert wijzigingen bij het register zelf. Het zijn twee verschillende lagen, en een project kan de ene hebben zonder de andere.

Een transferslot is de registrar-status clientTransferProhibited. Het voorkomt een ongeautoriseerde overdracht, maar het stopt geen bewerkingen van DNS-records binnen de eigen DNS-hosting van de registrar. Wardmint biedt een overdrachtsvergrendeling die u per domeinnaam aan- of uitzet in het klantenpaneel; ook de overdrachtscode (EPP) vraagt u daar aan.

Een registry lock, aangeboden voor .com en .net door Verisign via deelnemende registrars, voegt verificatie buiten het account toe, zodat wijzigingen van nameservers, overdrachten en eigendom niet met alleen accountgegevens kunnen worden doorgevoerd. Registrars rekenen daar doorgaans ongeveer USD 100 tot 600 per jaar voor, volgens cijfers van DomainNameWire en een reseller-pagina die verouderd en niet geverifieerd zijn. Wardmint biedt geen registry lock. Wat het in plaats daarvan biedt is het transferslot, en domeinbescherming voor +US$ 29/jaar per domein, waarbij het domein op naam van DomaineGoat LLC wordt geregistreerd, onder een transferslot wordt gehouden, en elke klacht erover door een mens wordt gelezen voordat er actie wordt ondernomen. Het verschil wordt uitgelegd in registry lock vs registrar lock.

Voorkomen DNSSEC en CAA-records een hijack?

DNSSEC en CAA beperken de schade van een hijack; ze stoppen geen aanvaller die uw account in handen heeft. DNSSEC ondertekent uw records zodat een resolver vervalste antwoorden onderweg kan weigeren. Een aanvaller die bij de registrar inlogt, kan het DS-record of de nameservers vervangen, waarna de handtekening de gegevens van de aanvaller beschermt.

CAA-records noemen de certificeringsinstanties die certificaten voor uw domeinnaam mogen uitgeven. RFC 8659 definieert ze. Ze zijn van belang omdat de aanvallers van februari 2026 certificaten kregen op dezelfde dag als de DNS-wijziging; een CAA-record dat alleen uw eigen instantie noemt, dwingt hen dat record eerst te wijzigen, en dat kan een melding opvangen. Geen van beide maatregelen vervangt een vergrendeld account, en elk kost een paar minuten werk. De syntaxis staat in hoe u CAA-records instelt.

Hoe merkt u binnen enkele minuten een hijack op?

Let op de twee openbare sporen die elke hijack achterlaat: een nieuw certificaat en een gewijzigd DNS-antwoord. Certificate Transparency-logs tonen elk openbaar vertrouwd certificaat dat voor uw naam is uitgegeven, en een gratis zoekopdracht of stream brengt een onverwacht certificaat snel aan het licht. Een geplande controle die uw nameservers en A-records vergelijkt met de verwachte waarden, vangt de wijziging zelf op.

Bereid de reactie voor voordat u haar nodig hebt. Houd een alternatief officieel adres vooraf aangekondigd, een kort bericht klaar voor uw sociale kanalen en het spoedcontact van de registrar. Curve gebruikte curve.finance op 12 mei 2025 als tijdelijk toegangspunt, wat de waarde laat zien van een tweede domeinnaam die u zelf beheert. Een vooraf geregistreerde defensieve set geeft u dat tweede adres; .com, .net, .org, .io, .xyz, .app kost $128.94 per jaar bij Wardmint.

Wat is de korte versie?

Een hijackbestendige domeinnaam is er een waarbij het account moeilijk over te nemen is, een overdracht een code vereist, antwoorden zijn ondertekend en certificaten worden bewaakt. Wardmint leest het openbare dossier zo dat het account en het supportpad het doelwit zijn in de zeven incidenten die het bijhoudt. Die eerst beveiligen en daarna DNSSEC en CAA toevoegen, is de volgorde die bij het bewijs past. Wardmint verkoopt de registraties en de DNS-tools; gratis DNS-hosting met A-, AAAA-, CNAME-, ALIAS-, MX-, TXT-, NS-, SRV- en CAA-records, beheerde DNSSEC en desgewenst uw eigen nameservers (2 tot 13). Het verkoopt geen monitoring, dus de gratis tools in de monitoringgids dekken die stap.