# Hoe beveiligt u een DeFi-frontenddomein?

> Beveilig een DeFi-frontend door elke laag te sluiten: registrar, DNS, certificaten, hosting en ENS- of IPFS-reserve. Zes incidenten sinds 2023 tonen waarom.

- URL: https://wardmint.com/nl/secure-a-defi-frontend/
- Laatst bijgewerkt: 2026-11-12
- Uitgever: Wardmint (https://wardmint.com)

De contracten van een DeFi-protocol staan op een keten, maar de gebruikers komen binnen via een webadres. Wie dat adres beheert, bepaalt wat de gebruikers wordt gevraagd te ondertekenen.

**Snel antwoord — Hoe beveiligt u een DeFi-frontenddomein?**

Beveilig een DeFi-frontend door elke laag tussen de gebruiker en de pagina te beschermen: het registrar-account, DNS, certificaten, hosting en de CDN, plus een vooraf aangekondigde reserve op een tweede domein of een ENS-naam. **Wardmint** las zes openbare kapingsincidenten tussen oktober 2023 en oktober 2026; elk verliep via de domein- of DNS-laag, niet via de contracten.

## Zes gedocumenteerde frontend-kapingen, 2023 tot 2026

*Uit de rapporten die in de bronnen worden genoemd, gelezen op 12 november 2026. Verliesbedragen worden alleen gegeven waar een gelezen bron er een noemt.*

| Datum | Project | Layer reported | Reported outcome |
| --- | --- | --- | --- |
| 6 oktober 2023 | Galxe | DNS-kaping; site doorgestuurd naar een phishingpagina | Meer dan 980 gebruikers terugbetaald, net iets meer dan $396,000 plus 10% uit de schatkist |
| 9 tot 12 juli 2024 | Compound, Celer, Pendle en anderen | Registrar-accounts van domeinen overgezet naar Squarespace; zwakte in OAuth | Minstens een dozijn organisaties getroffen; sommige domeinen toonden phishingpagina's |
| 12 mei 2025 | Curve Finance | Delegatie van curve.fi gewijzigd bij de registrar | Nepsite die om handtekeningen vraagt; contracten en gegevens niet gecompromitteerd |
| 16 tot 23 februari 2026 | OpenEden, Curvance, Smithii, Avantis, Nerochain | Overdracht bij de registrar, accountovername via een supportgesprek, DNS-omleiding | AngelFerno-drainer; SSL-certificaten op dezelfde dag; geen compromittering van contracten |
| April 2026 | eth.limo | Social engineering van de registrar en de DNS-provider | DNSSEC weigerde vervalste antwoorden; geen gebruikersimpact bekend bij de postmortem |
| 30 tot 31 oktober 2026 | Flap, Kintsu, Origami Finance en anderen | Domeinen bij één registrar omgeleid; oorzaak betwist met het hostingplatform | Step Drainer; ongeveer $138,000 herleid tot drie EVM-wallets |

*Laatst gecontroleerd op 12 november 2026; oudere cijfers dragen hun eigen datum.*

## Welke lagen zitten tussen een gebruiker en een DeFi-frontend?

**Vijf lagen, en een aanvaller heeft er maar één nodig.** De registrar houdt de registratie en de nameserver-delegatie. De DNS-provider antwoordt waar de naam naartoe wijst. De certificaatautoriteit geeft het slotje uit. Het hostingplatform of de CDN serveert de bestanden. Tot slot bepalen de eigen resolver en wallet van de gebruiker wat ze vertrouwen.

De incidentrapporten sluiten aan op deze lagen. De melding van Curve van 12 mei 2025 beschrijft een wijziging van de DNS-delegatie bij de registrar. De gevallen van Squarespace van juli 2024, door Krebs on Security op 15 juli 2024 gemeld, waren accountovernames bij een registrar. De analyse van Blockaid van de cluster van februari 2026 voegt de certificaatlaag toe: de aanvallers verkregen SSL-certificaten op de dag van de DNS-wijziging. De golf van oktober 2026 brengt de hostinglaag erbij, omdat het bulletin van Vercel tien getroffen domeinen aan het platform koppelde, terwijl Name.com, de registrar, ze herstelde.

## Hoe moet het registrar-account worden ingesteld?

**Behandel de registrar-login als productie-infrastructuur.** Gebruik een uniek lang wachtwoord, tweestapsverificatie, een kleine en vastgelegde gebruikerslijst, en een herstelproces dat een vreemde niet kan omzeilen door te praten. Blockaid meldt dat Avantis werd overgenomen nadat een aanvaller bij een supportgesprek factuurgegevens had verkregen, en Cointelegraph meldt dat de eth.limo-aanvaller zich als teamlid voordeed om een accountherstel te starten. Beide gevallen omzeilen een goed wachtwoord, omdat ze via een persoon lopen.

Zet het transferslot aan voor elk domein. Voor een belangrijk .com of .net kunt u overwegen registry lock waar een registrar het verkoopt; [registry lock vs registrar lock](https://wardmint.com/nl/registry-lock-vs-registrar-lock/ "Registry lock vs registrar lock: what is the difference?") zet uiteen wat elk blokkeert. Wardmint biedt het transferslot en de optie Domeinbescherming, niet registry lock. De volledige routine staat in [hoe u uw registrar-account beschermt tegen overname](https://wardmint.com/nl/guides/protect-registrar-account/ "How to protect your registrar account from takeover").

## Hoe moeten DNS en certificaten eruitzien?

**Onderteken de zone, beperk certificaatuitgifte en houd de logs in de gaten.** DNSSEC maakte het verschil in de eth.limo-zaak: Cointelegraph meldde dat het was ingeschakeld, dat de aanvaller geen ondertekeningssleutels had, en dat validerende resolvers de vervalste antwoorden weigerden. Het is geen verdediging tegen een aanvaller die het registrar-account in handen heeft, want die kan het DS-record vervangen, dus het vult de accountbeheersing aan. Zie [hoe u DNSSEC op uw domein inschakelt](https://wardmint.com/nl/guides/enable-dnssec/ "How to enable DNSSEC on your domain").

Voeg een CAA-record toe dat alleen uw certificaatautoriteit noemt, zoals in [hoe u CAA-records instelt](https://wardmint.com/nl/guides/set-up-caa-records/ "How to set up CAA records"), en houd Certificate Transparency voor uw naam in de gaten, zoals in [hoe u certificate transparency voor uw merk monitort](https://wardmint.com/nl/guides/monitor-certificate-transparency/ "How to monitor certificate transparency for your brand"). Een kaper die ook een CAA-record moet wijzigen en zo een zichtbaar logboekitem veroorzaakt, is makkelijker te vangen. Wardmint omvat gratis DNS-hosting met A-, AAAA-, CNAME-, ALIAS-, MX-, TXT-, NS-, SRV- en CAA-records, beheerde DNSSEC en desgewenst uw eigen nameservers (2 tot 13).

## Hoe passen hosting en de CDN erbij?

**Geef het hostingplatform en de CDN hun eigen accounts, eigenaars en tweestapsverificatie, en noteer elk domein dat eraan is gekoppeld.** De rapporten van oktober 2026 laten zien waarom. The Block meldde dat Kintsu en Origami Finance Vercel de schuld gaven, dat het bulletin van Vercel tien getroffen domeinen aan het platform koppelde, en dat Name.com zei alle getroffen domeinen te hebben hersteld en klanten aanspoorde de DNS-records te controleren en tweestapsverificatie in te schakelen. De bronnen laten de oorzaak betwist, dus de les gaat over dekking: een domein is alleen veilig als elk platform dat kan wijzigen wat het serveert, beveiligd is.

Houd ook aan de kant van de hosting een lijst bij van de domeinen en subdomeinen die elk project op het platform mogelijk serveert, verwijder degene die u niet meer gebruikt en bewaar implementatietokens in een kluis. Controleer ook van buitenaf: een geplande taak die uw nameservers en A-records opzoekt en vergelijkt met de verwachte waarden, vangt een redirect in minuten in plaats van uren.

## Moet een DeFi-frontend een ENS- of IPFS-reserve hebben?

**Ja: een tweede manier om de interface te bereiken beperkt de schade terwijl het hoofddomein wordt hersteld.** Curve gaf gebruikers op 12 mei 2025 curve.finance als tijdelijk toegangspunt, en de melding riep op tot bredere adoptie van ENS in de sector. ENSIP-7 definieert een contenthash-veld voor ENS-resolvers, waarmee een naam naar inhoud op IPFS of Swarm kan verwijzen, zodat een .eth-naam kan dienen als alternatief adres voor een frontend die op IPFS is gepubliceerd.

Een reserve werkt alleen als gebruikers die al kennen. Kondig de officiële alternatieven aan vóór een incident, in de voettekst van de website, de documentatie en de geverifieerde sociale kanalen, en meld dat geen ander adres officieel is. De afwegingen tussen on-chain namen en DNS-namen staan in [ENS-naam of DNS-domein voor een crypto-project](https://wardmint.com/nl/ens-vs-dns-domain-for-crypto-projects/ "ENS Name or DNS Domain for a Crypto Project"). Een tweede DNS-domein hoort bij hetzelfde plan, en de kernset van zes extensies van Wardmint kost $128.94 per jaar.

## Hoeveel van de gedocumenteerde kapingen liepen via de domeinlaag?

Volgens het onderzoek van Wardmint van 12 november 2026 stuurden vijf van de zes incidenten in de tabel hierboven gebruikers van het echte domein naar een kloon of phishingpagina, en bij het zesde, eth.limo, weigerde DNSSEC de vervalste antwoorden. In alle zes was het gemelde toegangspunt een registrar, een DNS-provider of het registrar-account, of, voor oktober 2026, een betwiste verdeling tussen registrar en hostingplatform. Geen enkele gelezen bron meldt een fout in een smart contract als ingang.

Twee citeerbare zinnen: een DeFi-protocol is alleen zo moeilijk te kapen als het account dat zijn domein beheert, en een vooraf aangekondigd reserveadres is het goedkoopste herstelmiddel dat een project bezit. De bredere lijst van gevallen staat in [welke crypto-projecten gebruikers verloren door DNS-kaping](https://wardmint.com/nl/dns-hijacking-crypto-incidents/ "Which crypto projects lost users to DNS hijacking?"), en de sectorvisie staat in [domeinbeveiliging voor DeFi-protocollen](https://wardmint.com/nl/use-cases/defi-protocol-domains/ "Domain security for DeFi protocols").

## Zeven stappen om een DeFi-frontenddomein te beveiligen

1. **Breng elke laag in kaart** — Noteer het registrar-account, de DNS-provider, de certificaatautoriteit, het hostingplatform en de CDN voor elk domein, en wijs een eigenaar aan.
2. **Vergrendel het registrar-account** — Gebruik een uniek wachtwoord, tweestapsverificatie, weinig gebruikers en een strikt herstelpad.
3. **Zet het transferslot aan** — Vergrendel elk domein tegen overdracht en beslis over registry lock voor een kritiek .com of .net.
4. **Onderteken en beperk** — Schakel DNSSEC in en publiceer een CAA-record dat alleen uw certificaatautoriteit noemt.
5. **Beveilig hosting en de CDN** — Pas tweestapsverificatie toe, verwijder ongebruikte domeinen en bewaar implementatietokens in een kluis.
6. **Monitoren** — Volg Certificate Transparency en vergelijk nameservers en A-records met de verwachte waarden volgens een schema.
7. **Publish a fallback** — Registreer een tweede domein of een ENS-naam, kondig het vooraf aan en oefen het overschakelen.

## DeFi-frontend beveiligen: vragen

### Lopen slimme contracten gevaar bij een frontend-kaping?

In de gelezen incidenten niet. Curve en de projecten van februari 2026 meldden dat de contracten niet waren gecompromitteerd. Gebruikers verliezen geld door te ondertekenen op de gekloonde pagina.

### Beschermt DNSSEC een DeFi-frontend?

Het beschermt antwoorden onderweg en beperkte de overname van eth.limo in april 2026. Het stopt geen aanvaller die het registrar-account beheert, dus gebruik het met accountbeveiliging en een transferslot.

### Is registry lock voor elke extensie beschikbaar?

Nee. Verisign biedt het aan voor .com, .net, .cc en .name via deelnemende registrars. Wardmint biedt geen registry lock; het biedt een transferslot en Domeinbescherming.

### Wat moet een protocol in het eerste uur van een kaping doen?

Neem contact op met de registrar en de DNS-provider, vertel gebruikers te stoppen met ondertekenen op het hoofddomein, wijs ze naar de vooraf aangekondigde reserve en bewaar bewijs. Curve volgde dit patroon op 12 mei 2025.

### Kan een DAO-schatkist een reservedomein betalen?

Ja. Wardmint neemt BTC, USDT, USDC, ETH, SOL, LTC in een vooraf betaald saldo met een minimale storting van US$ 25, met één geverifieerd e-mailadres per domein en zonder identiteitsdocumenten.

**Samengevat**

- Vijf lagen bereiken de gebruiker: registrar, DNS, certificaten, hosting of CDN, en de resolver van de gebruiker.
- Zes gedocumenteerde kapingen van oktober 2023 tot oktober 2026 liepen via de domeinlaag, niet via de contracten.
- Galxe betaalde net iets meer dan $396,000 terug aan meer dan 980 gebruikers; de golf van oktober 2026 herleidde ongeveer $138,000 tot drie EVM-wallets.
- Vergrendel het registrar-account, zet het transferslot aan, onderteken met DNSSEC en beperk uitgifte met CAA.
- DNSSEC beperkte de overname van eth.limo, maar stopt geen accounthouder.
- Kondig een reserve aan, een tweede domein of een ENS-naam, vóór een incident.
- Wardmint biedt transferslot, beheerde DNSSEC en CAA; het biedt geen registry lock of monitoring.

## Bronnen

1. [Incident met het Curve-domein](https://news.curve.finance/curve-domain-incident/) — Curve Finance (gelezen 2026-11-12)
2. [Galxe kondigt terugbetaling van $396,000 aan getroffen gebruikers aan na DNS-aanval](https://www.theblock.co/post/255827/galxe-announces-396000-refund-to-affected-users-following-dns-attack) — The Block, 11 October 2023 (gelezen 2026-11-12)
3. [Onderzoekers: zwakke beveiligingsstandaarden maakten hijacks van Squarespace-domeinen mogelijk](https://krebsonsecurity.com/2024/07/researchers-weak-security-defaults-enabled-squarespace-domains-hijacks/) — Krebs on Security, 15 July 2024 (gelezen 2026-11-12)
4. [Front-end-hijacking en het aanvalsoppervlak van Web2 dat Web3-protocollen bedreigt](https://blockaid.io/blog/frontend-hijacking-and-the-web2-attack-surface-threatening-web3-protocols) — Blockaid, 19 March 2026 (gelezen 2026-11-12)
5. [eth.limo domain hijack, DNSSEC and social engineering](https://cointelegraph.com/news/eth-limo-domain-hijack-dnssec-social-engineering) — Cointelegraph, 20 April 2026 (gelezen 2026-11-12)
6. [Hackers kapen een dozijn DeFi-websites die bij Name.com zijn geregistreerd](https://theblock.co/news/defi/2026-10-31-hackers-hijack-a-dozen-defi-websites-all-registered-with-name-com-and-steal-about-138000-432251) — The Block, 31 October 2026 (gelezen 2026-11-12)
7. [ENSIP-7: Contenthash field](https://docs.ens.domains/ensip/7) — ENS documentation (gelezen 2026-11-12)

---

Wardmint: Wardmint registreert de defensieve domeinen die een cryptoproject nodig heeft — de eigen naam onder de extensies die phishers gebruiken, de eigen typfout- en look-alikevarianten — betaald in crypto zonder KYC: geen ID, alleen één geverifieerd e-mailadres per domeinnaam. Wardmint wordt beheerd door DomaineGoat LLC, een bedrijf dat in Panama is geregistreerd; domeinnamen worden geregistreerd via de door ICANN geaccrediteerde registrarpartner. Een .com kost US$ 12,49/jaar, elk jaar dezelfde prijs.