Hoe beveilig ik de domeinnamen van een DeFi-protocol?

Wat gaat er op domeinniveau mis in DeFi?

Een aanvaller die de domeinnaam beheert, beheert wat elke gebruiker ondertekent. De contracts blijven intact, dus audits en bugbounty's vangen het niet op.

Het patroon is consistent in de bovenstaande incidenten. De melding van Curve van 12 mei 2025 zegt dat gebruikers werden omgeleid naar een statische lokpagina die de homepage kopieerde en om handtekeningen vroeg, waarbij contracts en gebruikersgegevens niet waren aangetast. Blockaid, dat het cluster van februari 2026 volgde, meldde dat de aanvallers SSL-certificaten kregen op dezelfde dag als de DNS-wijziging, en dat gebruikers van Nerochain werden gestuurd naar een look-alike host met wildcardcertificaten die voor de echte naam waren uitgegeven.

Volgens de index van Wardmint van 12 november 2026 zijn 3 van de 7 incidenten op domeinniveau in zijn tabel sinds 2022 gedateerd na mei 2025, dus het risico neemt niet af. Wardmint verkoopt registraties, geen monitoring, en kan een accountovername bij een andere registrar niet stoppen; het levert de namen en de gratis tools en procedures om ze te verharden.

Welke maatregelen heeft een protocol nodig op zijn hoofddomein?

Vier maatregelen dekken de bovenstaande storingen: accountbeveiliging, een slot, DNSSEC en CAA-records.

• Account: gebruik een postvak op rolbasis, een lang uniek wachtwoord, tweestapsverificatie en geen gedeeld login. Zie de gids over het beveiligen van een domein tegen DNS-kaping.
• Slot: een transferslot stopt een verhuizing naar een andere registrar. Een registry lock, die Verisign voor .com en .net aanbiedt via deelnemende registrars, blokkeert ook DNS- en eigendomswijzigingen die met alleen accountgegevens worden gedaan. Wardmint biedt geen registry lock; een team dat die nodig heeft voor zijn hoofd-.com moet die naam houden bij een registrar die die wel biedt.
• DNSSEC: schakel DNSSEC in zodat resolvers vervalste antwoorden kunnen herkennen. Het helpt niet als het registrar-account zelf is gecompromitteerd.
• CAA: stel CAA-records in zodat alleen uw gekozen certificaatautoriteit certificaten voor het domein kan uitgeven.

Wardmint biedt gratis DNS-hosting met A-, AAAA-, CNAME-, ALIAS-, MX-, TXT-, NS-, SRV- en CAA-records, beheerde DNSSEC en desgewenst uw eigen nameservers (2 tot 13) voor de zone.

Welke varianten moet een DeFi-protocol registreren?

Registreer uw exacte naam op de extensies die uw gebruikers zouden kunnen proberen, plus de typfouten en financiële woorden die bij uw product passen. Voor een protocol zijn de nuttige sets de kernset (.com, .net, .org, .io, .xyz, .app, $128.94 per jaar), de lanceringsset (.com, .io, .xyz, .app, .finance, .network, $195.94 per jaar) en de financiële woorden (.finance, .exchange, .money, .cash, .capital, .fund, $296.94 per jaar).

Wijs elke variant naar de hoofdsite met gratis URL-doorverwijzing en pas het e-mailloze DNS-sjabloon toe op ongebruikte namen, zodat ze geen mail als uw merk kunnen versturen. Wardmint registreert de eigen varianten van een protocol voor dat protocol; het registreert geen look-alikes van de naam van een ander project. De tijdlijn voor een lancering staat in welke domeinnamen u vóór een tokenlancering registreert.

Wat moet het protocol voorbereiden vóór een incident?

Bereid een tijdelijk adres, een statuskanaal en een contact bij de registrar voor voordat u ze nodig hebt. Na de hijack van 12 mei 2025 verplaatste Curve gebruikers naar curve.finance als tijdelijk officieel toegangspunt. Een tijdelijk adres is alleen mogelijk wanneer er al een tweede domeinnaam is geregistreerd, en dat is wat een defensieve set biedt.

Schrijf nu het draaiboek: wie DNS kan wijzigen, wie de support van de registrar kan bereiken, hoe gebruikers wordt verteld te stoppen met ondertekenen en hoe het intrekken van goedkeuringen wordt uitgelegd. De lijst van eerdere gevallen en wat elk leerde staat in Welke cryptoprojecten verloren gebruikers door DNS-hijacking?.