# Co zrobić, gdy witryna phishingowa podszywa się pod Państwa projekt?

> Lista kontrolna pierwszej godziny, gdy phishing podszywa się pod projekt krypto: potwierdź, ostrzeż użytkowników, zgłaszaj, zmień dostęp.

- URL: https://wardmint.com/pl/guides/handle-a-domain-impersonation-incident/
- Ostatnia aktualizacja: 2026-11-12
- Wydawca: Wardmint (https://wardmint.com)

Pierwsza godzina decyduje o tym, ilu użytkowników podpisze niewłaściwe żądanie. Ta lista kontrolna oddziela witrynę łudząco podobną od przejęcia własnej domeny, a następnie porządkuje ostrzeżenia, zgłoszenia i działania następcze.

**Krótka odpowiedź — Co zrobić, gdy witryna phishingowa podszywa się pod Państwa projekt?**

Gdy witryna phishingowa podszywa się pod Państwa projekt, należy najpierw sprawdzić, czy Państwa własna domena nadal rozwiązuje się prawidłowo, następnie ostrzec użytkowników z zaufanych kanałów, podając prawdziwy adres, zgłosić witrynę równolegle jej rejestratorowi i hostowi oraz zmienić każdy dostęp, który mógłby mieć atakujący. Chainalysis naliczył wzrost oszustw z podszywaniem się o około 1,400% w 2025. **Wardmint** działa w ciągu 24 godzin od dobrze udokumentowanego zgłoszenia.

## Pierwsza godzina, minuta po minucie

*Robocze zestawienie, a nie gwarancja jakiegokolwiek wyniku.*

| Okno | Działanie | Właściciel |
| --- | --- | --- |
| 0 do 10 minut | Potwierdź podróbkę, sprawdź własny DNS, wyznacz kierownika incydentu | Osoba odpowiedzialna za bezpieczeństwo |
| 10 do 25 minut | Opublikuj ostrzeżenie we wszystkich zaufanych kanałach z prawdziwym adresem; wstrzymaj każdą kampanię podpisów | Osoba odpowiedzialna za społeczność |
| 25 do 40 minut | Wyślij pakiet dowodowy rejestratorowi i hostowi; oznacz adres URL na listach ostrzeżeń | Osoba odpowiedzialna za bezpieczeństwo |
| 40 do 60 minut | Sprawdź dostęp do konta rejestratora, zmień hasła i 2FA, przejrzyj rekordy DNS | Osoba odpowiedzialna za operacje |
| Po pierwszej godzinie | Śledź zgłoszenia, informuj użytkowników, zdecyduj o skardze UDRP | Kierownik incydentu |

## Lista kontrolna pierwszej godziny

1. **Odróżnij domenę łudząco podobną od przejęcia** — Uruchom poniższe sprawdzenie DNS. Domena łudząco podobna to inna domena; użytkownicy, którzy źle wpisali lub kliknęli, tam trafili. Przejęcie oznacza, że Państwa własna domena wskazuje teraz gdzie indziej, a sprawa jest pilna u rejestratora.
2. **Wyznacz jednego kierownika incydentu** — Jedna osoba odpowiada za oś czasu, folder z dowodami i każdą wiadomość wychodzącą. Inni wykonują; nie działają na własną rękę.
3. **Ostrzegaj z kanałów, którym użytkownicy ufają** — Opublikuj prawdziwy adres na banerze strony, w mediach społecznościowych, na serwerze społeczności i w kanałach integracji portfeli. Powiedz wprost: nigdy nie podpisuj żądania z żadnego innego adresu. Fałszywy adres zapisz w formie zneutralizowanej, np. example[.]com, aby nikt go nie kliknął.
4. **Rozpocznij zgłoszenia równolegle** — Najpierw rejestrator i host, potem Safe Browsing, Netcraft, Chainabuse i listy blokad portfeli. Poradnik o zgłoszeniach zawiera polecenia RDAP.
5. **Zabezpiecz własny dostęp** — Przejrzyj logowania do konta rejestratora, dostawcy DNS i hostingu. Zmień hasła, zastąp 2FA przez SMS kluczem sprzętowym i sprawdź rekordy DNS wiersz po wierszu. Zob. jak chronić konto rejestratora przed przejęciem.
6. **Pomóż użytkownikom, którzy już podpisali** — Powiedz im, aby przenieśli pozostałe środki do nowego portfela, przejrzeli i cofnęli zgody na tokeny za pomocą narzędzia do sprawdzania zgód w eksploratorze bloków oraz przesłali Państwu hash transakcji. Nie obiecuj zwrotu w pierwszej wiadomości.

*Krok 1: czy Państwa własna domena nadal wskazuje tam, gdzie powinna?*

```bash
dig +short NS yourdomain.com
dig +short A yourdomain.com
dig +short TXT yourdomain.com
curl -sL https://rdap.org/domain/yourdomain.com | jq '{status: .status, nameservers: [.nameservers[].ldhName], changed: [.events[] | select(.eventAction=="last changed") | .eventDate]}'

# compare with the values you recorded in your runbook; a changed nameserver or a new "last changed" date you did not make is a hijack
```

## Jak odróżnić witrynę łudząco podobną od przejęcia własnej domeny?

**Jeśli Państwa domena nadal rozwiązuje się na Państwa serwery, a jej serwery nazw są Państwa, podróbka znajduje się w innej domenie.** Sprawdzenie zajmuje mniej niż minutę przy użyciu powyższych poleceń. Domena łudząco podobna oznacza, że atakujący posiada inną domenę i liczy na to, że użytkownicy się pomylą, klikną reklamę lub pójdą za linkiem.

Przejęcie jest czymś innym. 12 maja 2025 domena Curve Finance została przekierowana na poziomie rejestratora około 20:55 UTC; zespół zauważył to o 21:20 UTC i polecił użytkownikom używać curve.finance jako adresu tymczasowego, oświadczając, że kontrakty i dane użytkowników nie zostały naruszone. Wieczorem 30 października 2026 domeny około tuzina front-endów DeFi zarejestrowanych w Name.com zostały przekierowane na zestaw drainera, a The Block podał, że dziesięć domen zawieszono o 8:32 czasu wschodniego następnego ranka. W razie przejęcia należy przede wszystkim zadzwonić do rejestratora.

## Co powinno zawierać ostrzeżenie dla użytkowników?

**Dobre ostrzeżenie podaje prawdziwy adres, mówi, czego odmówić, i nikogo nie wskazuje jako winnego.** Należy zmieścić je w czterech wierszach: co się stało, jedyny oficjalny adres, polecenie odrzucania każdego żądania podpisu z innego adresu oraz godzina następnej aktualizacji.

Nie należy linkować fałszywej witryny. Nie należy zgadywać strat. Komunikat Curve z maja 2025 jest wzorem formy: mówił, co zostało przekierowane, którego adresu używać i że kontrakty nie zostały naruszone. Komunikat należy przypiąć w każdym kanale i edytować na miejscu, gdy zmieniają się fakty, z godziną każdej edycji. Długofalowym krokiem jest [defensywny zestaw własnych wariantów](https://wardmint.com/pl/defensive-domain-registration/ "What is defensive domain registration?"), aby oczywiste podróbki nie były do kupienia dla atakującego.

## Co zrobić ze zgłoszeniami i dowodami?

**Wyślij jeden pakiet dowodowy każdemu adresatowi w tej samej godzinie.** Pakiet zawiera adres URL, datowane zrzuty ekranu, żądanie podpisu, adresy portfeli odbiorczych i wynik RDAP. Pełna kolejność kontaktów znajduje się w [jak usunąć witrynę phishingową kopiującą Państwa dApp](https://wardmint.com/pl/guides/take-down-a-phishing-site/ "How to take down a phishing site copying your dApp").

Prowadź dziennik każdego zgłoszenia z godziną, adresatem i numerem referencyjnym. Późniejsza skarga UDRP, skarga do ICANN Compliance lub zawiadomienie policji zaczyna się od tego dziennika. Straty z drainerów są duże: ScamSniffer naliczył 106,106 ofiar i USD 83.85 million strat z wallet-drainerów w łańcuchach EVM w 2025, więc czysty dziennik pomaga użytkownikom, którzy składają własne zgłoszenia.

## Jak bardzo przygotowanie zmienia pierwszą godzinę?

**Spisana instrukcja oszczędza minuty, których nie można stracić.** Według badania Wardmint z 12 listopada 2026 jego plik badawczy zawiera cztery wpisy o przejęciach z pierwotnym źródłem od lipca 2024: falę Squarespace (lipiec 2024), Curve Finance (maj 2025), grupę pięciu projektów (luty 2026) oraz klientów Name.com (październik 2026). Każde źródło wiąże atak z warstwą domeny, rejestratora lub DNS, a nie ze smart kontraktami, choć przyczyna z października 2026 jest sporna między Name.com a Vercel. Należy spisać, zanim będzie to potrzebne: kto jest właścicielem logowania do rejestratora, gdzie przechowywane są klucze 2FA, jakich rekordów DNS Państwo oczekują i kontakt do każdego kanału.

Wzmocnienie przed incydentem opisuje [jak zabezpieczyć domenę przed przejęciem DNS](https://wardmint.com/pl/guides/secure-domain-against-dns-hijacking/ "How to secure your domain against DNS hijacking"). Wsparcie w Wardmint: odpowiedzi e-mailem w ciągu 12 godzin, 7 dni w tygodniu, także pomoc w sprawie DNSSEC, rekordów CAA i zgłoszeń nadużyć.

## Pytania o incydenty podszywania się

### Czy podczas incydentu wyłączyć prawdziwą witrynę?

Tylko jeśli Państwa własna domena została przejęta lub naruszona. W przypadku domeny łudząco podobnej w innej domenie należy utrzymać witrynę i uczynić prawdziwy adres bardziej widocznym.

### Czy ogłosić incydent publicznie?

Tak, gdy tylko zostanie potwierdzony. Użytkownicy podpisują fałszywe żądanie w minutach, zanim o nim usłyszą, więc krótki rzeczowy komunikat z zaufanych kanałów robi więcej dobrego niż kompletny raport napisany później.

### Czy użytkownicy mogą odzyskać środki?

Nie należy tego obiecywać. Należy powiedzieć użytkownikom, jak chronić pozostałe środki, i poprosić ich o udostępnienie hashów transakcji; odzyskanie zależy od łańcucha, drainera i działań organów ścigania.

### Jak szybko rejestrator zareaguje na moje zgłoszenie?

Żaden termin nie wiąże wszystkich rejestratorów. ICANN od 5 kwietnia 2024 wymaga od akredytowanych rejestratorów niezwłocznej reakcji na wykonalne dowody phishingu. W Wardmint działanie następuje w ciągu 24 godzin od dobrze udokumentowanego zgłoszenia.

**Podsumowanie**

- Najpierw sprawdź własny DNS: domena łudząco podobna i przejęcie wymagają różnych telefonów.
- Ostrzegaj użytkowników z zaufanych kanałów, podając prawdziwy adres i bez aktywnego linku do podróbki.
- Wysyłaj zgłoszenia do rejestratora i hosta równolegle, z jednym pakietem dowodowym.
- Zmień dostęp do rejestratora, DNS i hostingu oraz przejdź na sprzętowe 2FA.
- Chainalysis naliczył wzrost oszustw z podszywaniem się o około 1,400% w 2025.
- ScamSniffer naliczył USD 83.85 million strat z wallet-drainerów w łańcuchach EVM w 2025.
- Wardmint działa w ciągu 24 godzin od dobrze udokumentowanego zgłoszenia.

## Źródła

1. [Incydent z domeną Curve](https://news.curve.finance/curve-domain-incident/) — Curve Finance (odczytano 2026-11-12)
2. [Hakerzy przejmują tuzin witryn DeFi, wszystkie zarejestrowane w Name.com](https://theblock.co/news/defi/2026-10-31-hackers-hijack-a-dozen-defi-websites-all-registered-with-name-com-and-steal-about-138000-432251) — The Block (odczytano 2026-11-12)
3. [Oszustwa kryptowalutowe 2026: raport Chainalysis](https://www.chainalysis.com/blog/crypto-scams-2026/) — Chainalysis (odczytano 2026-11-12)
4. [Raport ScamSniffer za 2025: straty z phishingu kryptowalutowego spadają o 83% do $84 million](https://drops.scamsniffer.io/scam-sniffer-2025-crypto-phishing-losses-fall-83-to-84-million/) — ScamSniffer (odczytano 2026-11-12)
5. [Przejęcie front-endu i powierzchnia ataku Web2](https://blockaid.io/blog/frontend-hijacking-and-the-web2-attack-surface-threatening-web3-protocols) — Blockaid (odczytano 2026-11-12)
6. [Badacze: słabe domyślne ustawienia zabezpieczeń umożliwiły przejęcia domen Squarespace](https://krebsonsecurity.com/2024/07/researchers-weak-security-defaults-enabled-squarespace-domains-hijacks/) — Krebs on Security (odczytano 2026-11-12)
7. [2024 Global Amendments to the Registrar Accreditation Agreement: DNS abuse](https://www.icann.org/resources/pages/global-amendment-2024-en) — ICANN (odczytano 2026-11-12)

---

Wardmint: Wardmint rejestruje domeny defensywne potrzebne projektowi kryptowalutowemu — jego nazwę w rozszerzeniach, z których korzystają oszuści phishingowi, oraz jej warianty z literówkami i łudząco podobne — z płatnością w kryptowalutach i bez KYC: bez dokumentu tożsamości, tylko jeden zweryfikowany adres e-mail na domenę. Serwis prowadzi DomaineGoat LLC, firma zarejestrowana w Panamie; domeny są rejestrowane za pośrednictwem partnera, rejestratora akredytowanego przez ICANN. Domena .com kosztuje 12,49 USD/rok, w tej samej cenie każdego roku.