Jak zabezpieczyć domenę przed przejęciem DNS?

Czym jest przejęcie DNS i dlaczego uderza w frontendy kryptowalutowe?

Przejęcie DNS to nieuprawniona zmiana rekordów lub rejestracji, które mówią przeglądarkom, gdzie znajduje się domena. Atakujący nie dotyka Twoich smart kontraktów. Kieruje użytkowników Twojego prawdziwego adresu do kopii frontendu, która prosi o podpisy portfela.

Dlatego ten atak pasuje do kryptowalut. Użytkownik, który wpisze poprawny adres i zobaczy ważną kłódkę, nie ma powodu wątpić w stronę. Curve Finance poinformowało po incydencie z 12 maja 2025 r., że jego kontrakty i dane użytkowników nie zostały naruszone, a mimo to odwiedzający byli przekierowywani na statyczną atrapę, która prosiła o podpisy. Strata wynika z podpisu, a nie z błędu w kodzie.

Atakujący potrzebuje kontroli nad jedną z trzech rzeczy: kontem u rejestratora, które przechowuje domenę, dostawcą DNS, który obsługuje jej rekordy, albo ścieżką resolvera między użytkownikiem a serwerem. Ten poradnik obejmuje dwie pierwsze, bo to nimi zarządza projekt. Ochronie trzeciej służy DNSSEC, co wyjaśnia jak włączyć DNSSEC w swojej domenie.

Które prawdziwe incydenty pokazują, jak dochodzi do przejęć?

Publiczne incydenty od 2022 r. pokazują, że atakujący działają przez konta i pracowników supportu, a nie przez kryptografię. Powyższa tabela je wymienia, a schemat się powtarza.

Według zestawienia Wardmint z 12 listopada 2026 r. tabela incydentów w jego badaniu zawiera siedem wpisów z okresu od sierpnia 2022 r. do października 2026 r. (dwa razy Curve, Balancer, Galxe, fala Squarespace z lipca 2024 r., klaster z lutego 2026 r. i fala z października 2026 r.), a każdy z nich dotyczył domeny, dostawcy DNS albo konta u rejestratora. Pełną listę ze źródłami znajdziesz w które projekty kryptowalutowe straciły użytkowników przez przejęcie DNS.

Jak zablokować konto u rejestratora?

Traktuj konto u rejestratora jak klucz do całego frontendu i zabezpiecz je najsilniejszym logowaniem, jakie masz. Użyj hasła długiego, losowego i nieużywanego nigdzie indziej oraz włącz uwierzytelnianie dwuskładnikowe. Przechowuj dane logowania w menedżerze haseł lub sprzętowym sejfie, a nie we wspólnym czacie.

Ogranicz liczbę osób, które mogą się zalogować. Wskaż jednego właściciela i jedną osobę zapasową, zapisz, kto posiada które dane dostępowe, i odbieraj dostęp w dniu, w którym ktoś odchodzi z zespołu. Utrzymuj ścieżkę odzyskiwania równie rygorystyczną jak logowanie: konto chronione dwuskładnikowo, które pracownik supportu może zresetować na prośbę, jest tak silne, jak lista kontrolna tego pracownika. W przypadkach Balancera i Avantis w grę wchodził człowiek po stronie dostawcy.

Pełna procedura, w tym rozpoznawanie phishingu na loginy do rejestratora, znajduje się w jak chronić konto u rejestratora przed przejęciem. W Wardmint odpowiedzi e-mailem w ciągu 12 godzin, 7 dni w tygodniu, także pomoc w sprawie DNSSEC, rekordów CAA i zgłoszeń nadużyć, więc poproś support o pomoc przy każdym z tych ustawień.

Co zatrzymuje blokada transferu, a co blokada rejestru?

Blokada transferu zapobiega przeniesieniu domeny do innego rejestratora; blokada rejestru idzie dalej i blokuje zmiany w samym rejestrze. To dwie różne warstwy i projekt może mieć jedną bez drugiej.

Blokada transferu to status po stronie rejestratora clientTransferProhibited. Zapobiega nieautoryzowanemu transferowi, ale nie zatrzymuje edycji rekordów DNS w hostingu DNS rejestratora. Wardmint oferuje blokada transferu, którą włączasz lub wyłączasz dla każdej domeny w panelu klienta; kod transferu (EPP) również tam zamówisz.

Blokada rejestru, oferowana dla .com i .net przez Verisign za pośrednictwem uczestniczących rejestratorów, dodaje weryfikację poza kanałem, dzięki czemu zmiany serwerów nazw, transferu i właściciela nie mogą być wykonane samymi danymi konta. Rejestratorzy zwykle pobierają za nią około USD 100–600 rocznie, według danych z DomainNameWire i strony resellera, które są nieaktualne i niezweryfikowane. Wardmint nie oferuje blokady rejestru. Zamiast tego oferuje blokadę transferu oraz Ochronę domeny za +29 USD/rok na domenę, gdzie domena jest zarejestrowana na DomaineGoat LLC, objęta blokadą transferu, a każda skarga na nią jest czytana przez człowieka przed jakimkolwiek działaniem. Różnica jest wyjaśniona w blokada rejestru a blokada rejestratora.

Czy DNSSEC i rekordy CAA zapobiegają przejęciu?

DNSSEC i CAA ograniczają szkody po przejęciu; nie powstrzymają atakującego, który ma Twoje konto. DNSSEC podpisuje Twoje rekordy, aby resolver mógł odrzucić sfałszowane odpowiedzi na ścieżce. Atakujący, który zaloguje się do rejestratora, może zastąpić rekord DS lub serwery nazw, więc podpis chroni wtedy dane atakującego.

Rekordy CAA wskazują urzędy certyfikacji uprawnione do wystawiania certyfikatów dla Twojej domeny. Definiuje je RFC 8659. Mają znaczenie, ponieważ atakujący z lutego 2026 r. uzyskali certyfikaty tego samego dnia co zmiana DNS; rekord CAA wskazujący tylko Twój urząd zmusza ich do jego zmiany w pierwszej kolejności, co może wychwycić alert. Żadne z tych zabezpieczeń nie zastępuje zablokowanego konta, a każde to kilka minut pracy. Składnię opisuje jak skonfigurować rekordy CAA.

Jak zauważyć przejęcie w ciągu kilku minut?

Obserwuj dwa publiczne ślady, które zostawia każde przejęcie: nowy certyfikat i zmienioną odpowiedź DNS. Dzienniki Certificate Transparency pokazują każdy publicznie zaufany certyfikat wystawiony dla Twojej nazwy, a bezpłatne wyszukiwanie lub strumień szybko ujawnia nieoczekiwany. Zaplanowane sprawdzenie, które porównuje Twoje serwery nazw i rekordy A z oczekiwanymi wartościami, wychwytuje samą zmianę.

Przygotuj reakcję, zanim będzie potrzebna. Miej z góry ogłoszony alternatywny oficjalny adres, krótką wiadomość gotową dla kanałów społecznościowych i pilny kontakt do rejestratora. Curve użyło curve.finance jako tymczasowego punktu dostępu 12 maja 2025 r., co pokazuje wartość posiadania drugiej domeny pod własną kontrolą. Zestaw obronny zarejestrowany z wyprzedzeniem daje Ci ten drugi adres; .com, .net, .org, .io, .xyz, .app kosztuje w Wardmint $128.94 rocznie.

Jaka jest wersja skrócona?

Domena odporna na przejęcie to taka, w której konto trudno przejąć, transfer wymaga kodu, odpowiedzi są podpisane, a certyfikaty obserwowane. Wardmint odczytuje publiczny zapis tak, że w siedmiu śledzonych incydentach celem było konto i jego ścieżka supportu. Zabezpieczenie ich najpierw, a potem dodanie DNSSEC i CAA, to kolejność zgodna z dowodami. Wardmint sprzedaje rejestracje i narzędzia DNS; bezpłatny hosting DNS z rekordami A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV i CAA, zarządzany DNSSEC oraz własne serwery nazw, jeśli wolisz (od 2 do 13). Nie sprzedaje monitoringu, więc ten krok pokrywają bezpłatne narzędzia z poradnika o monitorowaniu.