Krótka odpowiedź
Jak zabezpieczyć domenę frontendu DeFi?
Zabezpiecz frontend DeFi, chroniąc każdą warstwę między użytkownikiem a stroną: konto rejestratora, DNS, certyfikaty, hosting i CDN, plus wcześniej ogłoszoną rezerwę na drugiej domenie lub nazwie ENS. Wardmint odczytał sześć publicznych incydentów przejęcia między październikiem 2023 a październikiem 2026; każdy przeszedł przez warstwę domeny lub DNS, a nie przez kontrakty.
Sześć udokumentowanych przejęć frontendów, 2023 do 2026
| Data | Projekt | Layer reported | Reported outcome |
|---|---|---|---|
| 6 października 2023 | Galxe | Przejęcie DNS; strona przekierowana na stronę phishingową | Ponad 980 użytkowników otrzymało zwrot nieco ponad $396,000 plus 10% ze skarbca |
| 9 do 12 lipca 2024 | Compound, Celer, Pendle i inne | Konta rejestratorów domen przeniesione do Squarespace; słabość OAuth | Co najmniej tuzin organizacji; niektóre domeny pokazywały strony phishingowe |
| 12 maj 2025 | Curve Finance | Delegacja curve.fi zmieniona u rejestratora | Strona-atrapa prosząca o podpisy; kontrakty i dane nienaruszone |
| 16 do 23 lutego 2026 | OpenEden, Curvance, Smithii, Avantis, Nerochain | Przeniesienie u rejestratora, przejęcie konta przez obsługę telefoniczną, przekierowanie DNS | Drainer AngelFerno; certyfikaty SSL tego samego dnia; bez naruszenia kontraktów |
| April 2026 | eth.limo | Socjotechnika wobec rejestratora i dostawcy DNS | DNSSEC odrzucił sfałszowane odpowiedzi; brak znanego wpływu na użytkowników w raporcie poincydentalnym |
| 30 do 31 października 2026 | Flap, Kintsu, Origami Finance i inni | Domeny u jednego rejestratora przekierowane; przyczyna sporna z platformą hostingową | Step Drainer; około $138,000 prześledzone do trzech portfeli EVM |
Ostatnio sprawdzono ; starsze dane mają własną datę
Które warstwy stoją między użytkownikiem a frontendem DeFi?
Pięć warstw, a atakującemu wystarczy jedna z nich. Rejestrator trzyma rejestrację i delegację serwerów nazw. Dostawca DNS odpowiada, dokąd wskazuje nazwa. Urząd certyfikacji wydaje kłódkę. Hosting lub CDN serwuje pliki. Wreszcie własny resolver i portfel użytkownika decydują, czemu ufać.
Raporty o incydentach układają się w te warstwy. Zawiadomienie Curve z 12 maja 2025 opisuje zmianę delegacji DNS u rejestratora. Przypadki przejęcia Squarespace z lipca 2024, opisane przez Krebs on Security 15 lipca 2024, były przejęciami kont u rejestratora. Analiza Blockaid dla lutowej grupy z 2026 dodaje warstwę certyfikatów: atakujący uzyskali certyfikaty SSL tego samego dnia co zmiana DNS. Fala z października 2026 wprowadza warstwę hostingu, bo biuletyn Vercel powiązał dziesięć dotkniętych domen z jego platformą, podczas gdy Name.com, rejestrator, je przywrócił.
Jak należy ustawić konto rejestratora?
Traktuj login do rejestratora jak infrastrukturę produkcyjną. Używaj długiego unikalnego hasła, uwierzytelniania dwuskładnikowego, małej i rejestrowanej listy użytkowników oraz procesu odzyskiwania, którego nieznajomy nie przejdzie rozmową. Blockaid podaje, że Avantis został przejęty po tym, jak atakujący uzyskał dane rozliczeniowe w rozmowie z pomocą techniczną, a Cointelegraph podaje, że atakujący eth.limo podszył się pod członka zespołu, by rozpocząć odzyskiwanie konta. Oba przypadki omijają dobre hasło, bo przechodzą przez człowieka.
Włącz blokadę transferu dla każdej domeny. Dla głównej .com lub .net rozważ registry lock tam, gdzie rejestrator go sprzedaje; registry lock a blokada rejestratora wyjaśnia, co blokuje każda z nich. Wardmint oferuje blokadę transferu i opcję Domain protection, a nie registry lock. Pełną procedurę opisuje jak chronić konto rejestratora przed przejęciem.
Jak powinny wyglądać DNS i certyfikaty?
Podpisz strefę, ogranicz wydawanie certyfikatów i obserwuj logi. DNSSEC zrobił różnicę w przypadku eth.limo: Cointelegraph podał, że był włączony, atakujący nie miał kluczy podpisujących, a resolwery odrzuciły sfałszowane odpowiedzi. Nie jest obroną przed atakującym, który ma konto rejestratora, bo ta osoba może zastąpić rekord DS, więc uzupełnia kontrole konta. Zobacz jak włączyć DNSSEC dla domeny.
Dodaj rekord CAA wskazujący tylko Twój urząd certyfikacji, jak w jak ustawić rekordy CAA, i obserwuj Certificate Transparency dla swojej nazwy, jak w jak monitorować Certificate Transparency dla swojej marki. Atakującego, który musi też zmienić rekord CAA i zostawia widoczny wpis w logu, łatwiej złapać. Wardmint obejmuje bezpłatny hosting DNS z rekordami A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV i CAA, zarządzany DNSSEC oraz własne serwery nazw, jeśli wolisz (od 2 do 13).
Jak hosting i CDN się w to wpisują?
Daj platformie hostingowej i CDN własne konta, właścicieli i uwierzytelnianie dwuskładnikowe oraz wypisz każdą domenę do nich przypiętą. Raporty z października 2026 pokazują dlaczego. The Block zapisał, że Kintsu i Origami Finance obwiniły Vercel, a biuletyn Vercel powiązał dziesięć dotkniętych domen z jego platformą; Name.com podało, że przywróciło wszystkie dotknięte domeny i zaleciło klientom sprawdzenie rekordów DNS oraz włączenie uwierzytelniania dwuskładnikowego. Źródła pozostawiają przyczynę sporną, więc lekcja dotyczy zakresu: domena jest bezpieczna tylko wtedy, gdy zabezpieczona jest każda platforma, która może zmienić to, co serwuje.
Na hostingu prowadź listę domen i subdomen, które projekt może obsługiwać na platformie, usuwaj nieużywane i trzymaj tokeny wdrożeniowe w skarbcu. Sprawdzaj też z zewnątrz: zaplanowane zadanie, które odpytuje Twoje serwery nazw i rekordy A i porównuje je z oczekiwanymi wartościami, wychwyci przekierowanie w minuty, a nie w godziny.
Czy frontend DeFi powinien mieć rezerwę ENS lub IPFS?
Tak: drugi sposób dotarcia do interfejsu ogranicza szkody, dopóki główna domena jest odzyskiwana. Curve dało użytkownikom curve.finance jako tymczasowy punkt dostępu 12 maja 2025, a jego zawiadomienie wzywało do szerszego przyjęcia ENS w branży. ENSIP-7 definiuje pole contenthash dla resolwerów ENS, które pozwala nazwie wskazywać treść na IPFS lub Swarm, więc nazwa .eth może służyć jako alternatywny adres dla frontendu opublikowanego na IPFS.
Rezerwa działa tylko wtedy, gdy użytkownicy już ją znają. Ogłoś oficjalne alternatywy przed incydentem: w stopce strony, w dokumentacji i na zweryfikowanych kanałach społecznościowych, i zaznacz, że żaden inny adres nie jest oficjalny. Kompromisy między nazwami onchain a nazwami DNS opisuje ENS czy domena DNS dla projektu crypto. Druga domena DNS jest częścią tego samego planu, a podstawowy zestaw sześciu rozszerzeń Wardmint kosztuje $128.94 rocznie.
Ile z udokumentowanych przejęć przeszło przez warstwę domeny?
Według badania Wardmint z 12 listopada 2026 pięć z sześciu incydentów z tabeli powyżej skierowało użytkowników prawdziwej domeny na klon lub stronę phishingową, a w szóstym, eth.limo, DNSSEC odrzucił sfałszowane odpowiedzi. We wszystkich sześciu punktem wejścia był zgłoszony rejestrator, dostawca DNS lub konto rejestratora, albo, dla października 2026, sporny podział między rejestratorem a platformą hostingową. Żadne przeczytane źródło nie zgłasza wady kontraktu jako punktu wejścia.
Dwa zdania do cytowania: protokół DeFi jest tak trudny do przejęcia, jak konto, które trzyma jego domenę, a zapowiedziany z wyprzedzeniem adres zapasowy to najtańsze narzędzie odzyskiwania, jakie projekt posiada. Szersza lista przypadków znajduje się w które projekty crypto straciły użytkowników przez przejęcie DNS, a widok całej branży w bezpieczeństwo domen dla protokołów DeFi.
Siedem kroków, by zabezpieczyć domenę frontendu DeFi
Zmapuj każdą warstwę
Wypisz konto rejestratora, dostawcę DNS, urząd certyfikacji, platformę hostingową i CDN dla każdej domeny i wyznacz właściciela dla każdego.
Zablokuj konto rejestratora
Użyj unikalnego hasła, uwierzytelniania dwuskładnikowego, kilku użytkowników i rygorystycznej ścieżki odzyskiwania.
Włącz blokadę transferu
Zablokuj każdą domenę przed transferem i zdecyduj o registry lock dla krytycznej .com lub .net.
Podpisz i ogranicz
Włącz DNSSEC i opublikuj rekord CAA wskazujący tylko Twój urząd certyfikacji.
Zabezpiecz hosting i CDN
Włącz uwierzytelnianie dwuskładnikowe, usuń nieużywane domeny i trzymaj tokeny wdrożeniowe w skarbcu.
Monitoruj
Obserwuj Certificate Transparency i porównuj serwery nazw oraz rekordy A z oczekiwanymi wartościami według harmonogramu.
Publish a fallback
Zarejestruj drugą domenę lub nazwę ENS, ogłoś ją z wyprzedzeniem i przećwicz przełączenie na nią.
Zabezpieczanie frontendu DeFi: pytania
Czy kontrakty inteligentne są zagrożone przy przejęciu frontendu?
W odczytanych incydentach nie. Curve i projekty z lutego 2026 zgłosiły, że kontrakty nie zostały naruszone. Użytkownicy tracą środki, podpisując na sklonowanej stronie.
Czy DNSSEC chroni frontend DeFi?
Chroni odpowiedzi w tranzycie i ograniczył przejęcie eth.limo z kwietnia 2026. Nie zatrzymuje atakującego, który kontroluje konto rejestratora, więc używaj go razem z bezpieczeństwem konta i blokadą transferu.
Czy registry lock jest dostępny dla każdego rozszerzenia?
Nie. Verisign oferuje go dla .com, .net, .cc i .name przez uczestniczących rejestratorów. Wardmint nie oferuje registry lock; oferuje blokadę transferu i Domain protection.
Co powinien zrobić protokół w pierwszej godzinie przejęcia?
Skontaktować się z rejestratorem i dostawcą DNS, poinformować użytkowników, by przestali podpisywać na głównej domenie, wskazać zapowiedziany wcześniej adres zapasowy i zachować dowody. Curve postąpiło tak 12 maja 2025.
Czy skarbiec DAO może zapłacić za domenę zapasową?
Tak. Wardmint pobiera BTC, USDT, USDC, ETH, SOL, LTC z przedpłaconego salda z minimalnym doładowaniem 25 USD, z jednym zweryfikowanym e-mailem na domenę i bez dokumentów tożsamości.
Podsumowanie
- Pięć warstw sięga użytkownika: rejestrator, DNS, certyfikaty, hosting lub CDN oraz resolver użytkownika.
- Sześć udokumentowanych przejęć od października 2023 do października 2026 przeszło przez warstwę domeny, a nie kontrakty.
- Galxe zwrócił nieco ponad $396,000 ponad 980 użytkownikom; fala z października 2026 prześledziła około $138,000 do trzech portfeli EVM.
- Zablokuj konto rejestratora, włącz blokadę transferu, podpisz DNSSEC i ogranicz wydawanie certyfikatów przez CAA.
- DNSSEC ograniczył przejęcie eth.limo, ale nie zatrzymuje posiadacza konta.
- Zapowiedz rezerwę, drugą domenę lub nazwę ENS, przed incydentem.
- Wardmint oferuje blokadę transferu, zarządzany DNSSEC i CAA; nie oferuje registry lock ani monitoringu.
Źródła (7)
- Incydent z domeną Curve — Curve Finance (odczytano 2026-11-12)
- Galxe ogłasza zwrot $396,000 dotkniętym użytkownikom po ataku na DNS — The Block, 11 October 2023 (odczytano 2026-11-12)
- Badacze: słabe domyślne ustawienia zabezpieczeń umożliwiły przejęcia domen Squarespace — Krebs on Security, 15 July 2024 (odczytano 2026-11-12)
- Przejęcie front-endu i powierzchnia ataku Web2 zagrażająca protokołom Web3 — Blockaid, 19 March 2026 (odczytano 2026-11-12)
- eth.limo domain hijack, DNSSEC and social engineering — Cointelegraph, 20 April 2026 (odczytano 2026-11-12)
- Hakerzy przejmują tuzin witryn DeFi zarejestrowanych w Name.com — The Block, 31 October 2026 (odczytano 2026-11-12)
- ENSIP-7: Contenthash field — ENS documentation (odczytano 2026-11-12)