Resposta rápida
Como proteger sua conta de registrador contra tomada?
Proteja uma conta de registrador com uma senha longa e aleatória usada em nenhum outro lugar, autenticação em dois fatores, o menor número possível de usuários e um caminho de recuperação que uma ligação ao suporte não consiga contornar. A Wardmint contou dois incidentes em sua tabela, em julho de 2024 e fevereiro de 2026, em que o ponto fraco foi um login ou um fluxo de suporte de registrador ou plataforma, e não os registros de DNS.
Controles da conta e o incidente a que cada um responde
| Controle | O que impede | Caso público a que responde |
|---|---|---|
| Reivindique você mesmo a conta de cada domínio migrado | Um atacante criando a conta primeiro | Migrações da Squarespace, 9 a 12 de julho de 2024 (fraqueza de OAuth) |
| Regra para ligações ao suporte: nenhuma alteração por pedido de voz | Engenharia social contra um atendente de suporte | Avantis, fevereiro de 2026 (conta tomada após uma ligação ao suporte) |
| Autenticação em dois fatores na conta | Login com uma senha roubada | Recomendação da Name.com após os redirecionamentos de 30 a 31 de outubro de 2026 |
| Senha longa e única em um cofre | Reutilização e adivinhação de credenciais | Prática geral |
| Poucos usuários nomeados, removidos na saída | Acesso de pessoas internas e de ex-membros | Rotatividade de DAOs e colaboradores |
| Endereço de login salvo nos favoritos | Phishing de logins de registradores | Prática geral |
Por que a conta do registrador é o alvo?
Porque ela pode alterar os servidores de nomes, o registro DS e o titular, e nenhum código na sua rede pode desfazer isso. Um sequestrador que entra como você pode apontar o domínio para onde quiser e depois solicitar um certificado para o novo destino.
O registro público mostra o padrão. A Krebs on Security informou em julho de 2024 que domínios migrados do Google Domains para a Squarespace estavam abertos a um atacante que criasse uma conta com o e-mail ligado a um domínio antes do titular, e a Squarespace atribuiu isso a uma fraqueza relacionada aos logins via OAuth. A Blockaid escreveu em fevereiro de 2026 que a Avantis foi comprometida por meio de uma conta da Squarespace tomada depois que dados de cobrança foram extraídos em uma ligação ao suporte. Em 30 e 31 de outubro de 2026, domínios de uma dúzia de sites DeFi registrados em um mesmo registrador foram redirecionados; o registrador os restaurou e recomendou verificações de DNS e autenticação em dois fatores.
Segundo a contagem da Wardmint de 12 de novembro de 2026, dois dos sete incidentes de sua tabela (a onda de julho de 2024 e o caso da Avantis em fevereiro de 2026) giram em torno de um login ou fluxo de suporte em um registrador ou plataforma. O conjunto completo está em quais projetos cripto perderam usuários por sequestro de DNS.
Que senha e configuração de login você deve usar?
Use uma senha aleatória de pelo menos 20 caracteres, gerada e guardada por um gerenciador de senhas, e nunca a reutilize. Uma mensagem de chat compartilhada ou uma planilha não é um cofre. Se mais de uma pessoa precisar de acesso, use um cofre de equipe com trilha de auditoria e registre quem viu o segredo.
Ative a autenticação em dois fatores na conta. Uma chave de segurança de hardware é o segundo fator comum mais forte, porque não entrega um código a uma página de phishing. Um aplicativo autenticador é a próxima escolha; um código enviado por mensagem de texto é o mais fraco. Guarde os códigos de recuperação offline, em dois lugares, e anote quem pode alcançá-los.
Na Wardmint, você entra com um número de conta e uma senha, e pode ativar a autenticação em dois fatores na área do cliente; respostas por e-mail em até 12 horas, 7 dias por semana, incluindo ajuda com DNSSEC, registros CAA e denúncias de abuso. Como apenas um e-mail verificado por domínio é necessário para o próprio registro, mantenha o e-mail da conta em uma caixa que você controla e proteja essa caixa tão rigorosamente quanto a conta.
Quem deve ter acesso e como lidar com uma ligação ao suporte?
Indique um responsável e um substituto, documente ambos e escreva uma regra de que nenhuma alteração seja feita com base em uma ligação. O caso da Avantis mostra por quê. Se o suporte pode alterar uma conta depois de uma conversa por telefone, a força da sua senha deixa de importar.
Para uma DAO ou fundação, decida com antecedência quem guarda as credenciais, como a tesouraria recarrega o saldo e como o acesso muda quando um colaborador sai. As práticas de custódia compartilhada estão em como uma DAO deve manter e pagar seus domínios. Remova o acesso no mesmo dia em que alguém deixar a equipe e troque então a senha compartilhada.
Para os domínios mais importantes, considere a Proteção de domínio por +US$ 29/ano por domínio: o domínio é registrado em nome da DomaineGoat LLC, você continua sendo o beneficiário com devolução gratuita para o seu próprio nome, um bloqueio de transferência fica ativado e cada reclamação é lida por uma pessoa antes de qualquer ação. A opção é descrita em o que é a Proteção de domínio. Ela reduz o que a conta guarda, e não substitui um login forte.
Como proteger uma conta de registrador em sete etapas
Faça o inventário de cada conta e domínio
Liste cada conta de registrador, os domínios nela e as pessoas que podem entrar. Inclua contas herdadas de migrações.
Reivindique as contas migradas
Se um registrador absorveu o seu antigo, entre e confirme que você, e não um desconhecido, detém a conta de cada domínio.
Troque a senha
Gere uma senha aleatória de 20 caracteres ou mais em um cofre e use-a apenas para esta conta.
Ative a autenticação em dois fatores
Prefira uma chave de hardware e depois um aplicativo autenticador. Guarde os códigos de recuperação offline em dois lugares.
Reduza e registre os acessos
Indique um responsável e um substituto, remova todos os outros e anote a data e o motivo de cada mudança.
Escreva a regra para ligações ao suporte
Combine que ninguém altera DNS, titular ou contatos com base em uma ligação ou chat, e avise sua equipe.
Salve o login nos favoritos e fique atento ao phishing
Abra o registrador apenas pelo seu favorito. Trate qualquer e-mail que peça para você entrar em um registrador como uma possível tentativa de phishing.
Como reconhecer uma página de phishing que copia o seu registrador?
Confira o endereço antes de digitar qualquer coisa e nunca siga um link de login vindo de um e-mail. O phishing de registradores se baseia na urgência: uma mensagem diz que o domínio está prestes a expirar ou tem uma reclamação. Abra o registrador pelo seu favorito e procure o mesmo aviso na conta.
Use um gerenciador de senhas que preencha credenciais apenas no endereço exato salvo, de modo que uma página de login parecida não receba nada. As chaves de hardware dão a mesma proteção ao segundo fator. Se alguma vez você digitar uma senha em uma página duvidosa, troque-a imediatamente, encerre todas as sessões e revise os registros de DNS e o e-mail de contato.
Uma segunda camada é a expiração. Um domínio que expira pode ser tomado por qualquer pessoa, e a obrigação de renovação é tratada em como evitar que seus domínios expirem. O plano de reforço mais amplo está em como proteger seu domínio contra sequestro de DNS.
Perguntas sobre a segurança da conta do registrador
A autenticação em dois fatores basta?
É necessária, mas não basta sozinha. O caso da Avantis passou por uma ligação ao suporte. Acrescente uma regra de nenhuma alteração por ligação e poucos usuários.
Um bloqueio de transferência protege a conta?
Não. Ele impede transferências para outro registrador. Não impede que alguém com o login altere servidores de nomes ou registros.
A conta deve usar um e-mail compartilhado da equipe?
Use uma caixa que a equipe controle, protegida com autenticação em dois fatores, não o endereço pessoal de um membro. Cada domínio também precisa de um e-mail verificado para o seu registro.
E se um colaborador com acesso sair?
Troque a senha, remova o acesso dele, renove os códigos de recuperação e revise os registros de DNS, tudo no mesmo dia.
A Proteção de domínio pode substituir um login forte?
Não. Ela coloca o domínio em nome da empresa e acrescenta a revisão humana das reclamações, e a conta ainda precisa de um login forte.
Em resumo
- A conta do registrador pode alterar servidores de nomes, registros DS e o titular.
- Os sequestros públicos de 2024 e 2026 passaram por uma fraqueza de login ou por uma ligação ao suporte.
- Use uma senha aleatória de 20 caracteres ou mais, em um cofre, usada em nenhum outro lugar.
- Ative a autenticação em dois fatores, de preferência com uma chave de hardware.
- Indique um responsável e um substituto; remova quem sai no mesmo dia.
- Escreva uma regra de que nenhuma alteração seja feita apenas com base em uma ligação.
- A Proteção de domínio custa +US$ 29/ano e não substitui um login forte.
Fontes (3)
- Pesquisadores: padrões de segurança fracos permitiram sequestros de domínios da Squarespace — Krebs on Security (lido em 2026-11-12)
- Sequestro de front-end e a superfície de ataque da Web2 que ameaça protocolos Web3 — Blockaid (lido em 2026-11-12)
- Hackers sequestram uma dúzia de sites DeFi registrados na Name.com — The Block (lido em 2026-11-12)