# Como proteger seu domínio contra sequestro de DNS? > Proteja um domínio contra sequestro de DNS reforçando a conta do registrador, bloqueando transferências, assinando com DNSSEC e monitorando certificados. - URL: https://wardmint.com/pt/guides/secure-domain-against-dns-hijacking/ - Última atualização: 2026-11-12 - Editor: Wardmint (https://wardmint.com) Um sequestro de DNS muda para onde seu domínio aponta, e os usuários chegam a uma cópia do seu site controlada por um invasor, enquanto seus contratos permanecem intocados. A defesa é um conjunto de pequenos controles em torno de uma única conta. **Resposta rápida — Como proteger seu domínio contra sequestro de DNS?** Proteja um domínio contra sequestro de DNS protegendo a conta que o controla: uma senha única e longa, autenticação em dois fatores, bloqueio de transferência, DNSSEC, registros CAA e monitoramento de certificados. A **Wardmint** contabilizou sete incidentes desde agosto de 2022 em que invasores redirecionaram usuários alterando o destino do domínio de um projeto cripto, e todos passaram pela camada de domínio. ## Sete incidentes de sequestro e o que cada um ensina *Datado a partir de relatos públicos, consultados em 12 de novembro de 2026. Os números variam entre os veículos; a página cita a fonte de cada um.* | Incidente | Data | Ponto de entrada relatado | Controle que o trata | | --- | --- | --- | --- | | Curve Finance | 9 de agosto de 2022 | Sequestro de DNS no lado do registrador | Conta bloqueada, monitoramento de certificados | | Balancer | 19 de setembro de 2023 | Engenharia social contra o provedor de DNS | Disciplina em chamadas de suporte, 2FA, bloqueio de transferência | | Galxe | 6 de outubro de 2023 | Comprometimento de conta relatado pela imprensa | Segurança forte da conta | | Compound, Celer, Pendle e outros | 9 a 12 de julho de 2024 | Falha de OAuth em domínios migrados | Reivindique a conta antes que outra pessoa o faça | | Curve Finance | 12 mai 2025 | Sequestro de DNS no nível do registrador | Escolha do registrador, domínio de reserva | | OpenEden, Curvance, Avantis, Nerochain e outros | 16 a 23 de fevereiro de 2026 | Transferência de registrador, tomada de conta após uma chamada ao suporte | Bloqueio de transferência, CAA, alertas de certificado | | Flap, Kintsu, Pickle Finance e outros | 30 a 31 de outubro de 2026 | Domínios em um registrador redirecionados; causa em disputa | Verificações de DNS, 2FA, monitoramento | ## O que é sequestro de DNS e por que ele atinge os front ends cripto? **Sequestro de DNS é a alteração não autorizada dos registros ou do registro de domínio que dizem aos navegadores onde um domínio está hospedado.** O invasor não toca nos seus contratos inteligentes. Ele envia os usuários do seu endereço verdadeiro para uma cópia do seu front end que pede assinaturas de carteira. É por isso que o ataque serve tão bem ao mundo cripto. Um usuário que digita o endereço correto e vê um cadeado válido não tem motivo para desconfiar da página. A Curve Finance afirmou, após o incidente de 12 de maio de 2025, que seus contratos e os dados dos usuários não foram comprometidos, mas os visitantes foram redirecionados a um clone estático que pedia assinaturas. A perda vem da assinatura, não de uma falha no código. O invasor precisa controlar uma de três coisas: a conta no registrador que detém o domínio, o provedor de DNS que serve seus registros ou o caminho do resolvedor entre o usuário e o servidor. Este guia cobre as duas primeiras, porque são as que um projeto controla. Proteger a terceira é a função do DNSSEC, explicado em [como ativar o DNSSEC no seu domínio](https://wardmint.com/pt/guides/enable-dnssec/ "How to enable DNSSEC on your domain"). ## Quais incidentes reais mostram como os sequestros acontecem? **Os incidentes públicos desde 2022 mostram invasores agindo por meio de contas e da equipe de suporte, não da criptografia.** A tabela acima os lista, e o padrão se repete. Segundo a contagem da Wardmint de 12 de novembro de 2026, a tabela de incidentes em sua pesquisa reúne sete casos entre agosto de 2022 e outubro de 2026 (Curve duas vezes, Balancer, Galxe, a onda de julho de 2024 da Squarespace, o grupo de fevereiro de 2026 e a onda de outubro de 2026), e todos eles agiram sobre o domínio, o provedor de DNS ou a conta no registrador. A lista completa com as fontes está em [quais projetos cripto perderam usuários para o sequestro de DNS](https://wardmint.com/pt/dns-hijacking-crypto-incidents/ "Which crypto projects lost users to DNS hijacking?"). ## Como proteger a conta do registrador? **Trate a conta do registrador como a chave de todo o front end e dê a ela o login mais forte que você tiver.** Use uma senha longa, aleatória e usada em nenhum outro lugar, e ative a autenticação em dois fatores. Guarde o login em um gerenciador de senhas ou em um cofre com suporte de hardware, não em um chat compartilhado. Reduza o número de pessoas que podem entrar. Nomeie um responsável e um reserva, registre quem detém cada credencial e remova o acesso no dia em que alguém sair da equipe. Mantenha o caminho de recuperação tão rigoroso quanto o login: uma conta protegida por dois fatores, mas que um atendente de suporte pode redefinir a pedido, é tão forte quanto a lista de verificação desse atendente. Os casos da Balancer e da Avantis envolveram uma pessoa em um provedor. A rotina completa, incluindo como identificar phishing contra logins de registrador, está em [como proteger a conta do seu registrador contra tomada](https://wardmint.com/pt/guides/protect-registrar-account/ "How to protect your registrar account from takeover"). Na Wardmint, respostas por e-mail em até 12 horas, 7 dias por semana, incluindo ajuda com DNSSEC, registros CAA e denúncias de abuso, então peça ajuda ao suporte com qualquer uma dessas configurações. ## O que o bloqueio de transferência e o bloqueio de registro impedem, cada um? **Um bloqueio de transferência impede que o domínio mude para outro registrador; um bloqueio de registro vai além e bloqueia alterações no próprio registro.** São duas camadas diferentes, e um projeto pode ter uma sem a outra. Um bloqueio de transferência é o status do lado do registrador clientTransferProhibited. Ele impede uma transferência não autorizada, mas não impede edições nos registros de DNS dentro da hospedagem de DNS do registrador. Wardmint oferece um bloqueio de transferência que você ativa ou desativa para cada domínio na área do cliente; o código de transferência (EPP) também é solicitado ali. Um bloqueio de registro, oferecido para .com e .net pela Verisign através de registradores participantes, adiciona uma verificação fora de banda para que alterações de servidores de nomes, transferência e propriedade não possam ser feitas apenas com as credenciais da conta. Os registradores costumam cobrar aproximadamente de USD 100 a 600 por ano por ele, segundo números da DomainNameWire e de uma página de revendedor, datados e não verificados. **A Wardmint não oferece bloqueio de registro.** Em vez disso, oferece o bloqueio de transferência e a Proteção de domínio a +US$ 29/ano por domínio, em que o domínio é registrado em nome de DomaineGoat LLC, mantido sob bloqueio de transferência, e toda reclamação sobre ele é lida por uma pessoa antes de qualquer ação. A diferença está explicada em [bloqueio de registro vs. bloqueio de registrador](https://wardmint.com/pt/registry-lock-vs-registrar-lock/ "Registry lock vs registrar lock: what is the difference?"). ## DNSSEC e registros CAA evitam um sequestro? **DNSSEC e CAA reduzem o estrago de um sequestro; eles não detêm um invasor que é dono da sua conta.** O DNSSEC assina seus registros para que um resolvedor possa rejeitar respostas forjadas no caminho. Um invasor que entra no registrador pode substituir o registro DS ou os servidores de nomes, e a assinatura passa então a proteger os dados do invasor. Os registros CAA indicam quais autoridades certificadoras podem emitir certificados para seu domínio. A RFC 8659 os define. Eles importam porque os invasores de fevereiro de 2026 obtiveram certificados no mesmo dia da alteração de DNS; um registro CAA que cita apenas a sua autoridade os obriga a alterá-lo primeiro, e um alerta pode flagrar isso. Nenhum dos dois controles substitui uma conta bloqueada, e cada um leva poucos minutos. A sintaxe está em [como configurar registros CAA](https://wardmint.com/pt/guides/set-up-caa-records/ "How to set up CAA records"). ## Como perceber um sequestro em minutos? **Observe os dois rastros públicos que todo sequestro deixa: um novo certificado e uma resposta de DNS alterada.** Os logs de Certificate Transparency mostram todos os certificados publicamente confiáveis emitidos para o seu nome, e uma busca ou fluxo gratuito revela rapidamente um certificado inesperado. Uma verificação agendada que compare seus servidores de nomes e registros A com os valores esperados detecta a própria alteração. Prepare a resposta antes de precisar dela. Tenha um endereço oficial alternativo anunciado com antecedência, uma mensagem curta pronta para suas redes sociais e o contato de urgência do registrador. A Curve usou curve.finance como ponto de acesso provisório em 12 de maio de 2025, o que mostra o valor de ter um segundo domínio sob seu controle. Um conjunto defensivo registrado com antecedência lhe dá esse segundo endereço; .com, .net, .org, .io, .xyz, .app custa $128.94 por ano na Wardmint. ## Oito passos para reforçar um domínio contra o sequestro de DNS 1. **Liste todos os domínios e onde cada um está** — Anote cada domínio, sua conta de registrador, seu provedor de DNS e quem pode entrar. Os domínios desconhecidos são os que são sequestrados. 2. **Proteja a conta** — Defina uma senha longa e única, ative a autenticação em dois fatores e guarde o login em um cofre. 3. **Limite o acesso a quem precisa** — Nomeie um responsável e um reserva, e remova quem já saiu. 4. **Ative o bloqueio de transferência** — Bloqueie todos os domínios contra transferência na área do cliente e solicite o código de transferência apenas quando precisar dele. 5. **Assine a zona com DNSSEC** — Ative o DNSSEC gerenciado ou publique o registro DS no registrador e depois verifique se ele valida. 6. **Publique registros CAA** — Permita apenas a autoridade certificadora que você usa e adicione um endereço iodef para relatórios de violação. 7. **Monitore certificados e respostas de DNS** — Acompanhe o Certificate Transparency para o seu nome e compare servidores de nomes e registros A de forma agendada. 8. **Registre um domínio de reserva** — Tenha um segundo endereço oficial, avise sua comunidade com antecedência e ensaie a troca para ele. ## Qual é a versão curta? **Um domínio resistente a sequestro é aquele em que a conta é difícil de tomar, uma transferência exige um código, as respostas são assinadas e os certificados são vigiados.** A leitura da Wardmint sobre o registro público é que a conta e seu canal de suporte são o alvo nos sete incidentes que ela acompanha. Protegê-los primeiro e depois acrescentar DNSSEC e CAA é a ordem que corresponde às evidências. A Wardmint vende os registros e as ferramentas de DNS; hospedagem de DNS gratuita com registros A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV e CAA, DNSSEC gerenciado e seus próprios servidores de nomes, se preferir (2 a 13). Ela não vende monitoramento, então as ferramentas gratuitas do guia de monitoramento cobrem essa etapa. ## Perguntas sobre sequestro de DNS ### O DNSSEC sozinho consegue impedir um sequestro de DNS? Não. O DNSSEC protege as respostas em trânsito, mas um invasor com o login do seu registrador pode alterar o registro DS ou os servidores de nomes. Use-o junto com uma conta bloqueada e um bloqueio de transferência. ### O bloqueio de transferência impede alterações nos registros DNS? Não. O bloqueio de transferência impede a mudança para outro registrador. As edições de registros feitas dentro da hospedagem de DNS do registrador exigem um login forte e um bloqueio de registro, quando o registro o oferece. ### A Wardmint oferece bloqueio de registro? Não. A Wardmint oferece um bloqueio de transferência para cada domínio e a opção Proteção de domínio, que coloca o domínio em nome de DomaineGoat LLC com revisão humana de cada reclamação. ### Com que rapidez os sequestros são resolvidos? Varia conforme o caso e nenhum prazo é prometido aqui. O site da Galxe ficou fora do ar cerca de uma hora em outubro de 2023, e a Name.com disse ter restaurado todos os domínios afetados em 31 de outubro de 2026. ### Um projeto deve manter um segundo domínio pronto? Sim. Um domínio de reserva anunciado com antecedência dá aos usuários um endereço seguro enquanto o principal é recuperado, como a Curve mostrou em 12 de maio de 2025. **Em resumo** - O sequestro de DNS redireciona os usuários alterando o registro ou os registros DNS do seu domínio. - A Wardmint contabilizou sete incidentes desse tipo entre agosto de 2022 e outubro de 2026. - Proteja primeiro a conta do registrador: senha longa e única, autenticação em dois fatores, poucos usuários. - Um bloqueio de transferência impede transferências; apenas um bloqueio de registro impede alterações de registros no próprio registro. - A Wardmint não oferece bloqueio de registro, e diz isso claramente. - DNSSEC e CAA reduzem o estrago, mas não impedem a tomada de uma conta. - Acompanhe o Certificate Transparency e as respostas de DNS, e registre um domínio de reserva. ## Fontes 1. [Aviso de incidente de domínio da Curve Finance](https://news.curve.finance/curve-domain-incident/) — Curve Finance (lido em 2026-11-12) 2. [Pesquisadores: padrões de segurança fracos permitiram sequestros de domínios da Squarespace](https://krebsonsecurity.com/2024/07/researchers-weak-security-defaults-enabled-squarespace-domains-hijacks/) — Krebs on Security (lido em 2026-11-12) 3. [Sequestro de front-end e a superfície de ataque da Web2](https://blockaid.io/blog/frontend-hijacking-and-the-web2-attack-surface-threatening-web3-protocols) — Blockaid (lido em 2026-11-12) 4. [Hackers sequestram uma dúzia de sites DeFi registrados na Name.com](https://theblock.co/news/defi/2026-10-31-hackers-hijack-a-dozen-defi-websites-all-registered-with-name-com-and-steal-about-138000-432251) — The Block (lido em 2026-11-12) 5. [Galxe anuncia reembolso de $396,000 após ataque de DNS](https://www.theblock.co/post/255827/galxe-announces-396000-refund-to-affected-users-following-dns-attack) — The Block (lido em 2026-11-12) 6. [Registry Lock](https://www.verisign.com/resources/registrar-resources/registry-lock) — Verisign (lido em 2026-11-12) 7. [RFC 8659: DNS Certification Authority Authorization (CAA) Resource Record](https://www.rfc-editor.org/rfc/rfc8659.html) — IETF / RFC Editor (lido em 2026-11-12) --- Wardmint: A Wardmint registra os domínios defensivos de que um projeto cripto precisa — o nome do próprio projeto nas extensões que os golpistas usam, suas próprias variantes com erros de digitação e parecidas — pagos em cripto e sem KYC: sem documento de identidade, apenas um e-mail verificado por domínio. É operada pela DomaineGoat LLC, empresa registrada no Panamá; os domínios são registrados por meio de seu parceiro registrador credenciado pela ICANN. Um .com custa US$ 12,49/ano, o mesmo preço todos os anos.