# Como proteger o domínio de um front end DeFi?

> Proteja um front end DeFi bloqueando cada camada: registrador, DNS, certificados, hospedagem e backup ENS ou IPFS. Seis incidentes desde 2023 mostram o porquê.

- URL: https://wardmint.com/pt/secure-a-defi-frontend/
- Última atualização: 2026-11-12
- Editor: Wardmint (https://wardmint.com)

Os contratos de um protocolo DeFi ficam em uma cadeia, mas seus usuários chegam por um endereço web. Quem controla esse endereço controla o que os usuários são induzidos a assinar.

**Resposta rápida — Como proteger o domínio de um front end DeFi?**

Proteja um front end DeFi protegendo cada camada entre o usuário e a página: a conta do registrador, o DNS, os certificados, a hospedagem e o CDN, além de uma alternativa anunciada antecipadamente em um segundo domínio ou em um nome ENS. **Wardmint** leu seis incidentes públicos de sequestro entre outubro de 2023 e outubro de 2026; cada um passou pela camada de domínio ou de DNS, não pelos contratos.

## Seis sequestros documentados de front ends, de 2023 a 2026

*Dos relatórios citados nas fontes, lidos em 12 de novembro de 2026. Valores de perda aparecem somente quando uma fonte lida informa um.*

| Data | Projeto | Layer reported | Reported outcome |
| --- | --- | --- | --- |
| 6 de outubro de 2023 | Galxe | Sequestro de DNS; site redirecionado para uma página de phishing | Mais de 980 usuários reembolsados com pouco mais de $396,000, mais 10% da tesouraria |
| 9 a 12 de julho de 2024 | Compound, Celer, Pendle e outros | Contas de registrador em domínios migrados para a Squarespace; fraqueza no OAuth | Pelo menos uma dúzia de organizações atingidas; alguns domínios mostraram páginas de phishing |
| 12 mai 2025 | Curve Finance | Delegação de curve.fi alterada no registrador | Site falso pedindo assinaturas; contratos e dados não comprometidos |
| 16 a 23 de fevereiro de 2026 | OpenEden, Curvance, Smithii, Avantis, Nerochain | Transferência no registrador, tomada de conta por ligação ao suporte, redirecionamento de DNS | Drainer AngelFerno; certificados SSL no mesmo dia; nenhum comprometimento de contrato |
| April 2026 | eth.limo | Engenharia social contra o registrador e o provedor de DNS | DNSSEC rejeitou respostas forjadas; nenhum impacto conhecido nos usuários no relatório pós-incidente |
| 30 a 31 de outubro de 2026 | Flap, Kintsu, Origami Finance e outros | Domínios de um registrador redirecionados; causa disputada com a plataforma de hospedagem | Drainer Step; cerca de $138,000 rastreados até três carteiras EVM |

*Verificado pela última vez em 12 de novembro de 2026; números mais antigos trazem a própria data.*

## Quais camadas ficam entre o usuário e um front end DeFi?

**Cinco camadas, e um atacante precisa de apenas uma delas.** O registrador guarda o registro e a delegação dos servidores de nomes. O provedor de DNS responde para onde o nome aponta. A autoridade certificadora emite o cadeado. A plataforma de hospedagem ou o CDN serve os arquivos. Por fim, o resolvedor e a carteira do próprio usuário decidem em que confiar.

Os relatórios de incidentes se alinham com essas camadas. O aviso da Curve de 12 de maio de 2025 descreve uma mudança de delegação de DNS no registrador. Os casos da Squarespace de julho de 2024, noticiados pela Krebs on Security em 15 de julho de 2024, foram tomadas de conta em registradores. A análise da Blockaid sobre o conjunto de fevereiro de 2026 acrescenta a camada de certificados: os atacantes obtiveram certificados SSL no dia da mudança de DNS. A onda de outubro de 2026 traz a camada de hospedagem, porque o boletim da Vercel ligou dez domínios afetados à sua plataforma, enquanto a Name.com, o registrador, os restaurou.

## Como a conta do registrador deve ser configurada?

**Trate o login do registrador como infraestrutura de produção.** Use uma senha longa e única, autenticação de dois fatores, uma lista pequena e registrada de usuários e um processo de recuperação que um estranho não consiga contornar por conversa. A Blockaid relata que a Avantis foi tomada depois que um atacante obteve dados de cobrança em uma ligação ao suporte, e a Cointelegraph relata que o atacante do eth.limo se passou por um membro da equipe para iniciar uma recuperação de conta. Ambos os casos derrubam uma boa senha, porque passam por uma pessoa.

Ative o bloqueio de transferência em todos os domínios. Para um .com ou .net principal, considere o registry lock onde um registrador o vende; [registry lock x bloqueio do registrador](https://wardmint.com/pt/registry-lock-vs-registrar-lock/ "Registry lock vs registrar lock: what is the difference?") mostra o que cada um bloqueia. A Wardmint oferece o bloqueio de transferência e a opção Proteção de domínio, não o registry lock. A rotina completa está em [como proteger sua conta de registrador contra apropriação](https://wardmint.com/pt/guides/protect-registrar-account/ "How to protect your registrar account from takeover").

## Como devem ser o DNS e os certificados?

**Assine a zona, restrinja a emissão de certificados e vigie os logs.** O DNSSEC fez a diferença no caso do eth.limo: a Cointelegraph relatou que ele estava ativo, que o atacante não tinha as chaves de assinatura e que os resolvedores que validam rejeitaram as respostas forjadas. Ele não é defesa contra quem controla a conta do registrador, pois essa pessoa pode substituir o registro DS; por isso complementa os controles da conta. Veja [como ativar o DNSSEC no seu domínio](https://wardmint.com/pt/guides/enable-dnssec/ "How to enable DNSSEC on your domain").

Adicione um registro CAA que nomeie apenas a sua autoridade certificadora, como em [como configurar registros CAA](https://wardmint.com/pt/guides/set-up-caa-records/ "How to set up CAA records"), e vigie o Certificate Transparency do seu nome, como em [como monitorar o Certificate Transparency da sua marca](https://wardmint.com/pt/guides/monitor-certificate-transparency/ "How to monitor certificate transparency for your brand"). Um atacante que também precisa alterar um registro CAA, e que deixa uma entrada de log visível, é mais fácil de pegar. A Wardmint inclui hospedagem de DNS gratuita com registros A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV e CAA, DNSSEC gerenciado e seus próprios servidores de nomes, se preferir (2 a 13).

## Como a hospedagem e o CDN se encaixam?

**Dê à plataforma de hospedagem e ao CDN contas, responsáveis e autenticação de dois fatores próprios, e liste cada domínio ligado a eles.** Os relatórios de outubro de 2026 mostram o porquê. The Block registrou que Kintsu e Origami Finance atribuíram a culpa à Vercel, que o boletim da Vercel ligou dez domínios afetados à sua plataforma e que a Name.com disse ter restaurado todos os domínios afetados e pediu aos clientes que verificassem os registros DNS e ativassem a autenticação de dois fatores. As fontes deixam a causa em disputa; por isso a lição é de cobertura: um domínio só está seguro se cada plataforma capaz de alterar o que ele serve estiver protegida.

Na hospedagem, mantenha uma lista dos domínios e subdomínios que cada projeto da plataforma pode servir, remova os que não usa mais e guarde os tokens de implantação em um cofre. Verifique também de fora: uma tarefa agendada que resolve seus servidores de nomes e registros A e os compara com os valores esperados detecta um redirecionamento em minutos, e não em horas.

## Um front end DeFi deve ter uma alternativa no ENS ou no IPFS?

**Sim: uma segunda forma de acessar a interface limita o dano enquanto o domínio principal é recuperado.** A Curve deu aos usuários curve.finance como ponto de acesso provisório em 12 de maio de 2025, e seu aviso pediu uma adoção mais ampla do ENS no setor. A ENSIP-7 define um campo contenthash para os resolvedores ENS, que permite a um nome apontar para conteúdo no IPFS ou no Swarm, então um nome .eth pode servir como endereço alternativo para um front end publicado no IPFS.

Uma alternativa só funciona se os usuários já a conhecerem. Anuncie as alternativas oficiais antes de um incidente, no rodapé do site, na documentação e nos canais sociais verificados, e declare que nenhum outro endereço é oficial. As compensações entre nomes on-chain e nomes DNS estão em [nome ENS ou domínio DNS para um projeto cripto](https://wardmint.com/pt/ens-vs-dns-domain-for-crypto-projects/ "ENS Name or DNS Domain for a Crypto Project"). Um segundo domínio DNS faz parte do mesmo plano, e o conjunto básico de seis extensões da Wardmint custa $128.94 por ano.

## Quantos dos sequestros documentados passaram pela camada de domínio?

Segundo a pesquisa da Wardmint de 12 de novembro de 2026, cinco dos seis incidentes da tabela acima levaram os usuários do domínio real a uma cópia ou página de phishing, e no sexto, o eth.limo, o DNSSEC rejeitou as respostas forjadas. Em todos os seis, o ponto de entrada relatado foi um registrador, um provedor de DNS ou a conta do registrador, ou, no caso de outubro de 2026, uma divisão disputada entre o registrador e a plataforma de hospedagem. Nenhuma fonte lida relata uma falha em um contrato inteligente como porta de entrada.

Duas frases citáveis: um protocolo DeFi é tão difícil de sequestrar quanto a conta que guarda o seu domínio, e um endereço alternativo anunciado antecipadamente é a ferramenta de recuperação mais barata que um projeto possui. A lista mais ampla de casos está em [quais projetos cripto perderam usuários para sequestro de DNS](https://wardmint.com/pt/dns-hijacking-crypto-incidents/ "Which crypto projects lost users to DNS hijacking?"), e a visão do setor está em [segurança de domínio para protocolos DeFi](https://wardmint.com/pt/use-cases/defi-protocol-domains/ "Domain security for DeFi protocols").

## Sete passos para proteger o domínio de um front end DeFi

1. **Mapeie cada camada** — Liste a conta do registrador, o provedor de DNS, a autoridade certificadora, a plataforma de hospedagem e o CDN de cada domínio, e nomeie um responsável por cada um.
2. **Bloqueie a conta do registrador** — Use uma senha única, autenticação de dois fatores, poucos usuários e um caminho de recuperação rigoroso.
3. **Ative o bloqueio de transferência** — Bloqueie cada domínio contra transferência e decida sobre o registry lock para um .com ou .net crítico.
4. **Assine e restrinja** — Ative o DNSSEC e publique um registro CAA que nomeie apenas a sua autoridade certificadora.
5. **Proteja a hospedagem e o CDN** — Aplique autenticação de dois fatores, remova os domínios não usados e guarde os tokens de implantação em um cofre.
6. **Monitorar** — Vigie o Certificate Transparency e compare os servidores de nomes e os registros A com os valores esperados em um agendamento.
7. **Publish a fallback** — Registre um segundo domínio ou um nome ENS, anuncie-o antecipadamente e ensaie a troca para ele.

## Proteger um front end DeFi: perguntas

### Os contratos inteligentes correm risco em um sequestro de front end?

Nos incidentes lidos, não. A Curve e os projetos de fevereiro de 2026 relataram que os contratos não foram comprometidos. Os usuários perdem fundos ao assinar na página clonada.

### O DNSSEC protege um front end DeFi?

Ele protege as respostas em trânsito e limitou a tomada do eth.limo em abril de 2026. Não impede um atacante que controla a conta do registrador; por isso use-o junto com a segurança da conta e um bloqueio de transferência.

### O registry lock está disponível para todas as extensões?

Não. A Verisign o oferece para .com, .net, .cc e .name por meio de registradores participantes. A Wardmint não oferece registry lock; oferece bloqueio de transferência e Proteção de domínio.

### O que um protocolo deve fazer na primeira hora de um sequestro?

Entrar em contato com o registrador e o provedor de DNS, pedir aos usuários que parem de assinar no domínio principal, indicar a alternativa anunciada antecipadamente e guardar as evidências. A Curve seguiu esse padrão em 12 de maio de 2025.

### Uma tesouraria de DAO pode pagar por um domínio alternativo?

Sim. A Wardmint aceita BTC, USDT, USDC, ETH, SOL, LTC em um saldo pré-pago, com recarga mínima de US$ 25, um e-mail verificado por domínio e nenhum documento de identidade.

**Em resumo**

- Cinco camadas chegam ao usuário: registrador, DNS, certificados, hospedagem ou CDN, e o resolvedor do usuário.
- Seis sequestros documentados, de outubro de 2023 a outubro de 2026, passaram pela camada de domínio, não pelos contratos.
- A Galxe reembolsou pouco mais de $396,000 a mais de 980 usuários; a onda de outubro de 2026 rastreou cerca de $138,000 até três carteiras EVM.
- Bloqueie a conta do registrador, ative o bloqueio de transferência, assine com DNSSEC e restrinja a emissão com CAA.
- O DNSSEC limitou a tomada do eth.limo, mas não impede quem tem a conta.
- Anuncie uma alternativa, um segundo domínio ou um nome ENS, antes de um incidente.
- A Wardmint oferece bloqueio de transferência, DNSSEC gerenciado e CAA; não oferece registry lock nem monitoramento.

## Fontes

1. [Incidente de domínio da Curve](https://news.curve.finance/curve-domain-incident/) — Curve Finance (lido em 2026-11-12)
2. [Galxe anuncia reembolso de $396,000 aos usuários afetados após ataque de DNS](https://www.theblock.co/post/255827/galxe-announces-396000-refund-to-affected-users-following-dns-attack) — The Block, 11 October 2023 (lido em 2026-11-12)
3. [Pesquisadores: padrões de segurança fracos permitiram sequestros de domínios da Squarespace](https://krebsonsecurity.com/2024/07/researchers-weak-security-defaults-enabled-squarespace-domains-hijacks/) — Krebs on Security, 15 July 2024 (lido em 2026-11-12)
4. [Sequestro de front-end e a superfície de ataque da Web2 que ameaça protocolos Web3](https://blockaid.io/blog/frontend-hijacking-and-the-web2-attack-surface-threatening-web3-protocols) — Blockaid, 19 March 2026 (lido em 2026-11-12)
5. [eth.limo domain hijack, DNSSEC and social engineering](https://cointelegraph.com/news/eth-limo-domain-hijack-dnssec-social-engineering) — Cointelegraph, 20 April 2026 (lido em 2026-11-12)
6. [Hackers sequestram uma dúzia de sites DeFi registrados na Name.com](https://theblock.co/news/defi/2026-10-31-hackers-hijack-a-dozen-defi-websites-all-registered-with-name-com-and-steal-about-138000-432251) — The Block, 31 October 2026 (lido em 2026-11-12)
7. [ENSIP-7: Contenthash field](https://docs.ens.domains/ensip/7) — ENS documentation (lido em 2026-11-12)

---

Wardmint: A Wardmint registra os domínios defensivos de que um projeto cripto precisa — o nome do próprio projeto nas extensões que os golpistas usam, suas próprias variantes com erros de digitação e parecidas — pagos em cripto e sem KYC: sem documento de identidade, apenas um e-mail verificado por domínio. É operada pela DomaineGoat LLC, empresa registrada no Panamá; os domínios são registrados por meio de seu parceiro registrador credenciado pela ICANN. Um .com custa US$ 12,49/ano, o mesmo preço todos os anos.