Răspuns rapid
Ce ar trebui să faceți când un site de phishing vă uzurpă identitatea proiectului?
Când un site de phishing vă uzurpă identitatea proiectului, verificați mai întâi dacă propriul domeniu se rezolvă corect, apoi avertizați utilizatorii prin canale verificate cu adresa dumneavoastră reală, raportați site-ul registrarului și gazdei în paralel și rotiți orice acces pe care un atacator l-ar putea deține. Chainalysis a numărat că înșelătoriile prin uzurpare de identitate au crescut cu circa 1,400% în 2025. Wardmint acționează în 24 de ore de la un raport bine documentat.
Prima oră, minut cu minut
| Fereastră | Acțiune | Proprietar |
|---|---|---|
| 0 până la 10 minute | Confirmați falsul, verificați propriul DNS, numiți un responsabil de incident | Responsabilul de securitate |
| 10 până la 25 de minute | Publicați un avertisment pe fiecare canal verificat cu adresa reală; opriți orice campanie de semnare | Responsabilul comunității |
| 25 până la 40 de minute | Trimiteți pachetul de dovezi registrarului și gazdei; semnalați URL-ul pe listele de avertizare | Responsabilul de securitate |
| 40 până la 60 de minute | Verificați accesul la contul registrarului, rotiți parolele și 2FA, revizuiți înregistrările DNS | Responsabilul operațiunilor |
| După prima oră | Urmăriți rapoartele, actualizați utilizatorii, decideți asupra unei plângeri UDRP | Responsabilul incidentului |
Lista de verificare a primei ore
Separați o variantă de asemănare de o deturnare
Rulați verificarea DNS de mai jos. O variantă de asemănare este un alt domeniu; utilizatorii care au tastat sau au dat clic greșit au ajuns acolo. O deturnare înseamnă că propriul domeniu indică acum în altă parte, iar cazul este o urgență la registrar.
Numiți un responsabil de incident
O persoană deține cronologia, dosarul cu dovezi și fiecare mesaj trimis în exterior. Ceilalți execută; nu improvizează.
Avertizați utilizatorii din canale în care au încredere
Publicați adresa reală pe bannerul site-ului, pe conturile de social media, pe serverul comunității și pe canalele de integrare a portofelelor. Spuneți limpede: nu semnați niciodată o cerere de la altă adresă. Scrieți adresa falsă dezarmată, de exemplu example[.]com, ca nimeni să nu dea clic pe ea.
Porniți raportările în paralel
Mai întâi registrarul și gazda, apoi Safe Browsing, Netcraft, Chainabuse și listele de blocare ale portofelelor. Ghidul de raportare are comenzile RDAP.
Blocați-vă propriul acces
Verificați contul de registrar, furnizorul DNS și autentificările de găzduire. Rotiți parolele, înlocuiți 2FA prin SMS cu o cheie hardware și verificați înregistrările DNS rând cu rând. Vedeți cum să vă protejați contul de registrar de preluare.
Ajutați utilizatorii care au semnat deja
Spuneți-le să mute fondurile rămase într-un portofel nou, să revizuiască și să revoce aprobările de token cu un verificator de aprobări din explorerul de blocuri și să vă trimită hash-ul tranzacției. Nu promiteți o rambursare în primul mesaj.
dig +short NS yourdomain.com
dig +short A yourdomain.com
dig +short TXT yourdomain.com
curl -sL https://rdap.org/domain/yourdomain.com | jq '{status: .status, nameservers: [.nameservers[].ldhName], changed: [.events[] | select(.eventAction=="last changed") | .eventDate]}'
# compare with the values you recorded in your runbook; a changed nameserver or a new "last changed" date you did not make is a hijackCum deosebiți un site de asemănare de o deturnare a propriului domeniu?
Dacă domeniul dumneavoastră se rezolvă încă la serverele dumneavoastră și serverele sale de nume sunt ale dumneavoastră, falsul trăiește pe alt domeniu. Verificarea durează sub un minut cu comenzile de mai sus. O variantă de asemănare înseamnă că atacatorul deține alt domeniu și se bazează pe utilizatori care greșesc tastarea, dau clic pe o reclamă sau urmează un link.
O deturnare este altceva. Pe 12 mai 2025, domeniul Curve Finance a fost redirecționat la nivelul registrarului în jur de 20:55 UTC; echipa l-a găsit la 21:20 UTC și le-a spus utilizatorilor să folosească curve.finance drept adresă provizorie și a spus că nu au fost afectate contractele și datele utilizatorilor. În seara zilei de 30 octombrie 2026, domeniile unei duzini de interfețe DeFi înregistrate la Name.com au fost redirecționate către un kit de drenare, iar The Block a raportat că zece domenii au fost suspendate a doua zi dimineață la 8:32 a.m. ET. Într-o deturnare, sunați mai întâi registrarul, înainte de orice altceva.
Ce ar trebui să spună avertismentul către utilizatori?
Un avertisment bun dă adresa reală, spune ce să refuze și nu numește pe nimeni vinovat. Păstrați-l în patru rânduri: ce s-a întâmplat, singura adresă oficială, instrucțiunea de a respinge orice cerere de semnătură de la altă adresă și ora următoarei actualizări.
Nu dați link la site-ul fals. Nu ghiciți pierderile. Notificarea Curve din mai 2025 este un model al formei: spunea ce a fost redirecționat, ce adresă să folosească și că nu au fost atinse contractele. Fixați notificarea pe fiecare canal și editați-o pe loc când faptele se schimbă, cu ora fiecărei modificări. Pasul pe termen lung este un set defensiv de variantele proprii, ca variantele evidente să nu fie de vânzare pentru un atacator.
Ce faceți cu rapoartele și dovezile?
Trimiteți un singur pachet de dovezi fiecărui destinatar în aceeași oră. Pachetul conține URL-ul, capturi de ecran datate, cererea de semnătură, adresele de portofel primitoare și rezultatul RDAP. Ordinea completă a contactelor este în cum să eliminați un site de phishing care copiază dApp-ul dumneavoastră.
Țineți un jurnal al fiecărui raport, cu ora, destinatarul și numărul de referință. O plângere UDRP ulterioară, o plângere ICANN Compliance sau un raport la poliție pornește din acel jurnal. Pierderile din drenaje sunt mari: ScamSniffer a numărat 106.106 victime și 83,85 milioane de dolari pierderi din drenaje de portofel pe lanțurile EVM în 2025, deci un jurnal curat ajută utilizatorii care își depun propriile raportări.
Cât schimbă pregătirea prima oră?
Un runbook scris economisește minutele pe care nu le puteți pierde. Potrivit sondajului Wardmint din 12 noiembrie 2026, fișierul său de cercetare conține patru intrări de deturnare cu o sursă primară de la iulie 2024: valul Squarespace (iulie 2024), Curve Finance (mai 2025), un cluster de cinci proiecte (februarie 2026) și clienții Name.com (octombrie 2026). Fiecare sursă leagă atacul de domeniu, registrar sau stratul DNS, nu de contractele inteligente, deși cauza din octombrie 2026 este contestată între Name.com și Vercel. Scrieți înainte de a avea nevoie: proprietarul autentificării la registrar, unde sunt păstrate cheile 2FA, înregistrările DNS pe care le așteptați și contactul pentru fiecare canal.
Pentru întărirea dinainte de un incident, vedeți cum să vă securizați domeniul împotriva deturnării DNS. Suport la Wardmint: răspunsuri prin e-mail în 12 ore, 7 zile din 7, inclusiv ajutor pentru DNSSEC, înregistrări CAA și rapoarte de abuz.
Întrebări despre incidentele de uzurpare
Ar trebui să scot offline site-ul meu real în timpul unui incident?
Doar dacă propriul domeniu este deturnat sau compromis. Pentru o variantă de asemănare pe alt domeniu, mențineți site-ul activ și faceți adresa reală mai vizibilă.
Ar trebui să anunț public incidentul?
Da, odată ce l-ați confirmat. Utilizatorii semnează cererea falsă în minutele dinaintea aflării despre ea, deci o notificare scurtă și factuală din canale verificate face mai mult bine decât un raport complet scris mai târziu.
Pot utilizatorii să își recupereze fondurile?
Nu promiteți asta. Spuneți utilizatorilor cum să protejeze fondurile rămase și cereți-le hash-urile tranzacțiilor; recuperarea depinde de lanț, de drainer și de orice acțiune a autorităților.
Cât de repede va acționa registrarul asupra raportului meu?
Niciun calendar nu obligă toți registrarii. ICANN cere registrarilor acreditați să acționeze prompt la dovezi acționabile de phishing din 5 aprilie 2024. La Wardmint, acțiunea vine în 24 de ore de la un raport bine documentat.
Pe scurt
- Verificați mai întâi propriul DNS: o variantă de asemănare și o deturnare cer apeluri diferite.
- Avertizați utilizatorii din canale verificate, cu adresa reală și fără link activ către fals.
- Trimiteți rapoartele către registrar și gazdă în paralel, cu un singur pachet de dovezi.
- Rotiți accesul la registrar, DNS și găzduire și treceți la 2FA hardware.
- Chainalysis a numărat că înșelătoriile prin uzurpare de identitate au crescut cu circa 1,400% în 2025.
- ScamSniffer a numărat 83,85 milioane de dolari pierduți prin drenarea portofelelor pe lanțurile EVM în 2025.
- Wardmint acționează în 24 de ore de la un raport bine documentat.
Surse (7)
- Incidentul de domeniu Curve — Curve Finance (citit la 2026-11-12)
- Hackerii deturnează o duzină de site-uri DeFi, toate înregistrate la Name.com — The Block (citit la 2026-11-12)
- Înșelătorii crypto 2026: raportul Chainalysis — Chainalysis (citit la 2026-11-12)
- Raportul ScamSniffer din 2025: pierderile crypto din phishing scad cu 83% la 84 de milioane de dolari — ScamSniffer (citit la 2026-11-12)
- Deturnarea interfeței și suprafața de atac Web2 — Blockaid (citit la 2026-11-12)
- Cercetători: setările implicite slabe de securitate au permis deturnările domeniilor Squarespace — Krebs on Security (citit la 2026-11-12)
- Amendamentele globale din 2024 la Registrar Accreditation Agreement: abuzul DNS — ICANN (citit la 2026-11-12)