# Какие крипто-проекты потеряли пользователей из-за перехвата DNS?

> Восемь задокументированных перехватов DNS и доменов крипто-сайтов с 2018 года, от $570K у Curve в 2022 до 12 сайтов DeFi 30 октября 2026.

- URL: https://wardmint.com/ru/dns-hijacking-crypto-incidents/
- Последнее обновление: 2026-11-12
- Издатель: Wardmint (https://wardmint.com)

Таблица с датами перехватов доменов и DNS, которые направили крипто-пользователей на поддельные фронтенды, чему учит каждый случай и насколько мы уверены в каждом факте.

**Кратко — Какие крипто-проекты потеряли пользователей из-за перехвата DNS?**

Curve Finance (август 2022, сообщалось примерно о $570,000), Balancer и Galxe (2023, Galxe возместила $396,000), волна Squarespace июля 2024 (Compound, Celer, Pendle), снова Curve 12 мая 2025, пять протоколов в феврале 2026 и дюжина сайтов DeFi 30 октября 2026 (прослежено около $138,000). **Wardmint** сводит каждый случай в таблицу с источником.

## Перехваты доменов и DNS в крипто, 2018-2026

*Указаны только случаи, для которых мы нашли источник. Потери приведены так, как сообщило цитируемое издание, и не суммируются.*

| Дата | Проект | Что произошло | Заявленные потери | Уровень источника |
| --- | --- | --- | --- | --- |
| 24 апр 2018 | MyEtherWallet | Адресное пространство Route 53 перехвачено через BGP примерно на два часа; поддельные ответы DNS направили пользователей на фишинговый клон с недействительным сертификатом HTTPS | Около $150,000 в ETH (оценки расходятся) | Вторичный (The Register) |
| 9 авг 2022 | Curve Finance | Перехват DNS на стороне регистратора; пользователей перенаправили на клон, который просил подписи кошелька | Издания сообщали о $530,000-$573,000; CertiK насчитала около $612,000 | Вторичный, цифры расходятся |
| 19 сен 2023 | Balancer | Фронтенд перенаправлен после атаки с помощью социальной инженерии на его DNS-провайдера, как описал Balancer | $238,000 во второй атаке | Вторичный |
| 6 окт 2023 | Galxe | Официальный сайт перенаправлен на фишинговый сайт, опустошавший кошельки; был недоступен около часа | Galxe возместила чуть более $396,000 более чем 980 пользователям | Первичный для возмещения (The Block) |
| 9-12 июл 2024 | Compound, Celer, Pendle, Unstoppable Domains и другие | Домены, перенесённые из Google Domains в Squarespace, захвачены через создание аккаунта; Squarespace обвинила слабость OAuth, исследователи — слабую настройку по умолчанию | Подтверждённого итога нет | Первичный (Krebs on Security) |
| 12 мая 2025 | Curve Finance | Второй перехват curve.fi на уровне регистратора, обнаружен в 21:20 UTC; статичная приманка просила подписи | Curve не сообщила о потерях | Первичный (уведомление Curve) |
| 16-23 фев 2026 | OpenEden, Curvance, Smithii, Avantis, Nerochain | Перенос у регистратора, захват аккаунта у регистратора через звонок в поддержку и перенаправление на похожий домен, в каждом случае с сертификатами, выпущенными в тот же день | Суммы в долларах не опубликованы | Первичный (Blockaid) |
| 30-31 окт 2026 | Flap, Kintsu, Pickle Finance, Origami Finance, FluxBeam, Echelon, StonkFun, StakePoint и другие | Домены у одного регистратора перенаправлены на набор дрейнера; регистратор восстановил их; причина оспаривается между регистратором и хостинговой платформой | Прослежено около $138,000 на трёх кошельках EVM | Первичный (The Block) |

*Последняя проверка: 12 ноября 2026 г.; для более старых данных указана своя дата.*

## Что случилось с Curve Finance в 2022 и 2025?

**Curve дважды теряла пользователей из-за перехвата DNS на стороне регистратора с разницей почти в три года.** 9 августа 2022 пользователей перенаправили на клон, который просил подписи кошелька; издания сообщали о потерях примерно от $530,000 до $573,000, цифры расходятся. 12 мая 2025 примерно в 20:55 UTC делегирование curve.fi было изменено у регистратора, а Curve узнала об этом в 21:20 UTC. Пользователи попадали на статичную приманку, копировавшую главную страницу и просившую подписи.

В уведомлении Curve говорится, что контракты не пострадали, данные пользователей не скомпрометированы, а за время сбоя было обработано более $400 млн объёма в блокчейне. Команда перевела пользователей на curve.finance как временный официальный адрес и охарактеризовала реакцию регистратора как медленную. В уведомлении потери не указаны. Урок касается регистратора: когда делегирование меняется там, все ваши DNS-записи теряют значение, пока вы не вернёте домен.

## Что представляла собой волна Squarespace в июле 2024?

**С 9 по 12 июля 2024 как минимум дюжина организаций, в основном крипто-бизнесов, лишились доменов после миграции регистратора.** Squarespace купила около 10 млн доменов у Google Domains в июне 2023 и переводила клиентов. Исследователи MetaMask и Paradigm сказали, что атакующий мог создать аккаунт с e-mail, привязанным к перенесённому домену, раньше владельца. В разборе от 23 июля Squarespace обвинила слабость во входе через OAuth, которую исправила за несколько часов, и оспорила толкование исследователей, заявив, что неподтверждённые аккаунты со входом по e-mail не были задействованы.

В отчёте Krebs on Security в числе названных пострадавших Celer Network, Compound Finance, Pendle Finance и Unstoppable Domains. В некоторых случаях перехваченные домены перенаправляли посетителей на фишинговые сайты, нацеленные на кражу криптовалюты. Урок: при любой миграции регистратора создайте и защитите аккаунт на новой стороне сами, с включённой двухфакторной аутентификацией, прежде чем это сделает кто-то другой.

## Что показали перехваты 2026 года?

**Случаи 2026 года показывают, что атакующие идут за аккаунтами регистраторов и их сотрудниками, а не за протоколом.** С 16 по 23 февраля 2026 Blockaid отследила пять компрометаций фронтендов, доставлявших дрейнер AngelFerno. OpenEden и Curvance пострадали из-за переноса у регистратора из GoDaddy в Namecheap. Avantis потеряла аккаунт Squarespace после того, как атакующие получили платёжные данные в звонке в поддержку. Пользователей Nerochain направляли на mainnet.live-nerochain.io, а для nerochain.io были выпущены wildcard-сертификаты. В нескольких случаях сертификаты были выпущены в день изменения DNS.

30 октября 2026 домены дюжины сайтов DeFi, зарегистрированных в Name.com, были перенаправлены вечером и загружены набором Step Drainer, сообщила The Block. Десять доменов были приостановлены в 8:32 по восточному времени 31 октября, а Name.com заявила, что восстановила все затронутые домены и насчитала 15 клиентских доменов, а не 12. Около $138,000 было прослежено до трёх кошельков EVM, без потерь в Solana и Aptos. Vercel связала десять доменов со своей платформой; Kintsu и Origami указывали на Vercel, причина остаётся спорной.

Сертификат, выпущенный в тот же день, — причина, по которой [мониторинг прозрачности сертификатов для вашего бренда](https://wardmint.com/ru/guides/monitor-certificate-transparency/ "How to monitor certificate transparency for your brand") входит в защиту наряду с блокировками и безопасностью аккаунта.

## Что общего у этих инцидентов?

**Во всех случаях с 2022 года слабым местом были аккаунт домена, DNS-провайдер или процесс у регистратора, а не смарт-контракты.** Curve, Kintsu, Origami, FluxBeam и StonkFun заявили, что их контракты в блокчейне не пострадали. Перехват меняет, куда указывает имя, поэтому пользователи, вводящие правильный адрес, всё равно попадают к злоумышленнику.

Четыре меры отвечают на эти случаи напрямую. Первая — аккаунт, которого нельзя уговорить на сброс: см. [как защитить аккаунт у регистратора от захвата](https://wardmint.com/ru/guides/protect-registrar-account/ "How to protect your registrar account from takeover"). Вторая — блокировка, которая запрещает переносы и, где реестр это поддерживает, изменения только по данным входа: [блокировка в реестре и блокировка у регистратора](https://wardmint.com/ru/registry-lock-vs-registrar-lock/ "Registry lock vs registrar lock: what is the difference?") различаются тем, кто может её снять. Третья — мониторинг сертификатов и DNS. Четвёртая — письменный план на первый час, в статье [как защитить свой домен от перехвата DNS](https://wardmint.com/ru/guides/secure-domain-against-dns-hijacking/ "How to secure your domain against DNS hijacking").

Wardmint предлагает блокировка переноса, которую вы включаете или отключаете для каждого домена в личном кабинете; код переноса (EPP) тоже запрашивается там. Блокировку в реестре он не предлагает.

## Сколько случаев в таблице?

По подсчёту Wardmint от 12 ноября 2026, в таблице 8 записей об инцидентах с апреля 2018 по октябрь 2026, и 7 из них произошли с августа 2022.

Мы исключили случаи марта и апреля 2026 (Neutrl, BonkFun, CoW Swap, eth.limo), потому что не смогли открыть их источники, и кампанию почтового фишинга против Trezor и Ledger, потому что она не касалась перехвата собственного домена проекта.

## Вопросы о перехвате DNS крипто-сайтов

### Что такое перехват DNS крипто-сайта?

Это изменение того, куда указывает доменное имя, сделанное без согласия владельца, так что посетители, вводящие правильный адрес, попадают на копию сайта злоумышленника. Смарт-контракты остаются нетронутыми; фронтенд просит пользователей подписать транзакции, опустошающие их кошельки.

### Предотвратил ли DNSSEC какой-либо из этих перехватов?

Ни один из прочитанных нами источников не говорит, что предотвратил. Когда захвачен сам аккаунт у регистратора, атакующий может изменить серверы имён и запись DS там же, поэтому один DNSSEC не защищает от этого пути.

### Почему цифры потерь по одному инциденту различаются?

Издания считают разные кошельки и разные даты, а некоторые сообщают лишь то, что проследили. Поэтому мы приводим диапазон или цифру первичного источника и не складываем цифры разных инцидентов.

### Как быстро происходят перехваты?

В случае 12 мая 2025 Curve обнаружила изменение через 25 минут после его начала. В феврале 2026 Blockaid сообщает, что сертификаты часто выпускались в день изменения DNS.

### Могут ли защитные домены остановить перехват моего основного домена?

Нет. Защитные домены останавливают похожие домены, а не захват вашего собственного имени. Сам перехват решают блокировки, безопасность аккаунта и мониторинг из руководств.

**Вкратце**

- Curve Finance была перехвачена на уровне регистратора 9 августа 2022 и снова 12 мая 2025.
- Galxe возместила чуть более $396,000 более чем 980 пользователям после 6 октября 2023.
- Волна Squarespace с 9 по 12 июля 2024 затронула как минимум дюжину организаций, среди них Compound, Celer и Pendle.
- Пять протоколов были перехвачены с 16 по 23 февраля 2026; сертификаты были выпущены в тот же день.
- 30 октября 2026 дюжина сайтов DeFi у одного регистратора была перенаправлена; прослежено около $138,000.
- Во всех инцидентах с 2022 года слабым местом были аккаунт домена, DNS-провайдер или процесс у регистратора.
- Wardmint предлагает блокировку переноса, а не блокировку в реестре.

## Источники

1. [Инцидент с доменом Curve](https://news.curve.finance/curve-domain-incident/) — Curve Finance (прочитано 2026-11-12)
2. [Исследователи: слабые настройки безопасности по умолчанию привели к перехвату доменов Squarespace](https://krebsonsecurity.com/2024/07/researchers-weak-security-defaults-enabled-squarespace-domains-hijacks/) — Krebs on Security (прочитано 2026-11-12)
3. [Перехват фронтенда и поверхность атаки Web2, угрожающая протоколам Web3](https://blockaid.io/blog/frontend-hijacking-and-the-web2-attack-surface-threatening-web3-protocols) — Blockaid (прочитано 2026-11-12)
4. [Хакеры перехватили дюжину сайтов DeFi, все зарегистрированные в Name.com, и украли около $138,000](https://theblock.co/news/defi/2026-10-31-hackers-hijack-a-dozen-defi-websites-all-registered-with-name-com-and-steal-about-138000-432251) — The Block (прочитано 2026-11-12)
5. [Galxe объявляет о возмещении $396,000 пострадавшим пользователям после атаки на DNS](https://www.theblock.co/post/255827/galxe-announces-396000-refund-to-affected-users-following-dns-attack) — The Block (прочитано 2026-11-12)
6. [Пользователи Curve Finance потеряли $573,000 в атаке на фронтенд](https://forklog.com/en/curve-finance-users-lose-573000-in-front-end-attack/) — ForkLog (прочитано 2026-11-12)
7. [Атаки на DNS Galxe и Balancer показывают, что многие крипто-компании уязвимы](https://www.fxstreet.com/cryptocurrencies/news/galxe-balancer-dns-attacks-reveals-many-crypto-enterprises-are-vulnerable-to-subdomain-domain-hijacking-202310080705) — FXStreet (прочитано 2026-11-12)
8. [Перехват DNS MyEtherWallet](https://www.theregister.com/2018/04/24/myetherwallet_dns_hijack/) — The Register (прочитано 2026-11-12)

---

Wardmint: Wardmint регистрирует защитные домены, которые нужны крипто-проекту: собственное имя проекта в зонах, которые используют фишеры, и собственные варианты с опечатками и похожими написаниями. Оплата в криптовалюте, без KYC: без документов, удостоверяющих личность, нужен только один подтверждённый e-mail на домен. Сервис принадлежит DomaineGoat LLC, компании, зарегистрированной в Панаме; домены регистрируются через партнёра-регистратора, аккредитованного ICANN. Домен .com стоит 12,49 $/год, одна и та же цена каждый год.