# Что делать, если фишинговый сайт выдаёт себя за ваш проект?

> Чек-лист первого часа, когда фишинговый сайт выдаёт себя за ваш крипто-проект: подтвердите, предупредите пользователей, сообщите параллельно и смените доступы.

- URL: https://wardmint.com/ru/guides/handle-a-domain-impersonation-incident/
- Последнее обновление: 2026-11-12
- Издатель: Wardmint (https://wardmint.com)

Первый час определяет, сколько пользователей подпишут неверный запрос. Этот чек-лист отделяет сайт с похожим доменом от перехвата вашего собственного домена, затем упорядочивает предупреждения, жалобы и дальнейшие действия.

**Кратко — Что делать, если фишинговый сайт выдаёт себя за ваш проект?**

Когда фишинговый сайт выдаёт себя за ваш проект, сначала проверьте, что ваш собственный домен по-прежнему разрешается правильно, затем предупредите пользователей через проверенные каналы, указав ваш настоящий адрес, параллельно сообщите о сайте регистратору и хостеру и смените любой доступ, который мог бы оказаться у атакующего. Chainalysis насчитала рост мошенничества с выдачей себя за другого примерно на 1,400% в 2025. **Wardmint** действует в течение 24 часов после получения обоснованной жалобы.

## Первый час, минута за минутой

*Рабочий график, а не гарантия какого-либо результата.*

| Окно | Действие | Ответственный |
| --- | --- | --- |
| От 0 до 10 минут | Подтвердите подделку, проверьте свой DNS, назначьте руководителя инцидента | Руководитель по безопасности |
| От 10 до 25 минут | Опубликуйте предупреждение во всех проверенных каналах с настоящим адресом; приостановите любую кампанию подписей | Руководитель сообщества |
| От 25 до 40 минут | Отправьте пакет доказательств регистратору и хостеру; отметьте URL в списках предупреждений | Руководитель по безопасности |
| От 40 до 60 минут | Проверьте доступ к аккаунту регистратора, смените пароли и 2FA, проверьте DNS-записи | Руководитель эксплуатации |
| После первого часа | Отслеживайте жалобы, обновляйте пользователей, решите вопрос о жалобе UDRP | Руководитель инцидента |

## Чек-лист первого часа

1. **Отделите похожий домен от перехвата** — Выполните проверку DNS ниже. Похожий домен — это другой домен; пользователи, которые неверно набрали адрес или нажали ссылку, попали туда. Перехват означает, что ваш собственный домен теперь указывает в другое место, и это чрезвычайная ситуация у вашего регистратора.
2. **Назначьте одного руководителя инцидента** — Один человек отвечает за хронологию, папку с доказательствами и каждое исходящее сообщение. Остальные выполняют; они не действуют самостоятельно.
3. **Предупредите пользователей через каналы, которым они доверяют** — Опубликуйте настоящий адрес в баннере сайта, в соцсетях, на сервере сообщества и в каналах интеграции кошельков. Скажите прямо: никогда не подписывайте запрос с любого другого адреса. Пишите поддельный адрес в обезвреженном виде, например example[.]com, чтобы никто не нажал на него.
4. **Начните жалобы параллельно** — Сначала регистратор и хостер, затем Safe Browsing, Netcraft, Chainabuse и блок-листы кошельков. В руководстве по жалобам есть команды RDAP.
5. **Закройте свой собственный доступ** — Проверьте входы в аккаунт регистратора, к DNS-провайдеру и хостингу. Смените пароли, замените SMS 2FA на аппаратный ключ и построчно проверьте DNS-записи. См. как защитить аккаунт у регистратора от захвата.
6. **Помогите пользователям, которые уже подписали** — Скажите им перевести оставшиеся средства на новый кошелёк, проверить и отозвать разрешения на токены через проверку разрешений в блок-эксплорере и прислать вам хеш транзакции. Не обещайте возмещение в первом сообщении.

*Шаг 1: ваш собственный домен по-прежнему указывает туда, куда должен?*

```bash
dig +short NS yourdomain.com
dig +short A yourdomain.com
dig +short TXT yourdomain.com
curl -sL https://rdap.org/domain/yourdomain.com | jq '{status: .status, nameservers: [.nameservers[].ldhName], changed: [.events[] | select(.eventAction=="last changed") | .eventDate]}'

# compare with the values you recorded in your runbook; a changed nameserver or a new "last changed" date you did not make is a hijack
```

## Как отличить сайт с похожим доменом от перехвата вашего собственного домена?

**Если ваш домен по-прежнему разрешается на ваши серверы, а его серверы имён ваши, подделка живёт на другом домене.** Проверка занимает меньше минуты с командами выше. Похожий домен означает, что атакующий владеет другим доменом и рассчитывает на то, что пользователи ошибутся в адресе, нажмут рекламу или перейдут по ссылке.

Перехват — другое дело. 12 мая 2025 домен Curve Finance был перенаправлен на уровне регистратора примерно в 20:55 UTC; команда обнаружила это в 21:20 UTC и сказала пользователям использовать curve.finance как временный адрес, а также сообщила, что контракты и данные пользователей не пострадали. Вечером 30 октября 2026 домены примерно дюжины фронтендов DeFi, зарегистрированных в Name.com, были перенаправлены на набор дрейнера, и The Block сообщила, что десять доменов были приостановлены в 8:32 по восточному времени на следующее утро. При перехвате сначала звоните регистратору.

## Что должно говорить предупреждение пользователям?

**Хорошее предупреждение указывает настоящий адрес, говорит, от чего отказаться, и никого не объявляет виновным.** Уложитесь в четыре строки: что произошло, единственный официальный адрес, указание отклонять любой запрос подписи с другого адреса и время следующего обновления.

Не ставьте ссылку на поддельный сайт. Не гадайте о потерях. Уведомление Curve от мая 2025 — образец формы: оно сообщило, что было перенаправлено, какой адрес использовать и что контракты не пострадали. Закрепите уведомление во всех каналах и редактируйте его на месте при изменении фактов, указывая время каждой правки. Более долгосрочный шаг — [защитный набор ваших собственных вариантов](https://wardmint.com/ru/defensive-domain-registration/ "What is defensive domain registration?"), чтобы очевидные подделки нельзя было купить атакующему.

## Что делать с жалобами и доказательствами?

**Отправьте один пакет доказательств каждому адресату в течение одного часа.** Пакет содержит URL, скриншоты с датами, запрос подписи, адреса получающих кошельков и вывод RDAP. Полный порядок обращений приведён в статье [как заблокировать фишинговый сайт, копирующий ваш dApp](https://wardmint.com/ru/guides/take-down-a-phishing-site/ "How to take down a phishing site copying your dApp").

Ведите журнал каждой жалобы с временем, адресатом и номером обращения. Последующая жалоба UDRP, жалоба в ICANN Compliance или заявление в полицию начинаются с этого журнала. Потери от дрейнеров велики: ScamSniffer насчитала 106,106 жертв и USD 83.85 млн потерь от дрейнеров кошельков в сетях EVM в 2025, поэтому аккуратный журнал помогает пользователям, подающим собственные жалобы.

## Насколько подготовка меняет первый час?

**Письменный регламент экономит минуты, которых у вас нет.** По данным опроса Wardmint от 12 ноября 2026, в его исследовательском файле четыре записи о перехватах с первичным источником с июля 2024: волна Squarespace (июль 2024), Curve Finance (май 2025), группа из пяти проектов (февраль 2026) и клиенты Name.com (октябрь 2026). Каждый источник связывает атаку с уровнем домена, регистратора или DNS, а не со смарт-контрактами, хотя причина случая октября 2026 оспаривается между Name.com и Vercel. Запишите заранее, пока это не понадобилось: кто владеет входом к регистратору, где хранятся ключи 2FA, какие DNS-записи вы ожидаете и контакт для каждого канала.

Для укрепления до инцидента см. [как защитить свой домен от перехвата DNS](https://wardmint.com/ru/guides/secure-domain-against-dns-hijacking/ "How to secure your domain against DNS hijacking"). Поддержка в Wardmint: ответы по e-mail в течение 12 часов, 7 дней в неделю, включая помощь с DNSSEC, записями CAA и жалобами на злоупотребления.

## Вопросы об инцидентах с выдачей себя за другого

### Нужно ли отключать мой настоящий сайт во время инцидента?

Только если ваш собственный домен перехвачен или скомпрометирован. При похожем домене на другом адресе оставьте свой сайт в сети и сделайте настоящий адрес заметнее.

### Нужно ли объявлять об инциденте публично?

Да, как только вы его подтвердили. Пользователи подписывают поддельный запрос в минуты до того, как узнают о нём, поэтому короткое фактическое уведомление из проверенных каналов приносит больше пользы, чем полный отчёт, написанный позже.

### Могут ли пользователи вернуть свои средства?

Не обещайте этого. Расскажите пользователям, как защитить оставшиеся средства, и попросите делиться хешами транзакций; возврат зависит от сети, дрейнера и действий правоохранительных органов.

### Как скоро регистратор отреагирует на мою жалобу?

Никакой срок не обязывает всех регистраторов. ICANN требует от аккредитованных регистраторов оперативно действовать при наличии подтверждающих доказательств фишинга с 5 апреля 2024. В Wardmint действие следует в течение 24 часов после получения обоснованной жалобы.

**Вкратце**

- Сначала проверьте свой DNS: похожий домен и перехват требуют разных звонков.
- Предупредите пользователей через проверенные каналы с настоящим адресом и без рабочей ссылки на подделку.
- Отправьте жалобы регистратору и хостеру параллельно с одним пакетом доказательств.
- Смените доступ к регистратору, DNS и хостингу и перейдите на аппаратный 2FA.
- Chainalysis насчитала рост мошенничества с выдачей себя за другого примерно на 1,400% в 2025.
- ScamSniffer насчитала USD 83.85 млн потерь от дрейнеров кошельков в сетях EVM в 2025.
- Wardmint действует в течение 24 часов после получения обоснованной жалобы.

## Источники

1. [Инцидент с доменом Curve](https://news.curve.finance/curve-domain-incident/) — Curve Finance (прочитано 2026-11-12)
2. [Хакеры перехватили дюжину сайтов DeFi, все зарегистрированные в Name.com](https://theblock.co/news/defi/2026-10-31-hackers-hijack-a-dozen-defi-websites-all-registered-with-name-com-and-steal-about-138000-432251) — The Block (прочитано 2026-11-12)
3. [Крипто-мошенничество 2026: отчёт Chainalysis](https://www.chainalysis.com/blog/crypto-scams-2026/) — Chainalysis (прочитано 2026-11-12)
4. [Отчёт ScamSniffer 2025: потери от крипто-фишинга упали на 83% до $84 млн](https://drops.scamsniffer.io/scam-sniffer-2025-crypto-phishing-losses-fall-83-to-84-million/) — ScamSniffer (прочитано 2026-11-12)
5. [Перехват фронтенда и поверхность атаки Web2](https://blockaid.io/blog/frontend-hijacking-and-the-web2-attack-surface-threatening-web3-protocols) — Blockaid (прочитано 2026-11-12)
6. [Исследователи: слабые настройки безопасности по умолчанию привели к перехвату доменов Squarespace](https://krebsonsecurity.com/2024/07/researchers-weak-security-defaults-enabled-squarespace-domains-hijacks/) — Krebs on Security (прочитано 2026-11-12)
7. [Глобальные поправки 2024 года к Соглашению об аккредитации регистраторов: злоупотребления DNS](https://www.icann.org/resources/pages/global-amendment-2024-en) — ICANN (прочитано 2026-11-12)

---

Wardmint: Wardmint регистрирует защитные домены, которые нужны крипто-проекту: собственное имя проекта в зонах, которые используют фишеры, и собственные варианты с опечатками и похожими написаниями. Оплата в криптовалюте, без KYC: без документов, удостоверяющих личность, нужен только один подтверждённый e-mail на домен. Сервис принадлежит DomaineGoat LLC, компании, зарегистрированной в Панаме; домены регистрируются через партнёра-регистратора, аккредитованного ICANN. Домен .com стоит 12,49 $/год, одна и та же цена каждый год.