Как защитить домен от DNS-hijacking?

Что такое DNS-hijacking и почему он бьёт по фронтендам криптопроектов?

DNS-hijacking — это несанкционированное изменение записей или регистрации, которые сообщают браузерам, где находится домен. Злоумышленник не трогает ваши смарт-контракты. Он отправляет пользователей вашего настоящего адреса на копию вашего фронтенда, которая запрашивает подписи кошелька.

Именно поэтому атака подходит для криптопроектов. Пользователь, который ввёл правильный адрес и видит действительный замок в адресной строке, не имеет причин сомневаться в странице. После инцидента 12 May 2025 Curve Finance заявил, что его контракты и данные пользователей не были скомпрометированы, но посетителей перенаправляли на статичную подделку, которая запрашивала подписи. Потери возникают из-за подписи, а не из-за уязвимости в коде.

Злоумышленнику нужно получить контроль над одним из трёх звеньев: аккаунтом у регистратора, где хранится домен, DNS-провайдером, обслуживающим его записи, или путём разрешения имён между пользователем и сервером. В этом руководстве рассматриваются первые два, потому что их проект контролирует сам. Защита третьего — это задача DNSSEC, и она описана в как включить DNSSEC на вашем домене.

Какие реальные инциденты показывают, как происходят перехваты?

Публичные инциденты с 2022 года показывают, что злоумышленники идут через аккаунты и сотрудников поддержки, а не через криптографию. В таблице выше они перечислены, и схема повторяется.

По подсчёту Wardmint на 12 November 2026, в таблице инцидентов в его исследовании семь записей с August 2022 по October 2026 (Curve дважды, Balancer, Galxe, волна July 2024 с Squarespace, кластер February 2026 и волна October 2026), и в каждой злоумышленники воздействовали на домен, DNS-провайдера или аккаунт у регистратора. Полный список с источниками — в какие криптопроекты потеряли пользователей из-за DNS-hijacking.

Как защитить аккаунт у регистратора?

Относитесь к аккаунту у регистратора как к ключу ко всему фронтенду и защитите вход максимально надёжно. Используйте длинный случайный пароль, который нигде больше не применяется, и включите двухфакторную аутентификацию. Храните данные для входа в менеджере паролей или в аппаратном хранилище, а не в общем чате.

Сократите число людей, которые могут войти. Назначьте одного владельца и одного резервного, записывайте, у кого какие учётные данные, и закрывайте доступ в день ухода сотрудника из команды. Делайте путь восстановления таким же строгим, как и вход: аккаунт, защищённый двухфакторной аутентификацией, но сбрасываемый сотрудником поддержки по просьбе, надёжен лишь настолько, насколько надёжен чек-лист этого сотрудника. В случаях с Balancer и Avantis участвовал человек на стороне провайдера.

Полный порядок действий, включая распознавание фишинга, нацеленного на вход к регистратору, описан в как защитить аккаунт у регистратора от захвата. В Wardmint ответы по e-mail в течение 12 часов, 7 дней в неделю, включая помощь с DNSSEC, записями CAA и жалобами на злоупотребления, поэтому обращайтесь в поддержку за помощью с любой из этих настроек.

От чего защищают блокировка трансфера и registry lock?

Блокировка переноса не дает домену перейти к другому регистратору; блокировка реестра идет дальше и запрещает изменения в самом реестре. Это два разных уровня, и проект может иметь один без другого.

Блокировка переноса — это статус на стороне регистратора clientTransferProhibited. Она предотвращает несанкционированный перенос, но не останавливает правку записей DNS в DNS-хостинге регистратора. Wardmint предлагает блокировка переноса, которую вы включаете или отключаете для каждого домена в личном кабинете; код переноса (EPP) тоже запрашивается там.

Блокировка реестра, которую Verisign предлагает для .com и .net через участвующих регистраторов, добавляет проверку вне основного канала, так что изменения серверов имен, переноса и владения нельзя провести одними учетными данными аккаунта. Регистраторы обычно берут за нее примерно USD 100–600 в год, по данным DomainNameWire и страницы реселлера, которые устарели и не проверены. Wardmint не предлагает блокировку реестра. Вместо этого он предлагает блокировку переноса и Защиту домена за +29 $/год на домен, где домен зарегистрирован на имя DomaineGoat LLC, находится под блокировкой переноса, а каждая жалоба на него читается человеком до любых действий. Разница объясняется в блокировка реестра и блокировка регистратора.

Предотвращают ли перехват DNSSEC и записи CAA?

DNSSEC и CAA уменьшают ущерб от перехвата, но не останавливают злоумышленника, который владеет вашим аккаунтом. DNSSEC подписывает ваши записи, чтобы резолвер мог отклонять поддельные ответы на пути. Злоумышленник, вошедший к регистратору, может заменить запись DS или серверы имён, и тогда подпись защищает уже его данные.

Записи CAA указывают удостоверяющие центры, которым разрешено выпускать сертификаты для вашего домена. Их определяет RFC 8659. Они важны, потому что злоумышленники в February 2026 получали сертификаты в тот же день, что и менялся DNS; запись CAA, в которой указан только ваш удостоверяющий центр, вынуждает их сначала изменить её, а это может заметить оповещение. Ни одна из этих мер не заменяет заблокированный аккаунт, и каждая занимает несколько минут. Синтаксис описан в как настроить записи CAA.

Как заметить перехват в течение нескольких минут?

Следите за двумя публичными следами, которые оставляет любой перехват: новым сертификатом и изменившимся DNS-ответом. Журналы Certificate Transparency показывают каждый публично доверенный сертификат, выпущенный на ваше имя, а бесплатный поиск или поток быстро выявляет неожиданный. Регулярная проверка, сравнивающая ваши серверы имён и записи A с ожидаемыми значениями, ловит само изменение.

Подготовьте реакцию заранее. Держите наготове заранее объявленный альтернативный официальный адрес, короткое сообщение для ваших соцсетей и срочный контакт регистратора. Curve использовал curve.finance как временную точку доступа 12 May 2025, что показывает ценность второго домена, который вы контролируете. Защитный набор, зарегистрированный заранее, даёт вам этот второй адрес; .com, .net, .org, .io, .xyz, .app стоит $128.94 в год в Wardmint.

Каково краткое резюме?

Домен, устойчивый к перехвату, — это домен, аккаунт которого трудно взломать, для трансфера нужен код, ответы подписаны, а сертификаты находятся под наблюдением. По прочтению Wardmint публичных данных, целью в семи отслеживаемых им инцидентах были аккаунт и путь обращения в поддержку. Порядок «сначала защитить их, затем добавить DNSSEC и CAA» соответствует имеющимся данным. Wardmint продаёт регистрации и инструменты DNS; бесплатный DNS-хостинг с записями A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV и CAA, управляемый DNSSEC и собственные серверы имён по желанию (от 2 до 13). Мониторинг он не продаёт, поэтому этот шаг закрывают бесплатные инструменты из руководства по мониторингу.