Как защитить домены DeFi-протокола?

Что идёт не так на уровне доменов в DeFi?

Злоумышленник, контролирующий домен, контролирует то, что подписывает каждый пользователь. Контракты остаются нетронутыми, поэтому аудиты и программы вознаграждения за уязвимости этого не ловят.

Схема одинакова во всех описанных выше инцидентах. В уведомлении Curve от 12 May 2025 сказано, что пользователей перенаправляли на статичную подделку, копировавшую главную страницу и запрашивавшую подписи, а контракты и данные пользователей не были скомпрометированы. Blockaid, отслеживавший кластер February 2026, сообщил, что злоумышленники получили SSL-сертификаты в тот же день, что и изменение DNS, и что пользователей Nerochain отправили на хост-двойник с wildcard-сертификатами, выпущенными на настоящее имя.

По индексу Wardmint на 12 November 2026, 3 из 7 инцидентов на уровне доменов в его таблице с 2022 года датированы временем после May 2025, так что риск не снижается. Wardmint продаёт регистрации, а не мониторинг, и не может остановить захват аккаунта у другого регистратора; он предоставляет имена и бесплатные инструменты и процедуры для их укрепления.

Какие меры нужны протоколу на основном домене?

Четыре меры закрывают описанные выше сбои: безопасность аккаунта, блокировка, DNSSEC и записи CAA.

• Аккаунт: используйте почтовый ящик роли, а не личный, длинный уникальный пароль, двухфакторную аутентификацию и никакого общего входа. См. руководство защита домена от захвата DNS.
• Блокировка: блокировка переноса не дает перенести домен к другому регистратору. Блокировка реестра, которую Verisign предлагает для .com и .net через участвующих регистраторов, также блокирует изменения DNS и владения, сделанные одними учетными данными. Wardmint не предлагает блокировку реестра; команде, которой она нужна для основного .com, стоит держать это имя у регистратора, который её предлагает.
• DNSSEC: включите DNSSEC, чтобы резолверы могли распознавать подделанные ответы. Это не поможет, если сам аккаунт регистратора скомпрометирован.
• CAA: настройте записи CAA, чтобы только выбранный вами центр сертификации мог выпускать сертификаты для домена.

Wardmint предоставляет бесплатный DNS-хостинг с записями A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV и CAA, управляемый DNSSEC и собственные серверы имён по желанию (от 2 до 13) для зоны.

Какие варианты должен зарегистрировать DeFi-протокол?

Зарегистрируйте точное имя на расширениях, которые могут попробовать ваши пользователи, плюс опечатки и финансовые слова, подходящие вашему продукту. Для протокола полезны такие наборы: базовый (.com, .net, .org, .io, .xyz, .app, $128.94 в год), стартовый (.com, .io, .xyz, .app, .finance, .network, $195.94 в год) и финансовые слова (.finance, .exchange, .money, .cash, .capital, .fund, $296.94 в год).

Направьте каждый вариант на основной сайт с помощью бесплатного перенаправления URL и примените шаблон DNS «без почты» к неиспользуемым именам, чтобы они не могли отправлять почту от имени вашего бренда. Wardmint регистрирует собственные варианты протокола для этого протокола; он не регистрирует двойники названия другого проекта. График запуска описан в какие домены зарегистрировать перед запуском токена.

Что протоколу подготовить до инцидента?

Подготовьте временный адрес, канал статуса и контакт у регистратора до того, как они понадобятся. После перехвата 12 May 2025 Curve перевёл пользователей на curve.finance как временную официальную точку доступа. Временный адрес возможен только тогда, когда второй домен уже зарегистрирован, а именно его даёт защитный набор.

Напишите инструкцию действий уже сейчас: кто может менять DNS, кто может связаться с поддержкой регистратора, как пользователям сообщат, что нужно прекратить подписывать, и как будет объяснён отзыв разрешений. Список прошлых случаев и того, чему научил каждый, приведён в Какие криптопроекты потеряли пользователей из-за DNS-hijacking?.