Vilka kryptoprojekt tappade användare genom DNS-kapning?

Vad hände med Curve Finance 2022 och 2025?

Curve förlorade användare genom en DNS-kapning på registrarsidan två gånger, nästan tre år isär. Den 9 augusti 2022 omdirigerades användare till en klon som bad om plånboksignaturer; medier rapporterade mellan cirka $530,000 och $573,000 i förluster, och siffrorna skiljer sig. Den 12 maj 2025 vid cirka 20:55 UTC ändrades delegeringen av curve.fi hos registraren, och Curve upptäckte det 21:20 UTC. Användare nådde en statisk decoy som kopierade startsidan och bad om signaturer.

Curves meddelande säger att kontrakten var opåverkade, att inga användardata komprometterades och att mer än $400 million i on-chain-volym behandlades under avbrottet. Teamet flyttade användare till curve.finance som tillfällig officiell adress och beskrev registrarens svar som långsamt. Meddelandet rapporterar ingen förlust. Lärdomen gäller registraren: när delegeringen ändras där blir varje DNS-post du har irrelevant tills du får tillbaka domänen.

Vad var Squarespace-vågen i juli 2024?

Mellan 9 och 12 juli 2024 fick minst ett dussin organisationer, mestadels kryptoföretag, sina domäner kapade efter en registrarövergång. Squarespace hade köpt cirka 10 miljoner domäner från Google Domains i juni 2023 och flyttade kunder över. Forskare hos MetaMask och Paradigm sa att en angripare kunde skapa ett konto med en e-post kopplad till en flyttad domän innan ägaren gjorde det. Squarespaces efterhandsanalys den 23 juli skyllde på en svaghet i OAuth-inloggningar som den åtgärdade inom några timmar, och den bestred forskarnas tolkning och sa att inga overifierade e-postinloggningskonton var inblandade.

Namngivna offer i Krebs on Security-rapporten inkluderar Celer Network, Compound Finance, Pendle Finance och Unstoppable Domains. I vissa fall omdirigerade de kapade domänerna besökare till nätfisksajter som syftade till att stjäla kryptovaluta. Lärdomen: under en registrarövergång ska du skapa och säkra kontot på den nya sidan själv, med tvåfaktorsautentisering på, innan någon annan kan.

Vad visade kapningarna 2026?

Attackerna 2026 riktar sig mot registrarkonton och registrarpersonal, inte mot protokollet. Mellan 16 och 23 februari 2026 spårade Blockaid fem frontend-intrång som levererade AngelFerno-dräneraren. OpenEden och Curvance drabbades genom en registrarövergång från GoDaddy till Namecheap. Avantis förlorade sitt Squarespace-konto efter att angriparna fått faktureringsuppgifter i ett supportsamtal. Nerochain-användare skickades till mainnet.live-nerochain.io, med wildcard-certifikat utfärdade för nerochain.io. I flera fall utfärdades certifikat samma dag som DNS-ändringen.

Den 30 oktober 2026 omdirigerades domäner för ett dussin DeFi-sajter registrerade hos Name.com på kvällen och laddades med dränerarkitet Step Drainer, enligt The Block. Tio domäner stängdes av kl. 8.32 ET den 31 oktober, och Name.com sa att de återställt alla berörda domäner och räknade 15 kunddomäner, inte 12. Cirka $138,000 spårades till tre EVM-plånböcker, utan förluster på Solana och Aptos. Vercel kopplade tio av domänerna till sin plattform; Kintsu och Origami pekade mot Vercel, och orsaken är fortfarande omtvistad.

Ett certifikat som utfärdas samma dag är anledningen till att övervakning av certifikattransparens för ditt varumärke är en del av försvaret, vid sidan av lås och kontosäkerhet.

Vad har dessa incidenter gemensamt?

I varje fall sedan 2022 var den svaga punkten domänkontot, DNS-leverantören eller registrarprocessen, inte smarta kontrakt. Curve, Kintsu, Origami, FluxBeam och StonkFun sa alla att deras kontrakt på kedjan var orörda. En kapning ändrar vart namnet pekar, så användare som skriver rätt adress når ändå angriparen.

Fyra åtgärder svarar direkt på dessa fall. Den första är ett konto som inte kan övertalas till en återställning: se hur du skyddar ditt registrarkonto mot övertagande. Den andra är ett lås som blockerar överföringar och, där registret stöder det, ändringar som görs med enbart uppgifter: registerlås och registrarlås skiljer sig åt i vem som kan häva dem. Den tredje är övervakning av certifikat och DNS. Den fjärde är en skriftlig plan för den första timmen, i hur du säkrar din domän mot DNS-kapning.

Wardmint erbjuder ett överföringslås som du slår på eller av för varje domän i kundområdet; EPP-koden begärs också där. Det erbjuder inte registerlås.

Hur många fall finns i tabellen?

Enligt Wardmints räkning den 12 november 2026 listar tabellen 8 incidentposter från april 2018 till oktober 2026, och 7 av dem inträffade sedan augusti 2022.

Vi utelämnade fallen från mars och april 2026 (Neutrl, BonkFun, CoW Swap, eth.limo) eftersom vi inte kunde öppna deras källor, och en Trezor- och Ledger-mailkampanj för nätfiske eftersom den inte involverade en kapning av ett projekts egen domän.