Hur säkrar du din domän mot DNS-kapning?

Vad är DNS-kapning, och varför drabbar den krypto-frontends?

DNS-kapning är en obehörig ändring av de poster eller den registrering som talar om för webbläsare var en domän finns. Angriparen rör inte dina smarta kontrakt. De skickar användare av din riktiga adress till en kopia av ditt frontend som begär signaturer från plånboken.

Det är därför attacken passar krypto. En användare som skriver rätt adress och ser ett giltigt hänglås har ingen anledning att tvivla på sidan. Curve Finance sade efter incidenten den 12 maj 2025 att deras kontrakt och användardata inte var komprometterade, men besökare omdirigerades ändå till en statisk kopia som begärde signaturer. Förlusten kommer från signaturen, inte från en brist i koden.

Angriparen behöver kontroll över en av tre saker: registrarkontot som håller domänen, DNS-leverantören som betjänar dess poster, eller resolverns väg mellan användare och server. Den här guiden täcker de två första, eftersom det är dem ett projekt kan styra. Att skydda den tredje är vad DNSSEC är till för, och det förklaras i hur du aktiverar DNSSEC på din domän.

Vilka verkliga incidenter visar hur kapningar går till?

Offentliga incidenter sedan 2022 visar angripare som går via konton och supportpersonal, inte via kryptografi. Tabellen ovan listar dem, och mönstret upprepas.

Enligt Wardmints räkning från den 12 november 2026 innehåller incidenttabellen i dess forskning sju poster mellan augusti 2022 och oktober 2026 (Curve två gånger, Balancer, Galxe, Squarespace-vågen i juli 2024, klustret i februari 2026 och vågen i oktober 2026), och var och en av dem agerade på domänen, DNS-leverantören eller registrarkontot. Hela listan med källor finns i vilka kryptoprojekt som förlorade användare genom DNS-kapning.

Hur låser du registrarkontot?

Behandla registrarkontot som nyckeln till hela frontenden, och ge det den starkaste inloggningen du har. Använd ett lösenord som är långt, slumpmässigt och inte används någon annanstans, och slå på tvåfaktorsautentisering. Förvara inloggningen i en lösenordshanterare eller ett hårdvarustött valv, inte i en delad chatt.

Minska antalet personer som kan logga in. Utse en ägare och en reserv, anteckna vem som innehar varje inloggningsuppgift, och ta bort åtkomsten samma dag som någon lämnar teamet. Håll återställningsvägen lika sträng som inloggningen: ett konto som tvåfaktor skyddar men som en supportagent kan återställa på begäran är bara så starkt som agentens checklista. Balancer- och Avantis-fallen involverade båda en människa hos en leverantör.

Den fullständiga rutinen, inklusive hur du upptäcker phishing mot registrarinloggningar, finns i hur du skyddar ditt registrarkonto mot övertagande. På Wardmint e-svar inom 12 timmar, 7 dagar i veckan, inklusive hjälp med DNSSEC, CAA-poster och missbruksanmälningar, så be supporten om hjälp med någon av dessa inställningar.

Vad stoppar ett överföringslås respektive ett registerlås?

Ett överföringslås hindrar domänen från att flyttas till en annan registrar; ett registerlås går längre och blockerar ändringar i själva registret. De är två olika lager, och ett projekt kan ha det ena utan det andra.

Ett överföringslås är registrarens status clientTransferProhibited. Det förhindrar en obehörig överföring, men stoppar inte ändringar av DNS-poster i registrarens egen DNS-hosting. Wardmint erbjuder ett överföringslås som du slår på eller av för varje domän i kundområdet; EPP-koden begärs också där.

Ett registerlås, som Verisign erbjuder för .com och .net genom anslutna registrar, lägger till verifiering utanför det vanliga kanalen, så att ändringar av namnservrar, överföring och ägande inte kan göras enbart med kontouppgifter. Registrar brukar ta ungefär 100 till 600 USD per år för det, enligt siffror från DomainNameWire och en återförsäljarsida som är daterade och overifierade. Wardmint erbjuder inte registerlås. I stället erbjuds överföringslås och Domänskydd till +29 US$/år per domän, där domänen registreras i namnet DomaineGoat LLC, hålls under ett överföringslås och varje klagomål om den läses av en person innan någon åtgärd vidtas. Skillnaden förklaras i registerlås kontra registrarlås.

Förhindrar DNSSEC och CAA-poster en kapning?

DNSSEC och CAA minskar skadan av en kapning; de stoppar inte en angripare som äger ditt konto. DNSSEC signerar dina poster så att en resolver kan förkasta förfalskade svar på vägen. En angripare som loggar in hos registraren kan ersätta DS-posten eller namnservrarna, så signaturen skyddar då angriparens data.

CAA-poster anger vilka certifikatutfärdare som får utfärda certifikat för din domän. RFC 8659 definierar dem. De spelar roll eftersom angriparna i februari 2026 fick certifikat samma dag som DNS-ändringen; en CAA-post som bara anger din utfärdare tvingar dem att ändra den först, vilket ett larm kan fånga. Ingen av kontrollerna ersätter ett låst konto, och vardera tar några minuter att göra. Syntaxen finns i hur du konfigurerar CAA-poster.

Hur märker du en kapning inom några minuter?

Bevaka de två offentliga spår som varje kapning lämnar: ett nytt certifikat och ett ändrat DNS-svar. Certificate Transparency-loggar visar varje offentligt betrott certifikat som utfärdats för ditt namn, och en gratis sökning eller ström visar ett oväntat certifikat snabbt. En schemalagd kontroll som jämför dina namnservrar och A-poster med de förväntade värdena fångar själva ändringen.

Förbered svaret innan du behöver det. Håll en alternativ officiell adress tillkännagiven i förväg, ett kort meddelande redo för dina sociala kanaler och registrarens brådskande kontakt. Curve använde curve.finance som tillfällig åtkomstpunkt den 12 maj 2025, vilket visar värdet av att ha en andra domän du kontrollerar. En försvarsuppsättning som registrerats i förväg ger dig den andra adressen; .com, .net, .org, .io, .xyz, .app kostar $128.94 per år hos Wardmint.

Vad är den korta versionen?

En kapningsresistent domän är en där kontot är svårt att ta, en överföring kräver en kod, svaren är signerade och certifikaten övervakas. Wardmints läsning av den offentliga historiken är att kontot och dess supportväg är målet i de sju incidenter som den följer. Att säkra dem först och sedan lägga till DNSSEC och CAA är den ordning som stämmer med bevisen. Wardmint säljer registreringarna och DNS-verktygen; gratis DNS-hosting med A-, AAAA-, CNAME-, ALIAS-, MX-, TXT-, NS-, SRV- och CAA-poster, hanterad DNSSEC och egna nameservers om du föredrar det (2 till 13). Det säljer inte övervakning, så de gratisverktyg som finns i övervakningsguiden täcker det steget.