# Які крипто-проєкти втратили користувачів через захоплення DNS?

> Вісім задокументованих захоплень DNS і доменів крипто-сайтів від 2018 року: від $570K у Curve у 2022 до 12 DeFi-сайтів 30 жовтня 2026.

- URL: https://wardmint.com/uk/dns-hijacking-crypto-incidents/
- Останнє оновлення: 2026-11-12
- Видавець: Wardmint (https://wardmint.com)

Датована таблиця захоплень доменів і DNS, які відправляли користувачів крипто на фальшиві фронтенди, що вчить кожен випадок і наскільки ми впевнені в кожному факті.

**Коротка відповідь — Які крипто-проєкти втратили користувачів через захоплення DNS?**

Curve Finance (серпень 2022, близько $570 000 за повідомленнями), Balancer і Galxe (2023, Galxe повернув $396 000), хвиля Squarespace у липні 2024 (Compound, Celer, Pendle), Curve знову 12 травня 2025, п'ять протоколів у лютому 2026 і дюжина DeFi-сайтів 30 жовтня 2026 (близько $138 000, простежених). **Wardmint** наводить кожен випадок у таблиці з його джерелом.

## Захоплення крипто-доменів і DNS, 2018–2026

*До списку потрапили лише випадки, для яких ми змогли знайти джерело. Втрати наведено за цитованим виданням і не додаються разом.*

| Дата | Проєкт | Що сталося | Задокументовані втрати | Рівень джерела |
| --- | --- | --- | --- | --- |
| 24 квітня 2018 | MyEtherWallet | Простір адрес Route 53 перехоплено через BGP приблизно на дві години; фальшиві відповіді DNS відправляли користувачів на фішинговий клон з недійсним сертифікатом HTTPS | Близько $150 000 в ETH (оцінки різняться) | Вторинне (The Register) |
| 9 серпня 2022 | Curve Finance | Захоплення DNS на боці реєстратора; користувачів перенаправили на клон, який просив підписи гаманця | Видання повідомляли $530 000–$573 000; CertiK налічила близько $612 000 | Вторинне джерело, цифри відрізняються |
| 19 вересня 2023 | Balancer | Фронтенд перенаправлено після атаки соціальної інженерії на його провайдера DNS, як описав Balancer | $238 000 у другій атаці | Додаткове |
| 6 жовтня 2023 | Galxe | Офіційний сайт перенаправлено на фішинговий сайт, який зливав гаманці; був недоступний близько години | Galxe повернув трохи більше $396 000 понад 980 користувачам | Основне джерело для повернення (The Block) |
| 9–12 липня 2024 | Compound, Celer, Pendle, Unstoppable Domains та інші | Домени, перенесені з Google Domains на Squarespace, захоплено через створення облікового запису; Squarespace пояснив це слабкістю OAuth, дослідники — слабким типовим налаштуванням | Підтвердженої загальної суми немає | Основне джерело (Krebs on Security) |
| 12 травня 2025 | Curve Finance | Друге захоплення curve.fi на рівні реєстратора, виявлене о 21:20 UTC; статична підробка просила підписи | Curve не повідомляв про жодні втрати | Основне джерело (повідомлення Curve) |
| 16–23 лютого 2026 | OpenEden, Curvance, Smithii, Avantis, Nerochain | Переказ у реєстратора, захоплення облікового запису реєстратора через дзвінок у службу підтримки та перенаправлення схожого домену; сертифікати видано того самого дня | Сум у доларах не опубліковано | Основне джерело (Blockaid) |
| 30–31 жовтня 2026 | Flap, Kintsu, Pickle Finance, Origami Finance, FluxBeam, Echelon, StonkFun, StakePoint та інші | Домени в одного реєстратора перенаправлено на набір дрейнера; реєстратор їх відновив; причина спірна між реєстратором і хостинговою платформою | Близько $138 000 простежено до трьох гаманців EVM | Основне джерело (The Block) |

*Востаннє перевірено 12 листопада 2026 р.; старіші дані мають власну дату.*

## Що сталося з Curve Finance у 2022 і 2025?

**Curve двічі втрачав користувачів через захоплення DNS на боці реєстратора, майже через три роки.** 9 серпня 2022 користувачів перенаправили на клон, який просив підписи гаманця; видання повідомляли про втрати від приблизно $530 000 до $573 000, і цифри різняться. 12 травня 2025 близько 20:55 UTC делегування curve.fi змінили у реєстратора, а Curve дізналася про це о 21:20 UTC. Користувачі потрапляли на статичну підробку, яка копіювала головну сторінку і просила підписи.

Повідомлення Curve каже, що контракти не постраждали, дані користувачів не були скомпрометовані, а під час збою пройшло понад $400 млн обсягу on-chain. Команда перевела користувачів на curve.finance як тимчасову офіційну адресу і назвала відповідь реєстратора повільною. У повідомленні немає жодних втрат. Урок стосується реєстратора: коли делегування змінюється там, кожен запис DNS, який ви тримаєте, стає неактуальним, доки ви не повернете домен.

## Що була за хвиля Squarespace у липні 2024?

**Між 9 і 12 липня 2024 щонайменше дюжина організацій, переважно крипто-бізнеси, втратили домени після міграції реєстратора.** Squarespace купив близько 10 мільйонів доменів у Google Domains у червні 2023 і переносив клієнтів. Дослідники з MetaMask і Paradigm заявили, що зловмисник міг створити обліковий запис з електронною адресою, прив'язаною до перенесеного домену, раніше за власника. Посмертний звіт Squarespace від 23 липня звинуватив слабкість входу через OAuth, яку виправили протягом кількох годин, і не погодився з трактуванням дослідників, заявивши, що облікові записи з непідтвердженою електронною адресою не були задіяні.

Названі жертви у звіті Krebs on Security включають Celer Network, Compound Finance, Pendle Finance і Unstoppable Domains. У деяких випадках захоплені домени перенаправляли відвідувачів на фішингові сайти, що крали криптовалюту. Урок: під час будь-якої міграції реєстратора створіть і захистіть обліковий запис на новому боці самостійно, з увімкненою двофакторною автентифікацією, поки це не зробив хтось інший.

## Що показали захоплення 2026 року?

**Випадки 2026 року показують, що атакувальники йдуть за обліковими записами реєстраторів і персоналом реєстраторів, а не за протоколом.** Між 16 і 23 лютого 2026 Blockaid відстежила п'ять компрометацій фронтенду, які доставили дрейнер AngelFerno. OpenEden і Curvance постраждали через переказ у реєстратора з GoDaddy до Namecheap. Avantis втратив обліковий запис Squarespace після того, як зловмисники отримали платіжні дані на дзвінку в службу підтримки. Користувачів Nerochain відправили на mainnet.live-nerochain.io, а сертифікати з wildcard видали для nerochain.io. У кількох випадках сертифікати видавали того самого дня, коли змінювали DNS.

30 жовтня 2026 домени дюжини DeFi-сайтів, зареєстрованих у Name.com, переспрямували ввечері й завантажили набором Step Drainer, повідомив The Block. Десять доменів було призупинено о 8:32 ранку ET 31 жовтня, а Name.com заявив, що відновив усі постраждалі домени і налічив 15 доменів клієнтів, а не 12. Близько $138 000 простежено до трьох гаманців EVM, без втрат у Solana та Aptos. Vercel пов'язала десять доменів зі своєю платформою; Kintsu і Origami вказували на Vercel, але причина залишається спірною.

Сертифікат, виданий того самого дня, — причина, чому [моніторинг прозорості сертифікатів для вашого бренду](https://wardmint.com/uk/guides/monitor-certificate-transparency/ "How to monitor certificate transparency for your brand") є частиною захисту, поруч із блокуваннями та безпекою облікового запису.

## Що спільного в цих інцидентах?

**У кожному випадку від 2022 року слабким місцем був обліковий запис домену, провайдер DNS або процес реєстратора, а не смарт-контракти.** Curve, Kintsu, Origami, FluxBeam і StonkFun заявили, що їхні контракти в мережі не зачіпалися. Захоплення змінює адресу, на яку вказує назва, тож користувачі, які вводять правильну адресу, все одно потрапляють до зловмисника.

Чотири заходи відповідають цим випадкам безпосередньо. Перший — обліковий запис, який не можна переконати скинути пароль: див. [як захистити обліковий запис реєстратора від захоплення](https://wardmint.com/uk/guides/protect-registrar-account/ "How to protect your registrar account from takeover"). Другий — блокування, яке забороняє перекази і, якщо реєстр це підтримує, зміни, зроблені лише обліковими даними: [реєстрове блокування і блокування реєстратора](https://wardmint.com/uk/registry-lock-vs-registrar-lock/ "Registry lock vs registrar lock: what is the difference?") відрізняються тим, хто може їх зняти. Третій — моніторинг сертифікатів і DNS. Четвертий — письмовий план на першу годину, у [як захистити домен від захоплення DNS](https://wardmint.com/uk/guides/secure-domain-against-dns-hijacking/ "How to secure your domain against DNS hijacking").

Wardmint пропонує блокування переказу, яке ви вмикаєте або вимикаєте для кожного домену в кабінеті клієнта; код переказу (EPP) також запитується там. Реєстрового блокування він не пропонує.

## Скільки випадків у таблиці?

За підрахунком Wardmint від 12 листопада 2026, таблиця містить 8 записів інцидентів з квітня 2018 по жовтень 2026, і 7 з них сталися від серпня 2022.

Ми виключили випадки березня і квітня 2026 (Neutrl, BonkFun, CoW Swap, eth.limo), бо не змогли відкрити їхні джерела, і кампанію фішингу через пошту Trezor і Ledger, бо вона не передбачала захоплення власного домену проєкту.

## Питання про захоплення DNS крипто-сайтів

### Що таке захоплення DNS крипто-сайту?

Це зміна того, на що вказує назва домену, без згоди власника, щоб відвідувачі, які вводять правильну адресу, потрапляли на копію сайту атакувальника. Смарт-контракти залишаються недоторканими; фронтенд просить користувачів підписати транзакції, які зливають їхні гаманці.

### Чи запобіг DNSSEC якомусь із цих захоплень?

Жодне з джерел, які ми читали, не каже, що запобіг. Коли сам обліковий запис реєстратора захоплено, зловмисник може змінити сервери імен і запис DS там, тож один DNSSEC не захищає цей шлях.

### Чому цифри втрат для одного інциденту відрізняються?

Видання рахують різні гаманці й різні дати, а деякі повідомляють лише про те, що простежили. Тому ми наводимо діапазон або цифру першоджерела і не додаємо цифри між інцидентами.

### Як швидко відбуваються захоплення?

У випадку 12 травня 2025 Curve помітила зміну через 25 хвилин після її початку. У лютому 2026 Blockaid каже, що сертифікати часто видавали того самого дня, що й зміну DNS.

### Чи можуть захисні домени зупинити захоплення мого основного домену?

Ні. Захисні домени зупиняють схожі адреси, а не захоплення вашої власної назви. Блокування, безпека облікового запису і моніторинг, описані в гайдах, стосуються самого захоплення.

**Підсумок**

- Curve Finance захопили на рівні реєстратора 9 серпня 2022 і знову 12 травня 2025.
- Galxe повернув трохи більше $396 000 понад 980 користувачам після 6 жовтня 2023.
- Хвиля Squarespace 9–12 липня 2024 вразила щонайменше дюжину організацій, серед них Compound, Celer і Pendle.
- П'ять протоколів захоплено між 16 і 23 лютого 2026; сертифікати видано того самого дня.
- 30 жовтня 2026 дюжина DeFi-сайтів в одного реєстратора було переспрямовано; простежено близько $138 000.
- У всіх інцидентах з 2022 року слабким місцем був обліковий запис домену, провайдер DNS або процес реєстратора.
- Wardmint пропонує блокування переказу, а не реєстрове блокування.

## Джерела

1. [Інцидент з доменом Curve](https://news.curve.finance/curve-domain-incident/) — Curve Finance (зчитано 2026-11-12)
2. [Дослідники: слабкі типові налаштування безпеки ввімкнули викрадення доменів Squarespace](https://krebsonsecurity.com/2024/07/researchers-weak-security-defaults-enabled-squarespace-domains-hijacks/) — Krebs on Security (зчитано 2026-11-12)
3. [Захоплення фронтенду і поверхня атаки Web2, що загрожує протоколам Web3](https://blockaid.io/blog/frontend-hijacking-and-the-web2-attack-surface-threatening-web3-protocols) — Blockaid (зчитано 2026-11-12)
4. [Хакери захопили десяток DeFi-сайтів, усі зареєстровані в Name.com, і вкрали близько $138 000](https://theblock.co/news/defi/2026-10-31-hackers-hijack-a-dozen-defi-websites-all-registered-with-name-com-and-steal-about-138000-432251) — The Block (зчитано 2026-11-12)
5. [Galxe оголошує повернення $396 000 постраждалим користувачам після атаки на DNS](https://www.theblock.co/post/255827/galxe-announces-396000-refund-to-affected-users-following-dns-attack) — The Block (зчитано 2026-11-12)
6. [Користувачі Curve Finance втрачають $573 000 через атаку на фронтенд](https://forklog.com/en/curve-finance-users-lose-573000-in-front-end-attack/) — ForkLog (зчитано 2026-11-12)
7. [Атаки на DNS Galxe і Balancer показують, що багато крипто-компаній вразливі](https://www.fxstreet.com/cryptocurrencies/news/galxe-balancer-dns-attacks-reveals-many-crypto-enterprises-are-vulnerable-to-subdomain-domain-hijacking-202310080705) — FXStreet (зчитано 2026-11-12)
8. [Захоплення DNS MyEtherWallet](https://www.theregister.com/2018/04/24/myetherwallet_dns_hijack/) — The Register (зчитано 2026-11-12)

---

Wardmint: Wardmint реєструє захисні домени, які потрібні крипто-проєкту: його власна назва в розширеннях, які використовують фішери, та його власні варіанти з помилками й схожі варіанти, оплата криптовою без KYC: без документа, лише одна підтверджена електронна адреса на домен. Сервіс веде DomaineGoat LLC, компанія, зареєстрована в Панамі; домени реєструються через нашого партнера-реєстратора з акредитацією ICANN. Домен .com коштує 12,49 USD/рік, та сама ціна щороку.