# Що робити, якщо фішинговий сайт видає себе за ваш проєкт?

> Чекліст першої години, коли фішинговий сайт видає себе за ваш крипто-проєкт: підтвердити, попередити користувачів, повідомити паралельно і змінити доступи.

- URL: https://wardmint.com/uk/guides/handle-a-domain-impersonation-incident/
- Останнє оновлення: 2026-11-12
- Видавець: Wardmint (https://wardmint.com)

Перша година вирішує, скільки користувачів підпишуть хибний запит. Цей чекліст відокремлює схожий сайт від захоплення вашого власного домену, а потім розставляє попередження, звіти і подальші дії за порядком.

**Коротка відповідь — Що робити, якщо фішинговий сайт видає себе за ваш проєкт?**

Коли фішинговий сайт видає себе за ваш проєкт, спершу перевірте, чи ваш власний домен і далі правильно розв'язується, потім попередьте користувачів з перевірених каналів з вашою справжньою адресою, паралельно повідомте сайт реєстратору і хосту та змініть будь-який доступ, який міг мати зловмисник. Chainalysis налічила, що видавання себе за іншого зросло приблизно на 1 400% у 2025. **Wardmint** діє протягом 24 годин після добре задокументованого звіту.

## Перша година, хвилина за хвилиною

*Робочий графік, а не гарантія будь-якого результату.*

| Вікно | Дія | Власник |
| --- | --- | --- |
| 0–10 хвилин | Підтвердьте підробку, перевірте свій DNS, призначте керівника інциденту | Керівник безпеки |
| 10–25 хвилин | Опублікуйте попередження на кожному перевіреному каналі з справжньою адресою; призупиніть будь-яку кампанію з підписами | Керівник спільноти |
| 25–40 хвилин | Надішліть пакет доказів реєстратору і хосту; позначте URL у списках попереджень | Керівник безпеки |
| 40–60 хвилин | Перевірте доступ до облікового запису реєстратора, змініть паролі й 2FA, перегляньте записи DNS | Керівник операцій |
| Після першої години | Відстежуйте звіти, оновлюйте користувачів, вирішіть щодо скарги UDRP | Керівник інциденту |

## Чекліст першої години

1. **Відокремте схожий домен від захоплення** — Виконайте перевірку DNS нижче. Схожий домен — це інший домен; користувачі, які помилилися в адресі або клікнули не туди, потрапили на нього. Захоплення означає, що ваш власний домен тепер вказує в інше місце, і це надзвичайна ситуація у вашого реєстратора.
2. **Призначте одного керівника інциденту** — Одна людина відповідає за хронологію, теку доказів і кожне вихідне повідомлення. Інші виконують завдання; вони не діють самочинно.
3. **Попередьте користувачів з каналів, яким вони довіряють** — Опублікуйте справжню адресу на банері сайту, в соцмережах, на сервері спільноти і в каналах інтеграції гаманців. Скажіть прямо: ніколи не підписуйте запит з будь-якої іншої адреси. Запишіть фальшиву адресу з дефангом, наприклад example[.]com, щоб ніхто не клікнув на неї.
4. **Почніть звіти паралельно** — Спершу реєстратор і хост, потім Safe Browsing, Netcraft, Chainabuse і списки блокування гаманців. Гайд зі звітів містить команди RDAP.
5. **Закрийте власний доступ** — Перегляньте обліковий запис реєстратора, DNS-провайдера і входи в хостинг. Змініть паролі, замініть 2FA через SMS на апаратний ключ і перевірте записи DNS рядок за рядком. Див. як захистити обліковий запис реєстратора від захоплення.
6. **Допоможіть користувачам, які вже підписали** — Скажіть їм перевести залишки коштів на новий гаманець, перевірити й відкликати дозволи на токени за допомогою перевірника дозволів у блок-експлорері, і надіслати вам хеш транзакції. Не обіцяйте повернення коштів у першому повідомленні.

*Крок 1: чи ваш власний домен і далі вказує туди, куди має?*

```bash
dig +short NS yourdomain.com
dig +short A yourdomain.com
dig +short TXT yourdomain.com
curl -sL https://rdap.org/domain/yourdomain.com | jq '{status: .status, nameservers: [.nameservers[].ldhName], changed: [.events[] | select(.eventAction=="last changed") | .eventDate]}'

# compare with the values you recorded in your runbook; a changed nameserver or a new "last changed" date you did not make is a hijack
```

## Як відрізнити схожий сайт від захоплення вашого власного домену?

**Якщо ваш домен і далі розв'язується на ваші сервери і його сервери імен ваші, підробка живе на іншому домені.** Перевірка займає менше хвилини за наведеними вище командами. Схожий сайт означає, що атакувальник володіє іншим доменом і покладається на те, що користувачі помиляться в адресі, клікнуть рекламу або перейдуть за посиланням.

Захоплення — інше. 12 травня 2025 домен Curve Finance було переспрямовано на рівні реєстратора близько 20:55 UTC; команда виявила це о 21:20 UTC, попросила користувачів використовувати curve.finance як тимчасову адресу і заявила, що контракти та дані користувачів не постраждали. Увечері 30 жовтня 2026 домени близько десятка фронтендів DeFi, зареєстрованих у Name.com, було переспрямовано на набір дрейнера; The Block повідомив, що десять доменів призупинили о 8:32 ранку за східним часом наступного дня. У разі захоплення спершу телефонуйте реєстратору.

## Що має говорити попередження користувачам?

**Добре попередження дає справжню адресу, каже, яку відмову слід відхилити, і нікого не називає винним.** Тримайте його у чотирьох рядках: що сталося, єдина офіційна адреса, інструкція відхилити будь-який запит на підпис з іншої адреси і час наступного оновлення.

Не публікуйте посилання на фальшивий сайт. Не вгадуйте втрат. Повідомлення Curve від травня 2025 — взірець форми: там сказано, що було перенаправлено, яку адресу використовувати і що контракти не зачеплено. Закріпіть повідомлення на кожному каналі і редагуйте його на місці, коли факти змінюються, з часом кожної правки. Довший крок — [захисний набір власних варіантів](https://wardmint.com/uk/defensive-domain-registration/ "What is defensive domain registration?"), щоб очевидні підробки не продавалися атакувальнику.

## Що робити зі звітами та доказами?

**Надішліть один пакет доказів кожному отримувачу тієї самої години.** Пакет містить URL, датовані скриншоти, запит на підпис, адреси гаманців-отримувачів і вивід RDAP. Повний порядок контактів — у [як зняти фішинговий сайт, що копіює ваш dApp](https://wardmint.com/uk/guides/take-down-a-phishing-site/ "How to take down a phishing site copying your dApp").

Ведіть журнал кожного звіту з часом, отримувачем і номером посилання. Пізніша скарга UDRP, скарга до ICANN Compliance або звернення до поліції починаються з цього журналу. Збитки від дрейнерів великі: ScamSniffer налічив 106 106 жертв і USD 83.85 млн втрат від дрейнерів гаманців у ланцюгах EVM у 2025, тож чистий журнал допомагає користувачам, які подають власні звіти.

## Наскільки підготовка змінює першу годину?

**Письмовий посібник заощаджує хвилини, яких ви не можете втратити.** За опитуванням Wardmint від 12 листопада 2026, її дослідницький файл містить чотири записи про захоплення з першоджерелом із липня 2024: хвилю Squarespace (липень 2024), Curve Finance (травень 2025), кластер із п'яти проєктів (лютий 2026) і клієнтів Name.com (жовтень 2026). Кожне джерело пов'язує атаку з доменом, реєстратором або шаром DNS, а не зі смарт-контрактами, хоча причина жовтня 2026 спірна між Name.com і Vercel. Запишіть заздалегідь: власника входу до реєстратора, де зберігаються ключі 2FA, очікувані записи DNS і контакт для кожного каналу.

Для зміцнення до інциденту див. [як захистити домен від захоплення DNS](https://wardmint.com/uk/guides/secure-domain-against-dns-hijacking/ "How to secure your domain against DNS hijacking"). Підтримка Wardmint: відповіді на листи протягом 12 годин, 7 днів на тиждень, зокрема з DNSSEC, записами CAA та скаргами про зловживання.

## Питання про інциденти з видаванням себе за іншого

### Чи варто вимикати справжній сайт під час інциденту?

Лише якщо ваш власний домен захоплено або скомпрометовано. Для схожого сайту на іншому домені тримайте свій сайт онлайн і зробіть справжню адресу помітнішою.

### Чи варто оголошувати інцидент публічно?

Так, щойно ви його підтвердили. Користувачі підписують фальшивий запит за хвилини до того, як дізнаються про нього, тож коротке фактичне повідомлення з перевірених каналів дає більше користі, ніж повний звіт, написаний пізніше.

### Чи можуть користувачі повернути свої кошти?

Не обіцяйте цього. Скажіть користувачам, як захистити залишки коштів, і попросіть поділитися хешами транзакцій; відновлення залежить від ланцюга, дрейнера і будь-якої дії правоохоронних органів.

### Як швидко реєстратор відреагує на мій звіт?

Жодна хронологія не обов'язкова для всіх реєстраторів. ICANN вимагає від акредитованих реєстраторів оперативно діяти на підставі дієвих доказів фішингу з 5 квітня 2024. У Wardmint дія настає протягом 24 годин після добре задокументованого звіту.

**Підсумок**

- Спершу перевірте власний DNS: схожий домен і захоплення потребують різних дій.
- Попереджайте користувачів з перевірених каналів зі справжньою адресою і без живого посилання на підробку.
- Надсилайте звіти реєстратору і хосту паралельно з одним пакетом доказів.
- Змініть доступ до реєстратора, DNS і хостингу, і перейдіть на апаратну 2FA.
- Chainalysis налічила, що видавання себе за іншого зросло приблизно на 1 400% у 2025.
- ScamSniffer налічив USD 83.85 млн втрат від дрейнерів гаманців у ланцюгах EVM у 2025.
- Wardmint діє протягом 24 годин після добре задокументованого звіту.

## Джерела

1. [Інцидент з доменом Curve](https://news.curve.finance/curve-domain-incident/) — Curve Finance (зчитано 2026-11-12)
2. [Хакери захопили десяток DeFi-сайтів, усі зареєстровані в Name.com](https://theblock.co/news/defi/2026-10-31-hackers-hijack-a-dozen-defi-websites-all-registered-with-name-com-and-steal-about-138000-432251) — The Block (зчитано 2026-11-12)
3. [Крипто-шахрайство 2026: звіт Chainalysis](https://www.chainalysis.com/blog/crypto-scams-2026/) — Chainalysis (зчитано 2026-11-12)
4. [Звіт ScamSniffer 2025: втрати від крипто-фішингу впали на 83% до $84 млн](https://drops.scamsniffer.io/scam-sniffer-2025-crypto-phishing-losses-fall-83-to-84-million/) — ScamSniffer (зчитано 2026-11-12)
5. [Захоплення фронтенду і поверхня атаки Web2](https://blockaid.io/blog/frontend-hijacking-and-the-web2-attack-surface-threatening-web3-protocols) — Blockaid (зчитано 2026-11-12)
6. [Дослідники: слабкі типові налаштування безпеки ввімкнули викрадення доменів Squarespace](https://krebsonsecurity.com/2024/07/researchers-weak-security-defaults-enabled-squarespace-domains-hijacks/) — Krebs on Security (зчитано 2026-11-12)
7. [Глобальні поправки 2024 року до Угоди про акредитацію реєстраторів: зловживання DNS](https://www.icann.org/resources/pages/global-amendment-2024-en) — ICANN (зчитано 2026-11-12)

---

Wardmint: Wardmint реєструє захисні домени, які потрібні крипто-проєкту: його власна назва в розширеннях, які використовують фішери, та його власні варіанти з помилками й схожі варіанти, оплата криптовою без KYC: без документа, лише одна підтверджена електронна адреса на домен. Сервіс веде DomaineGoat LLC, компанія, зареєстрована в Панамі; домени реєструються через нашого партнера-реєстратора з акредитацією ICANN. Домен .com коштує 12,49 USD/рік, та сама ціна щороку.