Коротка відповідь
Як захистити обліковий запис реєстратора від захоплення?
Захищайте обліковий запис реєстратора довгим випадковим паролем, який ніде більше не використовуєте, двофакторною автентифікацією, якомога меншою кількістю користувачів і шляхом відновлення, який дзвінок до підтримки не може обійти. Wardmint налічив у своїй таблиці два інциденти — у липні 2024 і лютому 2026, — де слабким місцем був вхід або процес підтримки реєстратора чи платформи, а не записи DNS.
Засоби контролю облікового запису і інцидент, на який відповідає кожен
| Засіб контролю | Що запобігає | Публічний випадок, на який він відповідає |
|---|---|---|
| Самостійно заявіть на кожен перенесений обліковий запис домену | Атакувальник, який створює обліковий запис першим | Перенесення Squarespace, 9–12 липня 2024 (слабкість OAuth) |
| Правило підтримки: жодних змін за голосовим запитом | Соціальна інженерія агента підтримки | Avantis, лютий 2026 (обліковий запис захоплено після дзвінка до підтримки) |
| Двофакторна автентифікація для облікового запису | Вхід із викраденим паролем | Порада Name.com після переспрямувань 30–31 жовтня 2026 |
| Довгий унікальний пароль у сховищі | Повторне використання облікових даних і підбір | Загальна практика |
| Кілька названих користувачів, видаляються після відходу | Доступ інсайдерів і колишніх учасників | Плинність у DAO і серед учасників |
| Адреса входу із закладки | Фішинг входів до реєстратора | Загальна практика |
Чому обліковий запис реєстратора — ціль?
Тому що він може змінити сервери імен, запис DS і власника, і жоден код у вашому ланцюгу не може це скасувати. Зловмисник, який входить як ви, може вказати домен куди завгодно і потім запросити сертифікат для нового місця призначення.
Публічні записи показують цей патерн. Krebs on Security повідомив у липні 2024, що домени, перенесені з Google Domains на Squarespace, були відкриті для атакувальника, який створював обліковий запис з електронною адресою, прив'язаною до домену, раніше за власника; Squarespace пояснив це слабкістю, пов'язаною з входом через OAuth. Blockaid написала в лютому 2026, що Avantis був скомпрометований через обліковий запис Squarespace, який захопили після того, як платіжні дані витягли на дзвінку до підтримки. 30 і 31 жовтня 2026 домени дюжини DeFi-сайтів, зареєстрованих в одного реєстратора, було переспрямовано; реєстратор їх відновив і закликав перевірити DNS та увімкнути двофакторну автентифікацію.
За підрахунком Wardmint від 12 листопада 2026, два з семи інцидентів у його таблиці (хвиля липня 2024 і випадок Avantis у лютому 2026) спираються на вхід або процес підтримки в реєстраторі чи платформі. Повний набір — у які крипто-проєкти втратили користувачів через захоплення DNS.
Яку настройку паролів і входу використовувати?
Використовуйте випадковий пароль довжиною щонайменше 20 символів, який генерує і зберігає менеджер паролів, і ніколи його не повторюйте. Повідомлення в чаті або електронна таблиця — не сховище. Якщо доступ потрібен більш ніж одній людині, використовуйте командне сховище з журналом аудиту і фіксуйте, хто бачив секрет.
Увімкніть двофакторну автентифікацію для облікового запису. Апаратний ключ безпеки — найсильніший поширений другий фактор, бо він не віддає код фішинговій сторінці. Застосунок-автентифікатор — наступний вибір; код, надісланий текстовим повідомленням, найслабший. Зберігайте коди відновлення офлайн, у двох місцях, і записуйте, хто до них має доступ.
У Wardmint ви входите за номером облікового запису і паролем, а двофакторну автентифікацію можна увімкнути в кабінеті клієнта; відповіді на листи протягом 12 годин, 7 днів на тиждень, зокрема з DNSSEC, записами CAA та скаргами про зловживання. Оскільки для самої реєстрації потрібна лише одна підтверджена електронна адреса на домен, тримайте електронну адресу облікового запису на поштовій скриньці, якою ви керуєте, і захищайте її так само суворо, як обліковий запис.
Хто має мати доступ і як обробляти дзвінок до підтримки?
Призначте одного власника і одного заступника, задокументуйте обох і запишіть правило: жодна зміна не робиться на підставі дзвінка. Справа Avantis показує чому. Якщо підтримка може змінити обліковий запис після телефонної розмови, то міцність вашого пароля вже не має значення.
Для DAO або фонду заздалегідь вирішіть, хто тримає облікові дані, як казначейство поповнює баланс і як змінюється доступ, коли учасник іде. Практики спільного зберігання описано в як DAO має тримати і оплачувати свої домени. Відкличте доступ того самого дня, коли людина йде з команди, і змініть спільний пароль тоді ж.
Для найважливіших доменів розгляньте Захист домену за +29 USD/рік за домен: домен реєструється на ім'я DomaineGoat LLC, ви лишаєтеся бенефіціаром з безкоштовним поверненням на ваше ім'я, блокування переказу ввімкнено, і кожну скаргу читає людина перед будь-якою дією. Опцію описано в що таке Захист домену. Вона зменшує те, що тримає обліковий запис, але не замінює міцний вхід.
Як захистити обліковий запис реєстратора за сім кроків
Складіть перелік кожного облікового запису і домену
Перелічіть кожен обліковий запис реєстратора, домени в ньому і людей, які можуть увійти. Включіть облікові записи, успадковані з міграцій.
Заявіть перенесені облікові записи
Якщо реєстратор поглинув ваш старий, увійдіть і підтвердіть, що саме ви, а не сторонній, тримаєте обліковий запис для кожного домену.
Замініть пароль
Згенеруйте випадковий пароль довжиною 20 символів або більше в сховищі і використовуйте його лише для цього облікового запису.
Увімкніть двофакторну автентифікацію
Надавайте перевагу апаратному ключу, потім застосунку-автентифікатору. Зберігайте коди відновлення офлайн, у двох місцях.
Скоротіть доступ і запишіть його
Призначте одного власника і одного заступника, приберіть усіх інших і запишіть дату і причину кожної зміни.
Запишіть правило для дзвінків до підтримки
Домовтеся, що ніхто не змінює DNS, власника чи контакти на підставі дзвінка або чату, і повідомте про це вашу команду.
Додайте вхід у закладки і стежте за фішингом
Відкривайте реєстратора лише з закладки. Вважайте будь-який лист із проханням увійти до реєстратора можливим фішингом.
Як помітити фішингову сторінку, що копіює вашого реєстратора?
Перевіряйте адресу, перш ніж щось ввести, і ніколи не переходьте за посиланням для входу з електронного листа. Фішинг реєстратора спирається на терміновість: лист каже, що домен скоро спливе або що на нього є скарга. Відкрийте реєстратора із закладки і знайдіть те саме повідомлення в обліковому записі.
Користуйтеся менеджером паролів, який заповнює облікові дані лише на точній збереженій адресі, тож сторінка входу зі схожою адресою нічого не отримає. Апаратні ключі дають той самий захист для другого фактора. Якщо ви колись введете пароль на сумнівній сторінці, одразу змініть його, завершіть усі сесії і перегляньте записи DNS та контактну електронну адресу.
Другий рівень — строк дії. Домен, що сплив, може підхопити будь-хто; обов'язок продовження описано в як не дати вашим доменам спливти. Ширший план зміцнення — у як захистити домен від захоплення DNS.
Питання про безпеку облікового запису реєстратора
Чи достатньо двофакторної автентифікації?
Вона потрібна, але сама по собі недостатня. Справа Avantis пройшла через дзвінок до підтримки. Додайте правило «жодних змін за дзвінком» і небагато користувачів.
Чи захищає обліковий запис блокування переказу?
Ні. Воно зупиняє перекази до іншого реєстратора. Воно не зупиняє того, хто має вхід, від зміни серверів імен або записів.
Чи варто використовувати спільну командну електронну адресу?
Використовуйте поштову скриньку, якою керує команда, захищену двофакторною автентифікацією, а не персональну адресу одного учасника. Для кожного домену також потрібна одна підтверджена електронна адреса для реєстрації.
Що робити, якщо учасник із доступом іде?
Змініть пароль, приберіть його доступ, оновіть коди відновлення і перегляньте записи DNS, усе того самого дня.
Чи може Захист домену замінити міцний вхід?
Ні. Він записує домен на ім'я компанії і додає людський розгляд скарг, а обліковому запису все одно потрібен міцний вхід.
Підсумок
- Обліковий запис реєстратора може змінити сервери імен, записи DS і власника.
- Публічні захоплення 2024 і 2026 років пройшли через слабкість входу або дзвінок до підтримки.
- Використовуйте випадковий пароль довжиною 20 символів або більше, у сховищі, ніде більше.
- Увімкніть двофакторну автентифікацію, краще з апаратним ключем.
- Призначте одного власника і одного заступника; приберіть тих, хто пішов, того самого дня.
- Запишіть правило, що жодна зміна не робиться лише на підставі дзвінка.
- Захист домену коштує +29 USD/рік і не замінює міцний вхід.
Джерела (3)
- Дослідники: слабкі типові налаштування безпеки ввімкнули викрадення доменів Squarespace — Krebs on Security (зчитано 2026-11-12)
- Захоплення фронтенду і поверхня атаки Web2, що загрожує протоколам Web3 — Blockaid (зчитано 2026-11-12)
- Хакери захопили дюжину DeFi-сайтів, зареєстрованих у Name.com — The Block (зчитано 2026-11-12)