Як захистити свій домен від перехоплення DNS?

Що таке перехоплення DNS і чому воно б'є по крипто-інтерфейсах?

Перехоплення DNS — це несанкціонована зміна записів або реєстрації, які вказують браузерам, де розташований домен. Зловмисник не торкається ваших смарт-контрактів. Він надсилає користувачів вашої справжньої адреси на копію вашого інтерфейсу, яка запитує підписи гаманця.

Тому ця атака пасує до крипто. Користувач, який вводить правильну адресу і бачить дійсний замок, не має причин сумніватися в сторінці. Curve Finance заявила після інциденту 12 травня 2025 року, що її контракти та дані користувачів не були скомпрометовані, проте відвідувачів перенаправили на статичну підставну сторінку, яка запитувала підписи. Збиток виникає через підпис, а не через вади коду.

Зловмиснику потрібен контроль над однією з трьох речей: обліковим записом реєстратора, що тримає домен, постачальником DNS, що обслуговує його записи, або шляхом резолвера між користувачем і сервером. Цей посібник охоплює перші два, бо ними керує проєкт. Захист третього — для чого і призначено DNSSEC; його пояснено в як увімкнути DNSSEC для вашого домену.

Які реальні інциденти показують, як відбуваються перехоплення?

Публічні інциденти з 2022 року показують, що зловмисники діють через облікові записи та співробітників підтримки, а не через криптографію. Таблиця вище їх перелічує, і закономірність повторюється.

За підрахунком Wardmint від 12 листопада 2026 року, таблиця інцидентів у її дослідженні містить сім записів між серпнем 2022 і жовтнем 2026 року (Curve двічі, Balancer, Galxe, хвиля Squarespace у липні 2024 року, група лютого 2026 року і хвиля жовтня 2026 року), і кожен з них діяв на домен, постачальника DNS або обліковий запис реєстратора. Повний список із джерелами є в які крипто-проєкти втратили користувачів через перехоплення DNS.

Як заблокувати обліковий запис реєстратора?

Ставтеся до облікового запису реєстратора як до ключа від усього інтерфейсу і дайте йому найсильніший вхід, який у вас є. Використовуйте довгий, випадковий пароль, який ніде більше не застосовується, і увімкніть двофакторну автентифікацію. Зберігайте вхід у менеджері паролів або сховищі з апаратним захистом, а не в спільному чаті.

Зменште кількість людей, які можуть увійти. Призначте одного власника і одного резервного, фіксуйте, хто має кожен доступ, і знімайте доступ того дня, коли людина покидає команду. Відновлення доступу має бути таким самим суворим, як вхід: обліковий запис, який захищає 2FA, але який агент підтримки може скинути на запит, є лише таким міцним, як контрольний список цього агента. У випадках Balancer і Avantis був задіяний співробітник у постачальника.

Повний порядок дій, зокрема як розпізнати фішинг входів реєстратора, описано в як захистити обліковий запис реєстратора від захоплення. У Wardmint відповіді на листи протягом 12 годин, 7 днів на тиждень, зокрема з DNSSEC, записами CAA та скаргами про зловживання, тож з будь-яким із цих налаштувань звертайтеся до підтримки.

Що зупиняє блокування передачі, а що — реєстраційне блокування?

Блокування переносу не дає домену перейти до іншого реєстратора; блокування реєстру йде далі і забороняє зміни в самому реєстрі. Це два різні рівні, і проєкт може мати один без другого.

Блокування переносу — це статус на боці реєстратора clientTransferProhibited. Воно запобігає несанкціонованому переносу, але не зупиняє редагування записів DNS у DNS-хостингу реєстратора. Wardmint пропонує блокування переказу, яке ви вмикаєте або вимикаєте для кожного домену в кабінеті клієнта; код переказу (EPP) також запитується там.

Блокування реєстру, яке Verisign пропонує для .com і .net через учасників-реєстраторів, додає перевірку поза основним каналом, тож зміни серверів імен, переносу та власності не можна провести лише обліковими даними акаунта. Реєстратори зазвичай беруть за нього приблизно USD 100–600 на рік, за даними DomainNameWire та сторінки реселера, які застаріли й не перевірені. Wardmint не пропонує блокування реєстру. Натомість він пропонує блокування переносу та Захист домену за +29 USD/рік на домен, де домен зареєстровано на ім'я DomaineGoat LLC, він перебуває під блокуванням переносу, і кожну скаргу на нього читає людина до будь-яких дій. Різницю пояснено в блокування реєстру проти блокування реєстратора.

Чи запобігають DNSSEC і записи CAA перехопленню?

DNSSEC і CAA зменшують шкоду від перехоплення, але не зупиняють зловмисника, який володіє вашим обліковим записом. DNSSEC підписує ваші записи, тож резолвер може відхилити підроблені відповіді на шляху. Зловмисник, який увійшов в обліковий запис реєстратора, може замінити запис DS або сервери імен, і тоді підпис захищатиме дані зловмисника.

Записи CAA називають центри сертифікації, яким дозволено видавати сертифікати для вашого домену. Їх визначено в RFC 8659. Вони важливі, бо зловмисники лютого 2026 року отримали сертифікати того самого дня, що й зміну DNS; запис CAA, який називає лише вашого центру, змушує їх спершу змінити його, а це може помітити сповіщення. Жоден із цих засобів не замінює заблокований обліковий запис, і кожен займає кілька хвилин роботи. Синтаксис є в як налаштувати записи CAA.

Як помітити перехоплення за лічені хвилини?

Стежте за двома публічними слідами, які залишає кожне перехоплення: новим сертифікатом і зміненою відповіддю DNS. Журнали прозорості сертифікатів показують кожен публічно довірений сертифікат, виданий для вашого імені, і безкоштовний пошук або потік швидко виявляє несподіваний. Планова перевірка, що порівнює ваші сервери імен і записи A з очікуваними значеннями, ловить саму зміну.

Готуйте відповідь заздалегідь, до потреби. Тримайте наперед оголошену альтернативну офіційну адресу, коротке повідомлення, готове для ваших соцмереж, і термінові контакти реєстратора. Curve 12 травня 2025 року використала curve.finance як тимчасову точку доступу, що показує цінність другого домену, яким ви керуєте. Заздалегідь зареєстрований захисний набір дає вам цю другу адресу; .com, .net, .org, .io, .xyz, .app коштує $128.94 на рік у Wardmint.

Що коротко?

Домен, стійкий до перехоплення, — це той, де обліковий запис важко захопити, передача потребує коду, відповіді підписані і сертифікати відстежуються. Висновок Wardmint з публічних даних такий: ціллю в семи відстежуваних інцидентах були обліковий запис і його шлях підтримки. Спершу захистити їх, потім додати DNSSEC і CAA — це порядок, що відповідає доказам. Wardmint продає реєстрації та інструменти DNS; безкоштовний DNS-хостинг із записами A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV і CAA, керований DNSSEC, а за бажанням власні сервери імен (від 2 до 13). Моніторинг вона не продає, тож цей крок покривають безкоштовні інструменти з посібника з моніторингу.