Як захистити домени DeFi-протоколу?

Що йде не так на рівні домену в DeFi?

Зловмисник, який контролює домен, контролює те, що підписує кожен користувач. Контракти залишаються цілими, тому аудити і програми винагород за вразливості цього не ловлять.

Закономірність послідовна в наведених інцидентах. Повідомлення Curve від 12 травня 2025 року каже, що користувачів перенаправили на статичну підставну сторінку, яка копіювала головну і просила підписи, а контракти й дані користувачів не були скомпрометовані. Blockaid, яка відстежувала скупчення лютого 2026 року, повідомила, що зловмисники отримали SSL-сертифікати того самого дня, що й зміна DNS, а користувачів Nerochain відправили на схожий хост із wildcard-сертифікатами, виданими для справжнього імені.

За індексом Wardmint від 12 листопада 2026 року, 3 із 7 інцидентів рівня домену в її таблиці з 2022 року датовані з травня 2025-го, тож ризик не спадає. Wardmint продає реєстрації, а не моніторинг, і не може зупинити захоплення облікового запису в іншому реєстраторі; вона постачає імена і безкоштовні інструменти та процедури, щоб їх посилити.

Які засоби контролю потрібні протоколу на його головному домені?

Чотири заходи покривають описані вище збої: безпека акаунта, блокування, DNSSEC і записи CAA.

• Акаунт: використовуйте поштову скриньку з роллю, а не особисту, довгий унікальний пароль, двофакторну автентифікацію та без спільного входу. Див. посібник захист домену від перехоплення DNS.
• Блокування: блокування переносу зупиняє переміщення до іншого реєстратора. Блокування реєстру, яке Verisign пропонує для .com і .net через учасників-реєстраторів, також блокує зміни DNS і власності, зроблені лише обліковими даними. Wardmint не пропонує блокування реєстру; команді, якій воно потрібне для основного .com, варто тримати це ім'я в реєстратора, який його пропонує.
• DNSSEC: увімкніть DNSSEC, щоб резолвери могли виявляти підроблені відповіді. Це не допоможе, якщо сам акаунт реєстратора скомпрометовано.
• CAA: налаштуйте записи CAA, щоб лише обраний вами центр сертифікації міг видавати сертифікати для домену.

Wardmint надає безкоштовний DNS-хостинг із записами A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV і CAA, керований DNSSEC, а за бажанням власні сервери імен (від 2 до 13) для зони.

Які варіанти має реєструвати протокол DeFi?

Реєструйте точне ім'я на зонах, якими можуть скористатися ваші користувачі, плюс друкарські помилки і фінансові слова, що пасують до вашого продукту. Для протоколу корисні основний набір (.com, .net, .org, .io, .xyz, .app, $128.94 на рік), стартовий набір (.com, .io, .xyz, .app, .finance, .network, $195.94 на рік) і фінансові слова (.finance, .exchange, .money, .cash, .capital, .fund, $296.94 на рік).

Спрямуйте кожен варіант на основний сайт безкоштовним переспрямуванням URL і застосуйте шаблон DNS без пошти до невикористовуваних імен, щоб вони не могли надсилати пошту від імені вашого бренду. Wardmint реєструє варіанти протоколу для цього протоколу; вона не реєструє схожі імена іншого проєкту. Строки для запуску описано в які домени зареєструвати перед запуском токена.

Що протокол має підготувати до інциденту?

Підготуйте тимчасову адресу, канал статусу і контакт у реєстраторі заздалегідь, до потреби. Після перехоплення 12 травня 2025 року Curve перенесла користувачів на curve.finance як тимчасову офіційну точку доступу. Тимчасова адреса можлива лише тоді, коли другий домен уже зареєстровано, а захисний набір якраз це забезпечує.

Напишіть runbook зараз: хто може змінити DNS, хто може зв'язатися з підтримкою реєстратора, як користувачам сказати припинити підписувати, і як пояснити відкликання дозволів. Список минулих випадків і того, чого вони навчили, є в Які крипто-проєкти втратили користувачів через перехоплення DNS?.