# DeFi فرنٹ اینڈ ڈومین کو کیسے محفوظ کریں؟

> DeFi فرنٹ اینڈ کو ہر تہہ لاک کر کے محفوظ کریں: رجسٹرار، DNS، سرٹیفکیٹس، ہوسٹنگ اور ENS یا IPFS کا بیک اپ۔ 2023 کے بعد کے چھ واقعات بتاتے ہیں کہ کیوں۔

- URL: https://wardmint.com/ur/secure-a-defi-frontend/
- آخری اپ ڈیٹ: 2026-11-12
- ناشر: Wardmint (https://wardmint.com)

DeFi پروٹوکول کے کنٹریکٹس ایک چین پر رہتے ہیں، مگر اس کے صارفین ایک ویب ایڈریس سے آتے ہیں۔ جو اس ایڈریس کو کنٹرول کرتا ہے، وہ کنٹرول کرتا ہے کہ صارفین سے کیا دستخط مانگا جائے۔

**فوری جواب — DeFi فرنٹ اینڈ ڈومین کو کیسے محفوظ کریں؟**

صارف اور صفحے کے درمیان ہر تہہ کو محفوظ کریں: رجسٹرار اکاؤنٹ، DNS، سرٹیفکیٹس، ہوسٹنگ اور CDN، اور ایک ڈومین یا ENS نام پر پہلے سے اعلان شدہ بیک اپ۔ **Wardmint** نے اکتوبر 2023 سے اکتوبر 2026 کے درمیان چھ عوامی ہائی جیک واقعات پڑھے؛ ہر ایک ڈومین یا DNS کی تہہ کے ذریعے ہوا، کنٹریکٹس کے ذریعے نہیں۔

## 2023 سے 2026 تک چھ دستاویزی فرنٹ اینڈ ہائی جیکس

*ذکر کردہ رپورٹس سے، 12 نومبر 2026 کو پڑھی گئیں۔ نقصان کے اعداد صرف وہیں دیے گئے ہیں جہاں کسی پڑھے گئے ماخذ نے بتایا۔*

| تاریخ | پروجیکٹ | Layer reported | Reported outcome |
| --- | --- | --- | --- |
| 6 اکتوبر 2023 | Galxe | DNS ہائی جیک؛ سائٹ فشنگ صفحے پر ری ڈائریکٹ ہوئی | 980 سے زیادہ صارفین کو تقریباً $396,000 واپس دیے گئے اور خزانے سے 10% اضافی |
| 9 تا 12 جولائی 2024 | Compound، Celer، Pendle اور دیگر | Squarespace پر منتقل شدہ ڈومینز کے رجسٹرار اکاؤنٹس؛ OAuth کی کمزوری | کم از کم ایک درجن تنظیمیں متاثر؛ کچھ ڈومینز پر فشنگ صفحات دکھائے گئے |
| 12 مئی 2025 | Curve Finance | رجسٹرار پر curve.fi کی delegation بدلی گئی | دستخط مانگنے والی نقلی سائٹ؛ کنٹریکٹس اور ڈیٹا سمجھوتہ نہیں ہوئے |
| 16 تا 23 فروری 2026 | OpenEden، Curvance، Smithii، Avantis، Nerochain | رجسٹرار کی منتقلی، سپورٹ کال پر اکاؤنٹ ہائی جیک، DNS ری ڈائریکشن | AngelFerno ڈرینر؛ اسی دن کے SSL سرٹیفکیٹس؛ کنٹریکٹ سمجھوتہ نہیں ہوا |
| April 2026 | eth.limo | رجسٹرار اور DNS فراہم کنندہ کی سوشل انجینئرنگ | DNSSEC نے جعلی جوابات مسترد کیے؛ پوسٹ مارٹم کے وقت صارفین پر کوئی اثر معلوم نہیں |
| 30 تا 31 اکتوبر 2026 | Flap، Kintsu، Origami Finance اور دوسرے | ایک رجسٹرار پر ڈومینز ری ڈائریکٹ ہوئے؛ وجہ ہوسٹنگ پلیٹ فارم کے ساتھ متنازع | Step Drainer؛ تقریباً $138,000 تین EVM والیٹس تک ٹریس ہوئے |

*آخری بار 12 نومبر، 2026 کو جانچا گیا؛ پرانے اعداد و شمار اپنی تاریخ ساتھ رکھتے ہیں.*

## صارف اور DeFi فرنٹ اینڈ کے درمیان کون سی تہیں ہیں؟

**پانچ تہیں، اور حملہ آور کو ان میں سے صرف ایک درکار ہے۔** رجسٹرار رجسٹریشن اور نیم سرور کی delegation رکھتا ہے۔ DNS فراہم کنندہ بتاتا ہے کہ نام کہاں اشارہ کرتا ہے۔ سرٹیفکیٹ اتھارٹی پیڈلاک جاری کرتی ہے۔ ہوسٹنگ پلیٹ فارم یا CDN فائلیں پیش کرتا ہے۔ آخر میں صارف کا اپنا ریزولور اور والیٹ فیصلہ کرتے ہیں کہ کس پر بھروسہ کرنا ہے۔

واقعات کی رپورٹیں ان تہوں سے مطابقت رکھتی ہیں۔ Curve کی 12 مئی 2025 کی اطلاع رجسٹرار پر DNS delegation کی تبدیلی بیان کرتی ہے۔ 15 جولائی 2024 کو Krebs on Security کی رپورٹ کردہ جولائی 2024 کی Squarespace صورتیں رجسٹرار پر اکاؤنٹ ہائی جیکس تھیں۔ Blockaid کا فروری 2026 کے گروپ کا تجزیہ سرٹیفکیٹ تہہ شامل کرتا ہے: حملہ آوروں نے DNS تبدیلی کے اسی دن SSL سرٹیفکیٹس حاصل کیے۔ اکتوبر 2026 کی لہر ہوسٹنگ تہہ لاتی ہے، کیونکہ Vercel کے بلیٹن نے دس متاثرہ ڈومینز کو اپنے پلیٹ فارم سے جوڑا، جبکہ رجسٹرار Name.com نے انہیں بحال کیا۔

## رجسٹرار اکاؤنٹ کیسے ترتیب دیا جائے؟

**رجسٹرار لاگ ان کو پروڈکشن انفراسٹرکچر سمجھیں۔** ایک لمبا منفرد پاس ورڈ، دو مرحلہ تصدیق، صارفین کی مختصر اور ریکارڈ شدہ فہرست، اور بحالی کا ایسا طریقہ جس پر کوئی اجنبی بات کر کے قابو نہ پا سکے۔ Blockaid رپورٹ کرتا ہے کہ Avantis ایک سپورٹ کال میں بلنگ کی تفصیلات حاصل کر کے ہائی جیک ہوا، اور Cointelegraph رپورٹ کرتا ہے کہ eth.limo کے حملہ آور نے ٹیم کے ایک رکن کا روپ دھار کر اکاؤنٹ بحالی شروع کی۔ دونوں کیسز اچھے پاس ورڈ کو بھی ناکام بناتے ہیں، کیونکہ وہ ایک شخص کے ذریعے جاتے ہیں۔

ہر ڈومین پر ٹرانسفر لاک آن کریں۔ ایک بڑے .com یا .net کے لیے رجسٹری لاک پر غور کریں جہاں رجسٹرار اسے بیچتا ہو؛ [رجسٹری لاک بمقابلہ رجسٹرار لاک](https://wardmint.com/ur/registry-lock-vs-registrar-lock/ "Registry lock vs registrar lock: what is the difference?") بتاتا ہے کہ ہر ایک کیا روکتا ہے۔ Wardmint ٹرانسفر لاک اور ڈومین تحفظ آپشن پیش کرتا ہے، رجسٹری لاک نہیں۔ مکمل معمول [رجسٹرار اکاؤنٹ کو ہائی جیک سے کیسے بچائیں](https://wardmint.com/ur/guides/protect-registrar-account/ "How to protect your registrar account from takeover") میں ہے۔

## DNS اور سرٹیفکیٹس کیسے ہونے چاہئیں؟

**DNS پر دستخط کریں، سرٹیفکیٹ جاری کرنا محدود کریں اور لاگز دیکھیں۔** eth.limo کے کیس میں DNSSEC فرق تھا: Cointelegraph نے رپورٹ کیا کہ یہ فعال تھا، حملہ آور کے پاس دستخط کی کلیدیں نہیں تھیں، اور تصدیق کرنے والے ریزولورز نے جعلی جوابات مسترد کیے۔ یہ اس حملہ آور کے خلاف دفاع نہیں جو رجسٹرار اکاؤنٹ رکھتا ہو، کیونکہ وہ DS ریکارڈ بدل سکتا ہے، اس لیے یہ اکاؤنٹ کنٹرولز کو مکمل کرتا ہے۔ دیکھیں [اپنے ڈومین پر DNSSEC کیسے فعال کریں](https://wardmint.com/ur/guides/enable-dnssec/ "How to enable DNSSEC on your domain")۔

صرف آپ کی سرٹیفکیٹ اتھارٹی کا نام لینے والا CAA ریکارڈ شامل کریں، جیسا کہ [CAA ریکارڈ کیسے ترتیب دیں](https://wardmint.com/ur/guides/set-up-caa-records/ "How to set up CAA records") میں ہے، اور اپنے نام کے لیے Certificate Transparency پر نظر رکھیں، جیسا کہ [اپنے برانڈ کے لیے certificate transparency کی نگرانی کیسے کریں](https://wardmint.com/ur/guides/monitor-certificate-transparency/ "How to monitor certificate transparency for your brand") میں ہے۔ وہ حملہ آور جسے CAA ریکارڈ بھی بدلنا پڑے، اور جو ایک نظر آنے والا لاگ اندراج پیدا کرے، پکڑنا آسان ہے۔ Wardmint میں A، AAAA، CNAME، ALIAS، MX، TXT، NS، SRV اور CAA ریکارڈز کے ساتھ مفت DNS ہوسٹنگ، منظم DNSSEC، اور اگر آپ چاہیں تو اپنے نیم سرورز (2 سے 13) شامل ہے۔

## ہوسٹنگ اور CDN کہاں فٹ ہوتے ہیں؟

**ہوسٹنگ پلیٹ فارم اور CDN کو ان کے اپنے اکاؤنٹس، مالکان اور دو مرحلہ تصدیق دیں، اور ان سے جڑے ہر ڈومین کی فہرست بنائیں۔** اکتوبر 2026 کی رپورٹیں یہ دکھاتی ہیں۔ The Block نے ریکارڈ کیا کہ Kintsu اور Origami Finance نے Vercel کو ذمہ دار ٹھہرایا، Vercel کے بلیٹن نے دس متاثرہ ڈومینز کو اپنے پلیٹ فارم سے جوڑا، اور Name.com نے کہا کہ اس نے تمام متاثرہ ڈومینز بحال کر دیے ہیں اور صارفین سے کہا کہ DNS ریکارڈ چیک کریں اور دو مرحلہ تصدیق آن کریں۔ ذرائع وجہ پر متنازع ہیں، اس لیے سبق کوریج کا ہے: ایک ڈومین تبھی محفوظ ہے جب ہر وہ پلیٹ فارم جو اس کی پیش کش بدل سکتا ہے محفوظ ہو۔

ہوسٹنگ کی طرف، ان ڈومینز اور سب ڈومینز کی فہرست رکھیں جو ہر پروجیکٹ پلیٹ فارم پر پیش کر سکتا ہے، جو استعمال میں نہ ہوں انہیں ہٹائیں، اور ڈیپلائمنٹ ٹوکنز ایک والٹ میں رکھیں۔ باہر سے بھی جانچیں: ایک شیڈول شدہ کام جو آپ کے نیم سرورز اور A ریکارڈز کو حل کر کے متوقع ویلیوز سے موازنہ کرے، گھنٹوں کے بجائے منٹوں میں ری ڈائریکٹ پکڑ لیتا ہے۔

## کیا DeFi فرنٹ اینڈ کے پاس ENS یا IPFS کا بیک اپ ہونا چاہیے؟

**ہاں: انٹرفیس تک پہنچنے کا دوسرا راستہ نقصان کو محدود کرتا ہے جب تک مرکزی ڈومین بحال ہو۔** Curve نے 12 مئی 2025 کو صارفین کو curve.finance عارضی رسائی کے طور پر دیا، اور اس کے اعلان میں پوری انڈسٹری میں ENS کو زیادہ اپنانے کا مطالبہ تھا۔ ENSIP-7 ENS ریزولورز کے لیے contenthash فیلڈ بیان کرتا ہے، جو نام کو IPFS یا Swarm کے مواد کی طرف اشارہ کرنے دیتا ہے، تاکہ ایک .eth نام IPFS پر شائع فرنٹ اینڈ کا متبادل پتہ بن سکے۔

بیک اپ تبھی کام کرتا ہے جب صارفین اسے پہلے سے جانتے ہوں۔ واقعے سے پہلے سرکاری متبادل اعلان کریں: ویب سائٹ کے فوٹر، ڈاکس اور تصدیق شدہ سوشل چینلز پر، اور صاف لکھیں کہ کوئی اور پتہ سرکاری نہیں۔ آن چین ناموں اور DNS ناموں کے درمیان توازن [کرپٹو پروجیکٹ کے لیے ENS نام یا DNS ڈومین](https://wardmint.com/ur/ens-vs-dns-domain-for-crypto-projects/ "ENS Name or DNS Domain for a Crypto Project") میں ہے۔ ایک دوسرا DNS ڈومین اسی منصوبے کا حصہ ہے، اور Wardmint کا بنیادی سیٹ چھ ایکسٹینشنز کا ہے، جن کی سالانہ قیمت $128.94 ہے۔

## چھ دستاویزی ہائی جیکس میں سے کتنے ڈومین کی تہہ سے گزرے؟

Wardmint کے 12 نومبر 2026 کے سروے کے مطابق، اوپر کی جدول کے چھ واقعات میں سے پانچ نے حقیقی ڈومین کے صارفین کو کلون یا فشنگ صفحے پر بھیجا، اور چھٹے، eth.limo میں، DNSSEC نے جعلی جوابات مسترد کیے۔ تمام چھ میں داخلے کا نکتہ رجسٹرار، DNS فراہم کنندہ یا رجسٹرار اکاؤنٹ بتایا گیا، یا اکتوبر 2026 کے لیے رجسٹرار اور ہوسٹنگ پلیٹ فارم کے درمیان متنازع تقسیم۔ کسی پڑھے گئے ذریعے میں اسمارٹ کنٹریکٹ کی خامی کو داخلے کے طور پر بیان نہیں کیا گیا۔

دو قابل حوالہ جملے: DeFi پروٹوکول اتنا ہی محفوظ ہے جتنا وہ اکاؤنٹ جو اس کا ڈومین رکھتا ہے، اور پہلے سے اعلان شدہ بیک اپ پتہ سب سے سستا بحالی کا اوزار ہے جو کوئی پروجیکٹ رکھ سکتا ہے۔ مزید کیسز [کون سے کرپٹو پروجیکٹس DNS ہائی جیکنگ سے صارف کھو بیٹھے](https://wardmint.com/ur/dns-hijacking-crypto-incidents/ "Which crypto projects lost users to DNS hijacking?") میں ہیں، اور شعبے کا جائزہ [DeFi پروٹوکولز کے لیے ڈومین سکیورٹی](https://wardmint.com/ur/use-cases/defi-protocol-domains/ "Domain security for DeFi protocols") میں۔

## DeFi فرنٹ اینڈ ڈومین کو محفوظ کرنے کے سات اقدامات

1. **ہر تہہ کا نقشہ بنائیں** — ہر ڈومین کے لیے رجسٹرار اکاؤنٹ، DNS فراہم کنندہ، سرٹیفکیٹ اتھارٹی، ہوسٹنگ پلیٹ فارم اور CDN کی فہرست بنائیں اور ہر ایک کا مالک مقرر کریں۔
2. **رجسٹرار اکاؤنٹ کو لاک کریں** — منفرد پاس ورڈ، دو مرحلہ تصدیق، کم صارفین اور سخت بحالی کا راستہ استعمال کریں۔
3. **ٹرانسفر لاک آن کریں** — ہر ڈومین کو منتقلی سے لاک کریں، اور ایک اہم .com یا .net کے لیے رجسٹری لاک کا فیصلہ کریں۔
4. **دستخط کریں اور محدود کریں** — DNSSEC فعال کریں اور ایک CAA ریکارڈ شائع کریں جو صرف آپ کی سرٹیفکیٹ اتھارٹی کا نام لے۔
5. **ہوسٹنگ اور CDN کو محفوظ کریں** — دو مرحلہ تصدیق لگائیں، غیر استعمال شدہ ڈومینز ہٹائیں اور ڈیپلائمنٹ ٹوکنز ایک والٹ میں رکھیں۔
6. **مانیٹر** — Certificate Transparency پر نظر رکھیں اور نیم سرورز اور A ریکارڈز کو شیڈول پر متوقع ویلیوز سے موازنہ کریں۔
7. **Publish a fallback** — دوسرا ڈومین یا ENS نام رجسٹر کریں، واقعے سے پہلے اعلان کریں اور اس پر منتقلی کی مشق کریں۔

## DeFi فرنٹ اینڈ کی سکیورٹی: سوالات

### کیا فرنٹ اینڈ ہائی جیک میں اسمارٹ کنٹریکٹس خطرے میں ہیں؟

پڑھے گئے واقعات میں نہیں۔ Curve اور فروری 2026 کے پروجیکٹس نے بتایا کہ کنٹریکٹس سمجھوتہ نہیں ہوئے۔ صارف نقلی صفحے پر دستخط کر کے رقم کھوتے ہیں۔

### کیا DNSSEC DeFi فرنٹ اینڈ کو محفوظ کرتا ہے؟

یہ ترسیل کے دوران جوابات کو محفوظ رکھتا ہے اور اپریل 2026 میں eth.limo کے قبضے کو محدود کیا۔ مگر یہ اس حملہ آور کو نہیں روکتا جو رجسٹرار اکاؤنٹ کنٹرول کرتا ہے، اس لیے اسے اکاؤنٹ سکیورٹی اور ٹرانسفر لاک کے ساتھ استعمال کریں۔

### کیا رجسٹری لاک ہر ایکسٹینشن کے لیے دستیاب ہے؟

نہیں۔ Verisign اسے .com، .net، .cc اور .name کے لیے شریک رجسٹرارز کے ذریعے پیش کرتا ہے۔ Wardmint رجسٹری لاک پیش نہیں کرتا؛ وہ ٹرانسفر لاک اور ڈومین تحفظ پیش کرتا ہے۔

### ہائی جیک کے پہلے گھنٹے میں پروٹوکول کو کیا کرنا چاہیے؟

رجسٹرار اور DNS فراہم کنندہ سے رابطہ کریں، صارفین سے کہیں کہ مرکزی ڈومین پر دستخط روک دیں، انہیں پہلے سے اعلان شدہ بیک اپ کی طرف بھیجیں اور شواہد محفوظ کریں۔ Curve نے 12 مئی 2025 کو یہی طریقہ اپنایا۔

### کیا DAO ٹریژری بیک اپ ڈومین کی ادائیگی کر سکتی ہے؟

ہاں۔ Wardmint BTC, USDT, USDC, ETH, SOL, LTC پیشگی بیلنس میں لیتا ہے، کم از کم $25 ٹاپ اپ کے ساتھ، ہر ڈومین کے لیے ایک تصدیق شدہ ای میل اور شناختی دستاویزات کے بغیر۔

**خلاصہ**

- پانچ تہیں صارف تک پہنچتی ہیں: رجسٹرار، DNS، سرٹیفکیٹس، ہوسٹنگ یا CDN، اور صارف کا ریزولور۔
- اکتوبر 2023 سے اکتوبر 2026 تک چھ دستاویزی ہائی جیکس ڈومین کی تہہ کے ذریعے ہوئے، کنٹریکٹس کے ذریعے نہیں۔
- Galxe نے 980 سے زیادہ صارفین کو تقریباً $396,000 واپس کیے؛ اکتوبر 2026 کی لہر میں تقریباً $138,000 تین EVM والیٹس تک ٹریس ہوئے۔
- رجسٹرار اکاؤنٹ لاک کریں، ٹرانسفر لاک آن کریں، DNSSEC سے دستخط کریں اور CAA سے سرٹیفکیٹ جاری کرنا محدود کریں۔
- DNSSEC نے eth.limo کے قبضے کو محدود کیا مگر اکاؤنٹ ہولڈر کو نہیں روکتا۔
- حملے سے پہلے بیک اپ کا اعلان کریں: ایک دوسرا ڈومین یا ENS نام۔
- Wardmint ٹرانسفر لاک، منظم DNSSEC اور CAA پیش کرتا ہے؛ رجسٹری لاک اور مانیٹرنگ پیش نہیں کرتا۔

## ماخذ

1. [Curve ڈومین واقعہ](https://news.curve.finance/curve-domain-incident/) — Curve Finance (2026-11-12 کو پڑھی گئی)
2. [Galxe نے DNS حملے کے بعد متاثرہ صارفین کے لیے $396,000 کی واپسی کا اعلان کیا](https://www.theblock.co/post/255827/galxe-announces-396000-refund-to-affected-users-following-dns-attack) — The Block, 11 October 2023 (2026-11-12 کو پڑھی گئی)
3. [محققین: کمزور سیکیورٹی ڈیفالٹس نے Squarespace ڈومینز کے ہائی جیکس ممکن بنائے](https://krebsonsecurity.com/2024/07/researchers-weak-security-defaults-enabled-squarespace-domains-hijacks/) — Krebs on Security, 15 July 2024 (2026-11-12 کو پڑھی گئی)
4. [Web3 پروٹوکولز کو خطرے میں ڈالنے والی فرنٹ اینڈ ہائی جیکنگ اور Web2 حملے کی سطح](https://blockaid.io/blog/frontend-hijacking-and-the-web2-attack-surface-threatening-web3-protocols) — Blockaid, 19 March 2026 (2026-11-12 کو پڑھی گئی)
5. [eth.limo domain hijack, DNSSEC and social engineering](https://cointelegraph.com/news/eth-limo-domain-hijack-dnssec-social-engineering) — Cointelegraph, 20 April 2026 (2026-11-12 کو پڑھی گئی)
6. [Name.com کے ساتھ رجسٹر ایک درجن DeFi ویب سائٹس ہائی جیک ہوئیں](https://theblock.co/news/defi/2026-10-31-hackers-hijack-a-dozen-defi-websites-all-registered-with-name-com-and-steal-about-138000-432251) — The Block, 31 October 2026 (2026-11-12 کو پڑھی گئی)
7. [ENSIP-7: Contenthash field](https://docs.ens.domains/ensip/7) — ENS documentation (2026-11-12 کو پڑھی گئی)

---

Wardmint: Wardmint کریپٹو پروجیکٹ کو درکار دفاعی ڈومینز رجسٹر کرتا ہے — وہ ایکسٹینشنز جو فشرز استعمال کرتے ہیں ان پر اس کا اپنا نام، اور اس کی اپنی ٹائپو اور ملتی جلتی شکلیں — KYC کے بغیر، کریپٹو میں ادائیگی: کوئی شناخت نہیں، ہر ڈومین کے لیے صرف ایک تصدیق شدہ ای میل۔ اسے DomaineGoat LLC چلاتی ہے، جو پاناما میں رجسٹرڈ کمپنی ہے؛ ڈومینز اس کے ICANN سے منظور شدہ رجسٹرار پارٹنر کے ذریعے رجسٹر ہوتے ہیں۔ ایک .com کی قیمت $12.49/سال ہے، ہر سال ایک ہی قیمت۔