Những dự án tiền mã hóa nào đã mất người dùng vì chiếm quyền DNS?

Curve Finance đã xảy ra chuyện gì năm 2022 và 2025?

Curve bị mất người dùng do một vụ chiếm DNS phía nhà đăng ký hai lần, cách nhau gần ba năm. Ngày 9 tháng 8 năm 2022, người dùng bị chuyển tới một bản sao yêu cầu chữ ký ví; các báo đưa tin thiệt hại từ khoảng $530,000 đến $573,000 và các con số khác nhau. Ngày 12 tháng 5 năm 2025 lúc khoảng 20:55 UTC, việc ủy quyền của curve.fi bị đổi tại nhà đăng ký, và Curve phát hiện lúc 21:20 UTC. Người dùng được chuyển tới một trang giả tĩnh sao chép trang chủ và yêu cầu chữ ký.

Thông báo của Curve nói các hợp đồng không bị ảnh hưởng, không có dữ liệu người dùng nào bị xâm phạm, và hơn $400 million khối lượng on-chain đã được xử lý trong thời gian sự cố. Đội ngũ chuyển người dùng sang curve.finance làm địa chỉ chính thức tạm thời, và mô tả phản ứng của nhà đăng ký là chậm. Thông báo không ghi nhận thiệt hại nào. Bài học nằm ở nhà đăng ký: khi ủy quyền thay đổi tại đó, mọi bản ghi DNS bạn giữ đều trở nên vô nghĩa cho đến khi bạn lấy lại được tên miền.

Đợt Squarespace tháng 7 năm 2024 là gì?

Từ ngày 9 đến 12 tháng 7 năm 2024, ít nhất một chục tổ chức, chủ yếu là doanh nghiệp tiền mã hóa, đã bị chiếm tên miền sau một đợt chuyển nhà đăng ký. Squarespace đã mua khoảng 10 triệu tên miền từ Google Domains vào tháng 6 năm 2023 và đang chuyển khách hàng sang. Các nhà nghiên cứu tại MetaMask và Paradigm nói kẻ tấn công có thể tạo một tài khoản bằng email gắn với một tên miền đã chuyển trước khi chủ sở hữu làm điều đó. Báo cáo hậu kiểm của Squarespace ngày 23 tháng 7 đổ lỗi cho điểm yếu trong đăng nhập OAuth và đã sửa trong vài giờ, đồng thời phản bác cách hiểu của các nhà nghiên cứu, nói rằng không có tài khoản đăng nhập bằng email chưa xác minh nào liên quan.

Các nạn nhân được nêu tên trong báo cáo của Krebs on Security gồm Celer Network, Compound Finance, Pendle Finance và Unstoppable Domains. Trong một số trường hợp, các tên miền bị chiếm chuyển hướng khách truy cập tới trang phishing nhắm vào việc đánh cắp tiền mã hóa. Bài học: trong bất kỳ đợt chuyển nhà đăng ký nào, hãy tự tạo và bảo vệ tài khoản ở phía mới, bật xác thực hai yếu tố, trước khi bất kỳ ai khác làm điều đó.

Các vụ chiếm quyền năm 2026 cho thấy điều gì?

Các trường hợp năm 2026 cho thấy kẻ tấn công nhắm vào tài khoản nhà đăng ký và nhân viên nhà đăng ký, chứ không nhắm vào giao thức. Từ ngày 16 đến 23 tháng 2 năm 2026, Blockaid theo dõi năm vụ xâm phạm front end phát tán bộ công cụ rút ví AngelFerno. OpenEden và Curvance bị tấn công qua một lần chuyển nhà đăng ký từ GoDaddy sang Namecheap. Avantis mất tài khoản Squarespace sau khi kẻ tấn công lấy được thông tin thanh toán trong một cuộc gọi hỗ trợ. Người dùng Nerochain bị chuyển tới mainnet.live-nerochain.io, với chứng chỉ wildcard được cấp cho nerochain.io. Trong nhiều trường hợp, chứng chỉ được cấp ngay trong ngày thay đổi DNS.

Ngày 30 tháng 10 năm 2026, các tên miền của hàng chục trang DeFi đăng ký tại Name.com bị chuyển hướng vào buổi tối và được nạp bộ công cụ Step Drainer, The Block đưa tin. Mười tên miền bị đình chỉ lúc 8:32 sáng giờ ET ngày 31 tháng 10, và Name.com nói họ đã khôi phục toàn bộ tên miền bị ảnh hưởng và đếm được 15 tên miền khách hàng, không phải 12. Khoảng $138,000 được truy vết tới ba ví EVM, không có thiệt hại trên Solana và Aptos. Vercel gắn mười tên miền với nền tảng của họ; Kintsu và Origami trỏ về Vercel, và nguyên nhân vẫn còn tranh cãi.

Chứng chỉ trong cùng ngày là lý do giám sát minh bạch chứng chỉ cho thương hiệu của bạn là một phần của phòng thủ, bên cạnh khóa và bảo mật tài khoản.

Các sự cố này có điểm chung nào?

Trong mọi trường hợp từ năm 2022 trở đi, điểm yếu là tài khoản tên miền, nhà cung cấp DNS hoặc quy trình của nhà đăng ký, không phải hợp đồng thông minh. Curve, Kintsu, Origami, FluxBeam và StonkFun đều nói các hợp đồng on-chain của họ không bị động đến. Một vụ chiếm quyền thay đổi nơi tên trỏ tới, nên người dùng gõ đúng địa chỉ vẫn đến được kẻ tấn công.

Bốn biện pháp trả lời trực tiếp các trường hợp này. Thứ nhất là một tài khoản không thể bị thuyết phục đặt lại: xem cách bảo vệ tài khoản nhà đăng ký khỏi bị chiếm. Thứ hai là một khóa chặn chuyển nhượng và, nơi registry hỗ trợ, các thay đổi chỉ bằng thông tin xác thực: khóa registry và khóa nhà đăng ký khác nhau ở người có thể gỡ chúng. Thứ ba là giám sát chứng chỉ và DNS. Thứ tư là một kế hoạch bằng văn bản cho giờ đầu tiên, trong cách bảo vệ tên miền của bạn trước chiếm quyền DNS.

Wardmint cung cấp khóa chuyển nhượng mà bạn bật hoặc tắt cho từng tên miền trong khu vực khách hàng; mã chuyển nhượng (EPP) cũng được yêu cầu tại đó. Nó không cung cấp khóa registry.

Bảng có bao nhiêu trường hợp?

Theo cách đếm của Wardmint ngày 12 tháng 11 năm 2026, bảng liệt kê 8 mục sự cố từ tháng 4 năm 2018 đến tháng 10 năm 2026, và 7 trong số đó xảy ra từ tháng 8 năm 2022.

Chúng tôi bỏ các trường hợp tháng 3 và tháng 4 năm 2026 (Neutrl, BonkFun, CoW Swap, eth.limo) vì không mở được nguồn của chúng, và một chiến dịch phishing email nhắm vào Trezor và Ledger vì nó không liên quan đến việc chiếm tên miền của một dự án.