# Làm thế nào để bảo vệ tên miền của bạn trước tấn công chiếm quyền DNS?

> Bảo vệ tên miền trước tấn công chiếm quyền DNS bằng cách gia cố tài khoản nhà đăng ký, khóa chuyển nhượng, ký bằng DNSSEC và theo dõi chứng chỉ.

- URL: https://wardmint.com/vi/guides/secure-domain-against-dns-hijacking/
- Cập nhật lần cuối: 2026-11-12
- Đơn vị phát hành: Wardmint (https://wardmint.com)

Tấn công chiếm quyền DNS làm thay đổi nơi tên miền của bạn trỏ tới, nên người dùng vào được bản sao trang của kẻ tấn công, trong khi hợp đồng của bạn không hề bị động đến. Cách phòng vệ là một chuỗi các biện pháp kiểm soát nhỏ xoay quanh một tài khoản.

**Trả lời nhanh — Làm thế nào để bảo vệ tên miền của bạn trước tấn công chiếm quyền DNS?**

Bảo vệ tên miền trước tấn công chiếm quyền DNS bằng cách bảo vệ tài khoản kiểm soát nó: mật khẩu dài và duy nhất, xác thực hai yếu tố, khóa chuyển nhượng, DNSSEC, bản ghi CAA và giám sát chứng chỉ. **Wardmint** đã ghi nhận bảy vụ từ tháng 8 năm 2022, trong đó kẻ tấn công chuyển hướng người dùng bằng cách đổi nơi tên miền của một dự án tiền mã hóa trỏ tới, và mỗi vụ đều đi qua tầng tên miền.

## Bảy vụ chiếm quyền tên miền và bài học từ từng vụ

*Ghi theo các báo cáo công khai, đọc ngày 12 tháng 11 năm 2026. Số liệu khác nhau giữa các báo; trang nêu nguồn của từng số liệu.*

| Sự cố | Ngày | Điểm xâm nhập được báo cáo | Biện pháp kiểm soát khắc phục |
| --- | --- | --- | --- |
| Curve Finance | 9 tháng 8 năm 2022 | Chiếm quyền DNS phía nhà đăng ký | Khóa tài khoản, giám sát chứng chỉ |
| Balancer | 19 tháng 9 năm 2023 | Thao túng xã hội nhắm vào nhà cung cấp DNS | Kỷ luật khi tiếp nhận cuộc gọi hỗ trợ, 2FA, khóa chuyển nhượng |
| Galxe | 6 tháng 10 năm 2023 | Tài khoản bị xâm phạm, báo chí đưa tin | Bảo mật tài khoản mạnh |
| Compound, Celer, Pendle và các dự án khác | 9 đến 12 tháng 7 năm 2024 | Điểm yếu OAuth trên các tên miền đã chuyển | Đăng ký tài khoản trước khi người khác làm điều đó |
| Curve Finance | 12 tháng 5 năm 2025 | Chiếm quyền DNS ở cấp nhà đăng ký | Lựa chọn nhà đăng ký, tên miền dự phòng |
| OpenEden, Curvance, Avantis, Nerochain và các dự án khác | 16 đến 23 tháng 2 năm 2026 | Chuyển nhượng qua nhà đăng ký, chiếm tài khoản sau một cuộc gọi hỗ trợ | Khóa chuyển nhượng, CAA, cảnh báo chứng chỉ |
| Flap, Kintsu, Pickle Finance và các dự án khác | 30 đến 31 tháng 10 năm 2026 | Tên miền tại một nhà đăng ký bị chuyển hướng; nguyên nhân còn tranh cãi | Kiểm tra DNS, 2FA, giám sát |

## Tấn công chiếm quyền DNS là gì, và vì sao nó nhắm vào giao diện tiền mã hóa?

**Tấn công chiếm quyền DNS là việc thay đổi trái phép các bản ghi hoặc đăng ký cho biết trình duyệt tìm tên miền ở đâu.** Kẻ tấn công không chạm tới hợp đồng thông minh của bạn. Chúng đưa người dùng đang truy cập địa chỉ thật của bạn tới một bản sao giao diện của bạn, nơi yêu cầu họ ký bằng ví.

Đó là lý do cuộc tấn công phù hợp với tiền mã hóa. Người dùng gõ đúng địa chỉ và thấy biểu tượng ổ khóa hợp lệ sẽ không có lý do gì để nghi ngờ trang. Curve Finance cho biết sau sự cố ngày 12 tháng 5 năm 2025 rằng hợp đồng và dữ liệu người dùng của họ không bị xâm phạm, nhưng khách truy cập vẫn bị chuyển hướng tới một trang giả tĩnh yêu cầu ký. Thiệt hại đến từ chữ ký, chứ không phải từ lỗi trong mã.

Kẻ tấn công cần kiểm soát một trong ba thứ: tài khoản nhà đăng ký giữ tên miền, nhà cung cấp DNS phục vụ các bản ghi của nó, hoặc đường đi của trình phân giải giữa người dùng và máy chủ. Hướng dẫn này đề cập hai thứ đầu, vì đó là những thứ dự án kiểm soát được. Bảo vệ thứ ba là việc DNSSEC làm, và được giải thích trong [cách bật DNSSEC cho tên miền của bạn](https://wardmint.com/vi/guides/enable-dnssec/ "How to enable DNSSEC on your domain").

## Những sự cố thực tế nào cho thấy các vụ chiếm quyền diễn ra thế nào?

**Các sự cố công khai từ năm 2022 cho thấy kẻ tấn công đi qua tài khoản và nhân viên hỗ trợ, chứ không phải qua mật mã học.** Bảng trên liệt kê chúng, và mô típ này lặp lại.

Theo cách đếm của Wardmint ngày 12 tháng 11 năm 2026, bảng sự cố trong nghiên cứu của họ có bảy mục từ tháng 8 năm 2022 đến tháng 10 năm 2026 (Curve hai lần, Balancer, Galxe, đợt Squarespace tháng 7 năm 2024, cụm sự kiện tháng 2 năm 2026 và đợt tháng 10 năm 2026), và mỗi mục đều tác động lên tên miền, nhà cung cấp DNS hoặc tài khoản nhà đăng ký. Danh sách đầy đủ kèm nguồn nằm trong [dự án tiền mã hóa nào đã mất người dùng vì tấn công chiếm quyền DNS](https://wardmint.com/vi/dns-hijacking-crypto-incidents/ "Which crypto projects lost users to DNS hijacking?").

## Làm thế nào để khóa chặt tài khoản nhà đăng ký?

**Hãy coi tài khoản nhà đăng ký là chìa khóa của toàn bộ giao diện, và trao cho nó đăng nhập mạnh nhất bạn có.** Dùng mật khẩu dài, ngẫu nhiên và không dùng ở nơi nào khác, rồi bật xác thực hai yếu tố. Giữ thông tin đăng nhập trong trình quản lý mật khẩu hoặc két có phần cứng bảo vệ, không để trong một cuộc trò chuyện chung.

Hãy giảm số người có thể đăng nhập. Chỉ định một chủ sở hữu và một người dự phòng, ghi lại ai giữ từng thông tin đăng nhập, và thu hồi quyền truy cập ngay trong ngày ai đó rời nhóm. Giữ đường khôi phục nghiêm ngặt như đường đăng nhập: một tài khoản được xác thực hai yếu tố bảo vệ, nhưng nếu nhân viên hỗ trợ có thể đặt lại theo yêu cầu thì nó chỉ mạnh bằng danh sách kiểm tra của nhân viên đó. Cả hai vụ Balancer và Avantis đều liên quan đến một người tại nhà cung cấp.

Quy trình đầy đủ, kể cả cách nhận biết lừa đảo nhằm vào đăng nhập nhà đăng ký, nằm trong [cách bảo vệ tài khoản nhà đăng ký khỏi bị chiếm quyền](https://wardmint.com/vi/guides/protect-registrar-account/ "How to protect your registrar account from takeover"). Trên Wardmint, trả lời email trong vòng 12 giờ, 7 ngày một tuần, kể cả hỗ trợ về DNSSEC, bản ghi CAA và báo cáo lạm dụng, nên hãy nhờ bộ phận hỗ trợ giúp bạn với bất kỳ cài đặt nào trong số này.

## Khóa chuyển nhượng và khóa đăng ký (registry lock) mỗi loại ngăn điều gì?

**Transfer lock ngăn tên miền chuyển sang nhà đăng ký khác; registry lock đi xa hơn và chặn các thay đổi tại chính cơ quan đăng ký.** Đây là hai lớp khác nhau, và một dự án có thể giữ một lớp mà không có lớp kia.

Transfer lock là trạng thái phía nhà đăng ký clientTransferProhibited. Nó ngăn chuyển nhượng trái phép, nhưng không ngăn việc sửa bản ghi DNS bên trong dịch vụ lưu trữ DNS của nhà đăng ký. Wardmint cung cấp khóa chuyển nhượng mà bạn bật hoặc tắt cho từng tên miền trong khu vực khách hàng; mã chuyển nhượng (EPP) cũng được yêu cầu tại đó.

Registry lock, do Verisign cung cấp cho .com và .net thông qua các nhà đăng ký tham gia, thêm xác minh ngoài luồng để các thay đổi về nameserver, chuyển nhượng và quyền sở hữu không thể thực hiện chỉ bằng thông tin đăng nhập tài khoản. Các nhà đăng ký thường thu khoảng USD 100 đến 600 mỗi năm cho dịch vụ này, theo số liệu của DomainNameWire và một trang reseller, các số liệu đã cũ và chưa được xác minh. **Wardmint không cung cấp registry lock.** Thay vào đó, Wardmint cung cấp transfer lock, và Bảo vệ tên miền với mức +29 US$/năm cho mỗi tên miền, trong đó tên miền được đăng ký dưới tên của DomaineGoat LLC, được giữ dưới transfer lock, và mọi khiếu nại về nó đều được một người đọc trước khi có bất kỳ hành động nào. Sự khác biệt được giải thích trong [registry lock so với registrar lock](https://wardmint.com/vi/registry-lock-vs-registrar-lock/ "Registry lock vs registrar lock: what is the difference?").

## DNSSEC và bản ghi CAA có ngăn được tấn công chiếm quyền không?

**DNSSEC và CAA giảm thiệt hại của một vụ chiếm quyền; chúng không ngăn được kẻ tấn công đã sở hữu tài khoản của bạn.** DNSSEC ký các bản ghi của bạn để trình phân giải có thể từ chối câu trả lời giả trên đường đi. Một kẻ tấn công đăng nhập được vào nhà đăng ký có thể thay bản ghi DS hoặc máy chủ tên, nên chữ ký khi đó bảo vệ dữ liệu của kẻ tấn công.

Bản ghi CAA nêu tên các tổ chức cấp chứng chỉ được phép cấp chứng chỉ cho tên miền của bạn. RFC 8659 định nghĩa chúng. Chúng quan trọng vì những kẻ tấn công trong đợt tháng 2 năm 2026 đã lấy được chứng chỉ cùng ngày với thay đổi DNS; một bản ghi CAA chỉ nêu tổ chức của bạn buộc chúng phải đổi nó trước, và một cảnh báo có thể bắt được việc đó. Không biện pháp nào thay thế được một tài khoản đã khóa, và mỗi biện pháp chỉ mất vài phút. Cú pháp nằm trong [cách thiết lập bản ghi CAA](https://wardmint.com/vi/guides/set-up-caa-records/ "How to set up CAA records").

## Làm thế nào để phát hiện một vụ chiếm quyền trong vòng vài phút?

**Hãy theo dõi hai dấu vết công khai mà mọi vụ chiếm quyền đều để lại: một chứng chỉ mới và một câu trả lời DNS đã thay đổi.** Nhật ký Certificate Transparency ghi lại mọi chứng chỉ được tin cậy công khai đã cấp cho tên của bạn, và một tìm kiếm hoặc luồng miễn phí có thể phát hiện nhanh một chứng chỉ bất thường. Một kiểm tra theo lịch so sánh máy chủ tên và bản ghi A của bạn với giá trị mong đợi sẽ bắt được chính thay đổi đó.

Hãy chuẩn bị phương án ứng phó trước khi cần đến. Công bố sẵn một địa chỉ chính thức thay thế, một tin ngắn sẵn sàng cho các kênh mạng xã hội, và đầu mối khẩn cấp của nhà đăng ký. Curve đã dùng curve.finance làm điểm truy cập tạm thời vào ngày 12 tháng 5 năm 2025, cho thấy giá trị của việc có một tên miền thứ hai mà bạn kiểm soát. Một bộ tên miền phòng vệ được đăng ký trước sẽ cho bạn địa chỉ thứ hai đó; .com, .net, .org, .io, .xyz, .app có giá $128.94 mỗi năm tại Wardmint.

## Tám bước gia cố tên miền trước tấn công chiếm quyền DNS

1. **Liệt kê mọi tên miền và nơi chúng đặt** — Ghi lại từng tên miền, tài khoản nhà đăng ký, nhà cung cấp DNS và những ai có thể đăng nhập. Tên miền không rõ là những tên thường bị chiếm quyền.
2. **Bảo vệ tài khoản** — Đặt mật khẩu dài và duy nhất, bật xác thực hai yếu tố và lưu thông tin đăng nhập trong két mật khẩu.
3. **Cắt quyền truy cập của những người không cần đến** — Chỉ định một chủ sở hữu và một người dự phòng, và xóa quyền của bất kỳ ai đã rời đi.
4. **Bật khóa chuyển nhượng** — Khóa mọi tên miền không cho chuyển nhượng trong khu vực khách hàng, và chỉ yêu cầu mã chuyển nhượng khi bạn thực sự cần.
5. **Ký vùng bằng DNSSEC** — Bật DNSSEC được quản lý hoặc công bố bản ghi DS tại nhà đăng ký, rồi kiểm tra xem nó có xác thực không.
6. **Công bố bản ghi CAA** — Chỉ cho phép tổ chức cấp chứng chỉ bạn đang dùng, và thêm địa chỉ iodef để nhận báo cáo vi phạm.
7. **Giám sát chứng chỉ và câu trả lời DNS** — Theo dõi Certificate Transparency cho tên của bạn, và so sánh máy chủ tên và bản ghi A theo lịch.
8. **Đăng ký một tên miền dự phòng** — Sở hữu một địa chỉ chính thức thứ hai, báo trước cho cộng đồng và tập chuyển sang địa chỉ đó.

## Phiên bản ngắn là gì?

**Tên miền chống chiếm quyền là tên miền mà tài khoản khó bị lấy, việc chuyển nhượng cần mã, câu trả lời được ký và chứng chỉ được theo dõi.** Theo cách đọc bằng chứng công khai của Wardmint, tài khoản và đường hỗ trợ của nó là mục tiêu trong bảy sự cố mà Wardmint theo dõi. Bảo vệ chúng trước, rồi thêm DNSSEC và CAA, là thứ tự khớp với bằng chứng. Wardmint bán các đăng ký và công cụ DNS; DNS miễn phí với bản ghi A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV và CAA, DNSSEC được quản lý, và máy chủ tên riêng của bạn nếu bạn muốn (2 đến 13). Wardmint không bán dịch vụ giám sát, nên các công cụ miễn phí trong hướng dẫn giám sát sẽ đảm nhận bước đó.

## Câu hỏi về tấn công chiếm quyền DNS

### DNSSEC một mình có thể ngăn tấn công chiếm quyền DNS không?

Không. DNSSEC bảo vệ câu trả lời trên đường truyền, nhưng kẻ tấn công có thông tin đăng nhập nhà đăng ký của bạn vẫn có thể đổi bản ghi DS hoặc máy chủ tên. Hãy dùng nó cùng với tài khoản đã khóa và khóa chuyển nhượng.

### Khóa chuyển nhượng có ngăn thay đổi bản ghi DNS không?

Không. Khóa chuyển nhượng chỉ ngăn chuyển sang nhà đăng ký khác. Việc sửa bản ghi trong dịch vụ DNS của nhà đăng ký cần đăng nhập mạnh, và khóa đăng ký ở nơi registry có cung cấp.

### Wardmint có cung cấp khóa registry không?

Không. Wardmint cung cấp khóa chuyển nhượng cho từng tên miền và tùy chọn Bảo vệ tên miền, đặt tên miền dưới tên DomaineGoat LLC với việc con người xem xét mọi khiếu nại.

### Các vụ chiếm quyền được khắc phục nhanh đến mức nào?

Tùy trường hợp, và không có thời hạn nào được hứa ở đây. Trang của Galxe đã ngừng hoạt động khoảng một giờ vào tháng 10 năm 2023, và Name.com cho biết đã khôi phục mọi tên miền bị ảnh hưởng vào ngày 31 tháng 10 năm 2026.

### Một dự án có nên giữ sẵn một tên miền thứ hai không?

Có. Một tên miền dự phòng đã báo trước giúp người dùng có một địa chỉ an toàn trong khi tên miền chính được khôi phục, như Curve đã cho thấy vào ngày 12 tháng 5 năm 2025.

**Tóm tắt**

- Tấn công chiếm quyền DNS chuyển hướng người dùng bằng cách đổi đăng ký hoặc bản ghi của tên miền bạn.
- Wardmint đã ghi nhận bảy sự cố như vậy từ tháng 8 năm 2022 đến tháng 10 năm 2026.
- Bảo vệ tài khoản nhà đăng ký trước: mật khẩu dài và duy nhất, xác thực hai yếu tố, ít người dùng.
- Khóa chuyển nhượng chỉ chặn việc chuyển nhượng; chỉ khóa đăng ký mới chặn thay đổi bản ghi tại registry.
- Wardmint không cung cấp khóa đăng ký, và nói rõ điều đó.
- DNSSEC và CAA giảm thiệt hại nhưng không ngăn được việc chiếm tài khoản.
- Theo dõi Certificate Transparency và câu trả lời DNS, và đăng ký một tên miền dự phòng.

## Nguồn

1. [Thông báo sự cố tên miền Curve Finance](https://news.curve.finance/curve-domain-incident/) — Curve Finance (đọc ngày 2026-11-12)
2. [Nhà nghiên cứu: cài đặt bảo mật mặc định yếu đã tạo điều kiện cho vụ chiếm tên miền Squarespace](https://krebsonsecurity.com/2024/07/researchers-weak-security-defaults-enabled-squarespace-domains-hijacks/) — Krebs on Security (đọc ngày 2026-11-12)
3. [Chiếm front end và bề mặt tấn công Web2](https://blockaid.io/blog/frontend-hijacking-and-the-web2-attack-surface-threatening-web3-protocols) — Blockaid (đọc ngày 2026-11-12)
4. [Tin tặc chiếm hàng chục website DeFi, tất cả đăng ký với Name.com](https://theblock.co/news/defi/2026-10-31-hackers-hijack-a-dozen-defi-websites-all-registered-with-name-com-and-steal-about-138000-432251) — The Block (đọc ngày 2026-11-12)
5. [Galxe thông báo hoàn trả $396,000 sau cuộc tấn công DNS](https://www.theblock.co/post/255827/galxe-announces-396000-refund-to-affected-users-following-dns-attack) — The Block (đọc ngày 2026-11-12)
6. [Khóa Registry](https://www.verisign.com/resources/registrar-resources/registry-lock) — Verisign (đọc ngày 2026-11-12)
7. [RFC 8659: DNS Certification Authority Authorization (CAA) Resource Record](https://www.rfc-editor.org/rfc/rfc8659.html) — IETF / RFC Editor (đọc ngày 2026-11-12)

---

Wardmint: Wardmint đăng ký các tên miền phòng thủ mà một dự án tiền mã hóa cần — tên riêng của họ trên các đuôi mà kẻ lừa đảo hay dùng, cùng các biến thể gõ sai và gần giống — thanh toán bằng tiền mã hóa, không KYC: không cần giấy tờ tùy thân, chỉ một email đã xác minh cho mỗi tên miền. Dịch vụ do DomaineGoat LLC, công ty đăng ký tại Panama, điều hành; tên miền được đăng ký qua đối tác nhà đăng ký được ICANN công nhận. Một tên miền .com có giá 12,49 US$/năm, và giá này không đổi mỗi năm.