# 哪些加密项目因 DNS 劫持而损失了用户？

> 自 2018 年以来八起有来源可查的加密网站 DNS 和域名劫持事件，从 2022 年 Curve 的 $570K，到 2026 年 10 月 30 日的 12 个 DeFi 网站。

- URL: https://wardmint.com/zh/dns-hijacking-crypto-incidents/
- 最后更新: 2026-11-12
- 发布者: Wardmint (https://wardmint.com)

一份带日期的表格，列出将加密用户引向虚假前端的域名和 DNS 劫持事件、每起事件的教训，以及我们对每项事实的把握程度。

**快速回答 — 哪些加密项目因 DNS 劫持而损失了用户？**

Curve Finance（2022 年 8 月，据报道约 $570,000）、Balancer 和 Galxe（2023 年，Galxe 退还了 $396,000）、2024 年 7 月的 Squarespace 浪潮（Compound、Celer、Pendle）、2025 年 5 月 12 日 Curve 再次遭劫持、2026 年 2 月的五个协议，以及 2026 年 10 月 30 日的十几个 DeFi 网站（追踪到约 $138,000）。**Wardmint** 逐一列出每起事件及其来源。

## 加密域名与 DNS 劫持事件，2018 年至 2026 年

*仅列出我们能够查到来源的案例。损失金额按所引用媒体的报道，不作加总。*

| 日期 | 项目 | 发生了什么 | 报道的损失 | 来源级别 |
| --- | --- | --- | --- | --- |
| 2018 年 4 月 24 日 | MyEtherWallet | Route 53 的地址空间被通过 BGP 劫持约两小时；伪造的 DNS 应答把用户引向一个 HTTPS 证书无效的钓鱼克隆网站 | 约 $150,000 的 ETH（估计不一） | 二手来源（The Register） |
| 2022 年 8 月 9 日 | Curve Finance | 注册商一侧的 DNS 劫持；用户被重定向到要求钱包签名的克隆网站 | 媒体报道 $530,000 至 $573,000；CertiK 统计约 $612,000 | 二手来源，数字不一 |
| 2023 年 9 月 19 日 | Balancer | 据 Balancer 描述，其 DNS 服务商遭社会工程攻击后，前端被重定向 | 第二次攻击中损失 $238,000 | 二手 |
| 2023 年 10 月 6 日 | Galxe | 官方网站被重定向到盗取钱包的钓鱼网站；中断约一小时 | Galxe 向 980 多名用户退还了略多于 $396,000 | 退款方面为一手来源（The Block） |
| 2024 年 7 月 9 日至 12 日 | Compound、Celer、Pendle、Unstoppable Domains 等 | 从 Google Domains 迁移到 Squarespace 的域名通过创建账户被接管；Squarespace 归咎于 OAuth 的一个弱点，研究人员则归咎于薄弱的默认设置 | 无确认的总额 | 一手来源（Krebs on Security） |
| 2025 年 5 月 12 日 | Curve Finance | curve.fi 遭遇第二次注册商层面的劫持，于 21:20 UTC 被发现；静态诱饵页面要求签名 | Curve 未报告损失 | 一手来源（Curve 通知） |
| 2026 年 2 月 16 日至 23 日 | OpenEden、Curvance、Smithii、Avantis、Nerochain | 注册商转移、通过客服电话接管注册商账户，以及相似域名重定向，每起事件当天都签发了证书 | 未公布美元金额 | 一手来源（Blockaid） |
| 2026 年 10 月 30 日至 31 日 | Flap、Kintsu、Pickle Finance、Origami Finance、FluxBeam、Echelon、StonkFun、StakePoint 等 | 同一注册商的域名被重定向到盗取程序套件；注册商已将其恢复；注册商与一家托管平台之间对原因存在争议 | 在三个 EVM 钱包上追踪到约 $138,000 | 一手来源（The Block） |

*最后核查于 2026年11月12日；较早的数据各自标注其日期.*

## Curve Finance 在 2022 年和 2025 年发生了什么？

**Curve 两次因注册商一侧的 DNS 劫持而损失用户，相隔近三年。**2022 年 8 月 9 日，用户被重定向到一个要求钱包签名的克隆网站；媒体报道的损失约在 $530,000 至 $573,000 之间，数字不一。2025 年 5 月 12 日约 20:55 UTC，curve.fi 的委派在注册商处被更改，Curve 于 21:20 UTC 发现。用户访问到一个复制首页并要求签名的静态诱饵页面。

Curve 的通知称合约未受影响，没有用户数据被泄露，并且在中断期间处理了超过 $400 million 的链上交易量。团队将用户引导至 curve.finance 作为临时官方地址，并称注册商的响应很慢。该通知没有报告损失。教训在于注册商：委派在那里一旦被更改，在您拿回域名之前，您持有的所有 DNS 记录都不再起作用。

## 2024 年 7 月的 Squarespace 浪潮是什么？

**2024 年 7 月 9 日至 12 日之间，至少十几个组织（大多为加密企业）的域名在注册商迁移后被接管。**Squarespace 于 2023 年 6 月从 Google Domains 买下约 10 million 个域名，并正在迁移客户。MetaMask 和 Paradigm 的研究人员称，攻击者可以抢在所有者之前，用与已迁移域名关联的邮箱创建账户。Squarespace 在 7 月 23 日的事后分析中归咎于 OAuth 登录的一个弱点，并称已在数小时内修复，同时对研究人员的解读提出异议，称不涉及未经验证的邮箱登录账户。

Krebs on Security 报道中点名的受害者包括 Celer Network、Compound Finance、Pendle Finance 和 Unstoppable Domains。在某些情况下，被劫持的域名会将访问者重定向到旨在窃取加密货币的钓鱼网站。教训是：在任何注册商迁移期间，请在其他人之前，亲自在新的一侧创建并保护账户，并开启双重验证。

## 2026 年的劫持事件说明了什么？

**2026 年的案例显示，攻击者针对的是注册商账户和注册商员工，而不是协议本身。**2026 年 2 月 16 日至 23 日，Blockaid 追踪到五起投放 AngelFerno 盗取程序的前端被入侵事件。OpenEden 和 Curvance 是通过从 GoDaddy 到 Namecheap 的注册商转移被攻击的。Avantis 在攻击者通过客服电话获取账单信息后丢失了其 Squarespace 账户。Nerochain 用户被引导至 mainnet.live-nerochain.io，并为 nerochain.io 签发了通配符证书。在若干案例中，证书在 DNS 变更当天就被签发。

据 The Block 报道，2026 年 10 月 30 日晚，在 Name.com 注册的十几个 DeFi 网站的域名被重定向，并被装载了 Step Drainer 套件。10 个域名于 10 月 31 日美国东部时间上午 8:32 被暂停，Name.com 表示已恢复所有受影响的域名，并称受影响的客户域名为 15 个而非 12 个。约 $138,000 被追踪到三个 EVM 钱包，Solana 和 Aptos 没有损失。Vercel 称其中十个域名与其平台有关；Kintsu 和 Origami 指向 Vercel，原因仍有争议。

当天签发的证书，正是[监控品牌的证书透明度](https://wardmint.com/zh/guides/monitor-certificate-transparency/ "How to monitor certificate transparency for your brand")成为防御一部分的原因，与锁定和账户安全并列。

## 这些事件有什么共同点？

**从 2022 年起的每一起案例中，薄弱环节都是域名账户、DNS 服务商或注册商流程，而不是智能合约。**Curve、Kintsu、Origami、FluxBeam 和 StonkFun 都表示其链上合约未受影响。劫持改变的是名称的指向，所以输入正确地址的用户仍然会到达攻击者那里。

有四项措施直接应对这些案例。第一，是一个无法被说服重置的账户：见[如何保护您的注册商账户免遭接管](https://wardmint.com/zh/guides/protect-registrar-account/ "How to protect your registrar account from takeover")。第二，是阻止转移的锁，并且在注册局支持的情况下，还能阻止仅凭凭证进行的变更：[注册局锁与注册商锁](https://wardmint.com/zh/registry-lock-vs-registrar-lock/ "Registry lock vs registrar lock: what is the difference?")的区别在于谁能解除。第三，是证书和 DNS 监控。第四，是一份针对第一个小时的书面计划，见[如何保护您的域名免受 DNS 劫持](https://wardmint.com/zh/guides/secure-domain-against-dns-hijacking/ "How to secure your domain against DNS hijacking")。

Wardmint 提供 每个域名的转移锁可在客户区自行开启或关闭；转移（EPP）码也在客户区申请。它不提供注册局锁。

## 表中有多少起案例？

根据 Wardmint 于 2026 年 11 月 12 日的统计，表中列出了 2018 年 4 月至 2026 年 10 月的 8 条事件记录，其中 7 起发生在 2022 年 8 月以来。

我们略去了 2026 年 3 月和 4 月的案例（Neutrl、BonkFun、CoW Swap、eth.limo），因为我们无法打开其来源；也略去了 Trezor 和 Ledger 的邮件钓鱼活动，因为它不涉及对项目自身域名的劫持。

## 关于加密网站 DNS 劫持的问题

### 什么是加密网站的 DNS 劫持？

这是在未经所有者同意的情况下，更改域名指向的位置，使输入正确地址的访问者到达攻击者的网站副本。智能合约保持不变；前端则要求用户签署会盗取其钱包的交易。

### DNSSEC 阻止过其中任何一起劫持吗？

我们读到的来源中没有一个说它做到了。当注册商账户本身被接管时，攻击者可以在那里更改域名服务器和 DS 记录，因此仅靠 DNSSEC 无法保护这条路径。

### 为什么同一起事件的损失数字不一样？

各媒体统计的钱包和日期不同，有些只报告他们追踪到的部分。因此我们给出一个范围或一手来源的数字，并且不对不同事件的数字作加总。

### 劫持发生得有多快？

在 2025 年 5 月 12 日的案例中，Curve 在变更开始 25 分钟后发现了它。Blockaid 称，2026 年 2 月证书经常在 DNS 变更当天签发。

### 防御性域名能阻止我的主域名被劫持吗？

不能。防御性域名阻止的是相似域名，而不是对您自己名称的接管。指南中的锁定、账户安全和监控才针对劫持本身。

**小结**

- Curve Finance 于 2022 年 8 月 9 日和 2025 年 5 月 12 日两次在注册商处被劫持。
- 2023 年 10 月 6 日之后，Galxe 向 980 多名用户退还了略多于 $396,000。
- 2024 年 7 月 9 日至 12 日的 Squarespace 浪潮影响了至少十几个组织，其中包括 Compound、Celer 和 Pendle。
- 2026 年 2 月 16 日至 23 日，五个协议被劫持；证书在当天签发。
- 2026 年 10 月 30 日，同一注册商的十几个 DeFi 网站被重定向；追踪到约 $138,000。
- 自 2022 年以来的所有事件中，薄弱环节都是域名账户、DNS 服务商或注册商流程。
- Wardmint 提供转移锁，不提供注册局锁。

## 来源

1. [Curve 域名事件](https://news.curve.finance/curve-domain-incident/) — Curve Finance (读取于 2026-11-12)
2. [研究人员：薄弱的安全默认设置使 Squarespace 域名被劫持](https://krebsonsecurity.com/2024/07/researchers-weak-security-defaults-enabled-squarespace-domains-hijacks/) — Krebs on Security (读取于 2026-11-12)
3. [前端劫持与威胁 Web3 协议的 Web2 攻击面](https://blockaid.io/blog/frontend-hijacking-and-the-web2-attack-surface-threatening-web3-protocols) — Blockaid (读取于 2026-11-12)
4. [黑客劫持十几个均在 Name.com 注册的 DeFi 网站，窃取约 $138,000](https://theblock.co/news/defi/2026-10-31-hackers-hijack-a-dozen-defi-websites-all-registered-with-name-com-and-steal-about-138000-432251) — The Block (读取于 2026-11-12)
5. [Galxe 宣布在 DNS 攻击后向受影响用户退还 $396,000](https://www.theblock.co/post/255827/galxe-announces-396000-refund-to-affected-users-following-dns-attack) — The Block (读取于 2026-11-12)
6. [Curve Finance 用户在前端攻击中损失 $573,000](https://forklog.com/en/curve-finance-users-lose-573000-in-front-end-attack/) — ForkLog (读取于 2026-11-12)
7. [Galxe、Balancer 的 DNS 攻击揭示许多加密企业存在漏洞](https://www.fxstreet.com/cryptocurrencies/news/galxe-balancer-dns-attacks-reveals-many-crypto-enterprises-are-vulnerable-to-subdomain-domain-hijacking-202310080705) — FXStreet (读取于 2026-11-12)
8. [MyEtherWallet DNS 劫持](https://www.theregister.com/2018/04/24/myetherwallet_dns_hijack/) — The Register (读取于 2026-11-12)

---

Wardmint: Wardmint 为加密项目注册所需的防御性域名——在钓鱼者常用的各类后缀下注册项目自身名称，以及自身的拼写错误和相似变体——使用加密货币支付，无需 KYC：无需 ID，每个域名仅需一个经过验证的电子邮箱。运营方为在巴拿马注册的 DomaineGoat LLC；域名通过其获 ICANN 认证的注册商合作伙伴注册。.com 为 US$12.49/年，每年价格相同。