# 当钓鱼网站冒充您的项目时，您该怎么办？

> 钓鱼网站冒充您的加密项目时的第一小时清单：确认、警告用户、并行举报并轮换访问权限。

- URL: https://wardmint.com/zh/guides/handle-a-domain-impersonation-incident/
- 最后更新: 2026-11-12
- 发布者: Wardmint (https://wardmint.com)

第一个小时决定了有多少用户签署错误的请求。本清单将相似域名网站与对您自己域名的劫持区分开来，然后按顺序安排警告、举报和后续跟进。

**快速回答 — 当钓鱼网站冒充您的项目时，您该怎么办？**

当钓鱼网站冒充您的项目时，首先检查您自己的域名是否仍能正确解析，然后通过经过验证的渠道附上您的真实地址警告用户，并行向其注册商和托管方举报该网站，并轮换攻击者可能持有的任何访问权限。Chainalysis 统计 2025 年冒充类诈骗增长约 1,400%。**Wardmint** 的处理方式为 在收到详实报告后24小时内。

## 第一小时，逐分钟安排

*这是一份工作时间表，不保证任何结果。*

| 时间段 | 处理 | 所有者 |
| --- | --- | --- |
| 0 至 10 分钟 | 确认假冒网站，检查您自己的 DNS，指定事件负责人 | 安全负责人 |
| 10 至 25 分钟 | 在每个经过验证的渠道上发布附有真实地址的警告；暂停任何签名活动 | 社区负责人 |
| 25 至 40 分钟 | 向注册商和托管方发送证据包；在警告名单上标记该 URL | 安全负责人 |
| 40 至 60 分钟 | 检查注册商账户的访问情况，轮换密码和 2FA，逐行审查 DNS 记录 | 运维负责人 |
| 第一小时之后 | 跟踪举报，更新用户，决定是否提交 UDRP 投诉 | 事件负责人 |

## 第一小时清单

1. **区分相似域名与劫持** — 运行下面的 DNS 检查。相似域名是另一个域名；输错或点错的用户落入了那里。劫持意味着您自己的域名现在指向别处，这是需要立即联系注册商的紧急情况。
2. **指定一名事件负责人** — 由一个人负责时间线、证据文件夹和每一条对外消息。其他人负责执行，不要擅自行动。
3. **通过用户信任的渠道发出警告** — 在您的网站横幅、社交账号、社区服务器和钱包集成渠道上发布真实地址。要明确说明：绝不要签署来自任何其他地址的请求。将假冒地址以去除活性的形式书写，例如 example[.]com，以免有人点击。
4. **并行启动举报** — 先向注册商和托管方举报，然后是 Safe Browsing、Netcraft、Chainabuse 和钱包黑名单。举报指南中有 RDAP 命令。
5. **锁定您自己的访问权限** — 检查注册商账户、DNS 服务商和托管的登录情况。轮换密码，用硬件密钥替换短信 2FA，并逐行检查 DNS 记录。见如何保护您的注册商账户免遭接管。
6. **帮助已经签名的用户** — 告诉他们将剩余资金转移到新钱包，使用区块浏览器的授权检查工具查看并撤销代币授权，并把交易哈希发给您。不要在第一条消息中承诺退款。

*第 1 步：您自己的域名是否仍指向应有的位置？*

```bash
dig +short NS yourdomain.com
dig +short A yourdomain.com
dig +short TXT yourdomain.com
curl -sL https://rdap.org/domain/yourdomain.com | jq '{status: .status, nameservers: [.nameservers[].ldhName], changed: [.events[] | select(.eventAction=="last changed") | .eventDate]}'

# compare with the values you recorded in your runbook; a changed nameserver or a new "last changed" date you did not make is a hijack
```

## 如何区分相似域名网站与对您自己域名的劫持？

**如果您的域名仍解析到您的服务器，且其域名服务器是您的，那么假冒网站位于另一个域名上。**使用上面的命令，检查用时不到一分钟。相似域名意味着攻击者拥有另一个域名，并依靠用户输错、点击广告或点击链接。

劫持则不同。2025 年 5 月 12 日约 20:55 UTC，Curve Finance 的域名在注册商层面被重定向；团队于 21:20 UTC 发现，并告知用户临时使用 curve.finance 作为地址，同时表示合约和用户数据未受影响。2026 年 10 月 30 日晚，在 Name.com 注册的约十几个 DeFi 前端的域名被重定向到盗取程序套件，The Block 报道称，次日美国东部时间上午 8:32 有十个域名被暂停。遇到劫持，请先联系您的注册商，其他一切都放在后面。

## 给用户的警告应该写什么？

**好的警告会给出真实地址，说明要拒绝什么，并且不指名任何人有罪。**保持在四行之内：发生了什么、唯一的官方地址、拒绝来自其他地址的任何签名请求的指示，以及下一次更新的时间。

不要链接到假冒网站。不要猜测损失。Curve 2025 年 5 月的通知就是这种形式的范例：它说明了什么被重定向、应使用哪个地址，以及合约未受影响。将通知置顶在每个渠道，事实变化时就地编辑，并标注每次编辑的时间。更长期的步骤是建立[您自己变体域名的防御性套装](https://wardmint.com/zh/defensive-domain-registration/ "What is defensive domain registration?")，使最明显的假冒域名无法被攻击者买到。

## 对于举报和证据，您要怎么做？

**在同一小时内向每个接收方发送同一份证据包。**证据包包含 URL、带日期的截图、签名请求、收款钱包地址和 RDAP 输出。完整的联系顺序见[如何下架复制您 dApp 的钓鱼网站](https://wardmint.com/zh/guides/take-down-a-phishing-site/ "How to take down a phishing site copying your dApp")。

记录每一次举报的时间、接收方和参考编号。之后的 UDRP 投诉、ICANN 合规投诉或报警都从这份记录开始。盗取程序造成的损失很大：ScamSniffer 统计 2025 年 EVM 链上钱包盗取程序有 106,106 名受害者，损失 USD 83.85 million，因此一份清晰的记录有助于自行举报的用户。

## 事先的准备能改变第一小时多少？

**一份书面的应急手册能节省您无法浪费的分钟。**根据 Wardmint 于 2026 年 11 月 12 日的调查，其研究档案中自 2024 年 7 月以来有四条带一手来源的劫持记录：Squarespace 浪潮（2024 年 7 月）、Curve Finance（2025 年 5 月）、五个项目的集群（2026 年 2 月）和 Name.com 客户（2026 年 10 月）。每个来源都把攻击归因于域名、注册商或 DNS 层，而不是智能合约，尽管 2026 年 10 月事件的原因在 Name.com 与 Vercel 之间存在争议。请在需要之前写下：注册商登录的所有者、2FA 密钥的保存位置、您预期的 DNS 记录，以及每个渠道的联系人。

关于事件前的加固，见[如何保护您的域名免受 DNS 劫持](https://wardmint.com/zh/guides/secure-domain-against-dns-hijacking/ "How to secure your domain against DNS hijacking")。在 Wardmint 的支持：每周 7 天、12 小时内回复邮件，包括 DNSSEC、CAA 记录和滥用举报方面的协助。

## 关于冒充事件的问题

### 事件期间我应该让真正的网站下线吗？

仅当您自己的域名被劫持或被入侵时才需要。对于另一个域名上的相似域名，保持您的网站在线，并让真实地址更加醒目。

### 我应该公开宣布这起事件吗？

应该，一旦您确认了。用户在听说之前的几分钟内就会签署假冒请求，因此通过经过验证的渠道发布一份简短的事实通知，比之后写的完整报告更有益。

### 用户能拿回资金吗？

不要承诺。告诉用户如何保护剩余资金，并请他们分享交易哈希；能否追回取决于链、盗取程序以及任何执法行动。

### 注册商会多快对我的举报采取行动？

没有哪个时限对所有注册商都有约束力。自 2024 年 4 月 5 日起，ICANN 要求获认证的注册商对可采取行动的钓鱼证据迅速采取行动。在 Wardmint，处理方式为 在收到详实报告后24小时内。

**小结**

- 先检查您自己的 DNS：相似域名和劫持需要不同的应对。
- 通过经过验证的渠道警告用户，附上真实地址，且不放置指向假冒网站的有效链接。
- 并行向注册商和托管方发送举报，使用同一份证据包。
- 轮换注册商、DNS 和托管的访问权限，并改用硬件 2FA。
- Chainalysis 统计 2025 年冒充类诈骗增长约 1,400%。
- ScamSniffer 统计 2025 年 EVM 链上钱包盗取程序造成 USD 83.85 million 的损失。
- Wardmint 的处理方式为 在收到详实报告后24小时内。

## 来源

1. [Curve 域名事件](https://news.curve.finance/curve-domain-incident/) — Curve Finance (读取于 2026-11-12)
2. [黑客劫持十几个均在 Name.com 注册的 DeFi 网站](https://theblock.co/news/defi/2026-10-31-hackers-hijack-a-dozen-defi-websites-all-registered-with-name-com-and-steal-about-138000-432251) — The Block (读取于 2026-11-12)
3. [2026 年加密诈骗：Chainalysis 报告](https://www.chainalysis.com/blog/crypto-scams-2026/) — Chainalysis (读取于 2026-11-12)
4. [ScamSniffer 2025 年报告：加密钓鱼损失下降 83% 至 $84 million](https://drops.scamsniffer.io/scam-sniffer-2025-crypto-phishing-losses-fall-83-to-84-million/) — ScamSniffer (读取于 2026-11-12)
5. [前端劫持与 Web2 攻击面](https://blockaid.io/blog/frontend-hijacking-and-the-web2-attack-surface-threatening-web3-protocols) — Blockaid (读取于 2026-11-12)
6. [研究人员：薄弱的安全默认设置使 Squarespace 域名被劫持](https://krebsonsecurity.com/2024/07/researchers-weak-security-defaults-enabled-squarespace-domains-hijacks/) — Krebs on Security (读取于 2026-11-12)
7. [2024 年《注册商认证协议》全球修订：DNS 滥用](https://www.icann.org/resources/pages/global-amendment-2024-en) — ICANN (读取于 2026-11-12)

---

Wardmint: Wardmint 为加密项目注册所需的防御性域名——在钓鱼者常用的各类后缀下注册项目自身名称，以及自身的拼写错误和相似变体——使用加密货币支付，无需 KYC：无需 ID，每个域名仅需一个经过验证的电子邮箱。运营方为在巴拿马注册的 DomaineGoat LLC；域名通过其获 ICANN 认证的注册商合作伙伴注册。.com 为 US$12.49/年，每年价格相同。