如何保护您的域名免遭 DNS 劫持？

什么是 DNS 劫持？为什么加密项目的前端会成为目标？

DNS 劫持是指未经授权更改告诉浏览器域名所在位置的记录或注册信息。攻击者并不触碰您的智能合约。他们把访问您真实地址的用户引向一个索要钱包签名的前端副本。

这正是这种攻击适合加密领域的原因。用户输入了正确的地址，看到有效的锁形图标，就没有理由怀疑页面。Curve Finance 在 2025 年 5 月 12 日的事件之后表示，其合约和用户数据没有受到破坏，但访问者被重定向到一个索要签名的静态仿冒页面。损失来自签名，而不是代码缺陷。

攻击者需要控制三者之一：持有该域名的注册商账号、提供其记录的 DNS 提供商，或用户与服务器之间的解析路径。本指南涵盖前两项，因为它们是项目自己可以掌控的。保护第三项正是 DNSSEC 的用途，详见 如何为您的域名启用 DNSSEC。

有哪些真实事件显示了劫持是如何发生的？

2022 年以来的公开事件表明，攻击者是通过账号和客服人员下手的，而不是通过破解密码学。上方的表格列出了这些事件，模式不断重复。

根据 Wardmint 2026 年 11 月 12 日的统计，其研究中的事件表在 2022 年 8 月至 2026 年 10 月之间共有七条记录（Curve 两次、Balancer、Galxe、2024 年 7 月的 Squarespace 浪潮、2026 年 2 月的一批事件和 2026 年 10 月的浪潮），而且每一起都是针对域名、DNS 提供商或注册商账号。带来源的完整列表见 哪些加密项目因 DNS 劫持而让用户蒙受损失。

如何锁定注册商账户？

把注册商账号视为整个前端的钥匙，并为它设置您所能用的最强登录保护。使用长而随机、且不在其他任何地方使用的密码，并开启双重验证。把登录凭据存放在密码管理器或硬件支持的保险库中，而不是共享聊天里。

减少可以登录的人数。指定一名所有者和一名备份人员，记录每个凭据由谁持有，并在有人离开团队的当天撤销其访问权限。恢复途径要与登录一样严格：一个受双重验证保护、却能被客服人员应请求重置的账号，其安全性只相当于该客服人员的检查清单。Balancer 和 Avantis 的案例都涉及提供商处的人工环节。

完整流程，包括如何识别针对注册商登录的钓鱼，见 如何保护您的注册商账号免遭接管。在 Wardmint，每周 7 天、12 小时内回复邮件，包括 DNSSEC、CAA 记录和滥用举报方面的协助，因此对这些设置有任何疑问都可以向客服求助。

转移锁和注册局锁分别能阻止什么？

转移锁阻止域名转移到另一家注册商；注册局锁则更进一步，阻止在注册局本身进行更改。 二者是两个不同的层面，项目可以只持有其中之一。

转移锁是注册商一侧的 clientTransferProhibited 状态。它可防止未经授权的转移，但不会阻止在注册商自身的 DNS 托管中编辑 DNS 记录。Wardmint 提供 每个域名的转移锁可在客户区自行开启或关闭；转移（EPP）码也在客户区申请。

注册局锁由 Verisign 通过合作注册商为 .com 和 .net 提供，它增加带外验证，使名称服务器、转移和所有权变更不能仅凭账户凭据完成。注册商通常每年收取约 USD 100 至 600，该数字来自 DomainNameWire 和一个经销商页面，这些数据已过时且未经核实。Wardmint 不提供注册局锁。 它提供的替代方案是转移锁，以及每个域名 +US$29/年的域名保护：域名以 DomaineGoat LLC 的名义注册，并置于转移锁之下，每项投诉都由人工在采取任何行动前阅读。两者的区别见 注册局锁与注册商锁对比。

DNSSEC 和 CAA 记录能防止劫持吗？

DNSSEC 和 CAA 能减轻劫持造成的损害；但无法阻止掌控您账号的攻击者。DNSSEC 为您的记录签名，使解析器能够拒绝路径上伪造的应答。登录了注册商的攻击者可以替换 DS 记录或名称服务器，这样签名保护的就是攻击者的数据。

CAA 记录指明允许为您的域名签发证书的证书颁发机构，由 RFC 8659 定义。它们之所以重要，是因为 2026 年 2 月的攻击者在 DNS 更改的当天就获得了证书；如果 CAA 记录只指明您自己的机构，他们就必须先更改它，而提醒可以捕捉到这一点。这两种控制措施都不能取代被锁定的账号，而每一项都只需几分钟。语法见 如何设置 CAA 记录。

如何在几分钟内发现劫持？

留意每次劫持都会留下的两个公开痕迹：新证书和被更改的 DNS 应答。Certificate Transparency 日志会显示为您的名称签发的所有公开受信任的证书，免费的搜索或数据流能很快发现意外的证书。定期把您的名称服务器和 A 记录与预期值进行比对的检查，则能发现更改本身。

在需要之前就准备好应对方案。提前公布一个备用的官方地址，准备一条可发布到社交渠道的简短消息，并备好注册商的紧急联系方式。Curve 在 2025 年 5 月 12 日使用 curve.finance 作为临时访问入口，这说明拥有第二个由您控制的域名很有价值。提前注册的一组防御性域名可以为您提供这第二个地址；.com, .net, .org, .io, .xyz, .app在 Wardmint 每年费用为$128.94。

简短的版本是什么？

抗劫持的域名，是指账号难以被夺取、转移需要验证码、应答经过签名、证书受到监控的域名。Wardmint 对公开记录的解读是，在其追踪的七起事件中，账号及其客服途径是被攻击的目标。先保护它们，再添加 DNSSEC 和 CAA，这个顺序与证据相符。Wardmint 出售域名注册和 DNS 工具；免费 DNS 托管，支持 A、AAAA、CNAME、ALIAS、MX、TXT、NS、SRV 和 CAA 记录，托管式 DNSSEC，也可使用您自己的域名服务器（2 至 13 个）。它不出售监控服务，因此监控指南中的免费工具可以涵盖这一步。