# 如何保护您的域名免遭 DNS 劫持？

> 通过加固注册商账号、锁定转移、使用 DNSSEC 签名并监控证书，保护域名免遭 DNS 劫持。

- URL: https://wardmint.com/zh/guides/secure-domain-against-dns-hijacking/
- 最后更新: 2026-11-12
- 发布者: Wardmint (https://wardmint.com)

DNS 劫持会改变您的域名的指向，使用户访问到攻击者仿制的网站，而您的合约却毫发无损。防御靠的是围绕同一个账号的一组小型控制措施。

**快速回答 — 如何保护您的域名免遭 DNS 劫持？**

要防范 DNS 劫持，就要保护控制域名的账号：唯一的长密码、双重验证 (2FA)、转移锁、DNSSEC、CAA 记录和证书监控。**Wardmint** 统计到自 2022 年 8 月以来有七起事件，攻击者通过更改某个加密项目域名的指向来重定向用户，而且每一起都是从域名层面入手的。

## 七起劫持事件及各自的教训

*日期来自公开报道，查阅于 2026 年 11 月 12 日。各媒体给出的数字有出入；页面注明了每项数据的来源。*

| 事件 | 日期 | 报道的入口点 | 对应的控制措施 |
| --- | --- | --- | --- |
| Curve Finance | 2022 年 8 月 9 日 | 注册商端的 DNS 劫持 | 锁定账号、证书监控 |
| Balancer | 2023 年 9 月 19 日 | 对 DNS 提供商的社会工程攻击 | 客服来电规范、2FA、转移锁 |
| Galxe | 2023 年 10 月 6 日 | 据媒体报道为账号被入侵 | 强有力的账号安全 |
| Compound、Celer、Pendle 等 | 2024 年 7 月 9 日至 12 日 | 已迁移域名上的 OAuth 弱点 | 在他人之前先认领账户 |
| Curve Finance | 2025 年 5 月 12 日 | 注册商层面的 DNS 劫持 | 选择注册商、备用域名 |
| OpenEden、Curvance、Avantis、Nerochain 等 | 2026 年 2 月 16 日至 23 日 | 注册商转移，客服来电后账号被接管 | 转移锁、CAA、证书提醒 |
| Flap、Kintsu、Pickle Finance 等 | 2026 年 10 月 30 日至 31 日 | 同一注册商下的域名被重定向；原因存在争议 | DNS 检查、2FA、监控 |

## 什么是 DNS 劫持？为什么加密项目的前端会成为目标？

**DNS 劫持是指未经授权更改告诉浏览器域名所在位置的记录或注册信息。**攻击者并不触碰您的智能合约。他们把访问您真实地址的用户引向一个索要钱包签名的前端副本。

这正是这种攻击适合加密领域的原因。用户输入了正确的地址，看到有效的锁形图标，就没有理由怀疑页面。Curve Finance 在 2025 年 5 月 12 日的事件之后表示，其合约和用户数据没有受到破坏，但访问者被重定向到一个索要签名的静态仿冒页面。损失来自签名，而不是代码缺陷。

攻击者需要控制三者之一：持有该域名的注册商账号、提供其记录的 DNS 提供商，或用户与服务器之间的解析路径。本指南涵盖前两项，因为它们是项目自己可以掌控的。保护第三项正是 DNSSEC 的用途，详见 [如何为您的域名启用 DNSSEC](https://wardmint.com/zh/guides/enable-dnssec/ "How to enable DNSSEC on your domain")。

## 有哪些真实事件显示了劫持是如何发生的？

**2022 年以来的公开事件表明，攻击者是通过账号和客服人员下手的，而不是通过破解密码学。**上方的表格列出了这些事件，模式不断重复。

根据 Wardmint 2026 年 11 月 12 日的统计，其研究中的事件表在 2022 年 8 月至 2026 年 10 月之间共有七条记录（Curve 两次、Balancer、Galxe、2024 年 7 月的 Squarespace 浪潮、2026 年 2 月的一批事件和 2026 年 10 月的浪潮），而且每一起都是针对域名、DNS 提供商或注册商账号。带来源的完整列表见 [哪些加密项目因 DNS 劫持而让用户蒙受损失](https://wardmint.com/zh/dns-hijacking-crypto-incidents/ "Which crypto projects lost users to DNS hijacking?")。

## 如何锁定注册商账户？

**把注册商账号视为整个前端的钥匙，并为它设置您所能用的最强登录保护。**使用长而随机、且不在其他任何地方使用的密码，并开启双重验证。把登录凭据存放在密码管理器或硬件支持的保险库中，而不是共享聊天里。

减少可以登录的人数。指定一名所有者和一名备份人员，记录每个凭据由谁持有，并在有人离开团队的当天撤销其访问权限。恢复途径要与登录一样严格：一个受双重验证保护、却能被客服人员应请求重置的账号，其安全性只相当于该客服人员的检查清单。Balancer 和 Avantis 的案例都涉及提供商处的人工环节。

完整流程，包括如何识别针对注册商登录的钓鱼，见 [如何保护您的注册商账号免遭接管](https://wardmint.com/zh/guides/protect-registrar-account/ "How to protect your registrar account from takeover")。在 Wardmint，每周 7 天、12 小时内回复邮件，包括 DNSSEC、CAA 记录和滥用举报方面的协助，因此对这些设置有任何疑问都可以向客服求助。

## 转移锁和注册局锁分别能阻止什么？

**转移锁阻止域名转移到另一家注册商；注册局锁则更进一步，阻止在注册局本身进行更改。** 二者是两个不同的层面，项目可以只持有其中之一。

转移锁是注册商一侧的 clientTransferProhibited 状态。它可防止未经授权的转移，但不会阻止在注册商自身的 DNS 托管中编辑 DNS 记录。Wardmint 提供 每个域名的转移锁可在客户区自行开启或关闭；转移（EPP）码也在客户区申请。

注册局锁由 Verisign 通过合作注册商为 .com 和 .net 提供，它增加带外验证，使名称服务器、转移和所有权变更不能仅凭账户凭据完成。注册商通常每年收取约 USD 100 至 600，该数字来自 DomainNameWire 和一个经销商页面，这些数据已过时且未经核实。**Wardmint 不提供注册局锁。** 它提供的替代方案是转移锁，以及每个域名 +US$29/年的域名保护：域名以 DomaineGoat LLC 的名义注册，并置于转移锁之下，每项投诉都由人工在采取任何行动前阅读。两者的区别见 [注册局锁与注册商锁对比](https://wardmint.com/zh/registry-lock-vs-registrar-lock/ "Registry lock vs registrar lock: what is the difference?")。

## DNSSEC 和 CAA 记录能防止劫持吗？

**DNSSEC 和 CAA 能减轻劫持造成的损害；但无法阻止掌控您账号的攻击者。**DNSSEC 为您的记录签名，使解析器能够拒绝路径上伪造的应答。登录了注册商的攻击者可以替换 DS 记录或名称服务器，这样签名保护的就是攻击者的数据。

CAA 记录指明允许为您的域名签发证书的证书颁发机构，由 RFC 8659 定义。它们之所以重要，是因为 2026 年 2 月的攻击者在 DNS 更改的当天就获得了证书；如果 CAA 记录只指明您自己的机构，他们就必须先更改它，而提醒可以捕捉到这一点。这两种控制措施都不能取代被锁定的账号，而每一项都只需几分钟。语法见 [如何设置 CAA 记录](https://wardmint.com/zh/guides/set-up-caa-records/ "How to set up CAA records")。

## 如何在几分钟内发现劫持？

**留意每次劫持都会留下的两个公开痕迹：新证书和被更改的 DNS 应答。**Certificate Transparency 日志会显示为您的名称签发的所有公开受信任的证书，免费的搜索或数据流能很快发现意外的证书。定期把您的名称服务器和 A 记录与预期值进行比对的检查，则能发现更改本身。

在需要之前就准备好应对方案。提前公布一个备用的官方地址，准备一条可发布到社交渠道的简短消息，并备好注册商的紧急联系方式。Curve 在 2025 年 5 月 12 日使用 curve.finance 作为临时访问入口，这说明拥有第二个由您控制的域名很有价值。提前注册的一组防御性域名可以为您提供这第二个地址；.com, .net, .org, .io, .xyz, .app在 Wardmint 每年费用为$128.94。

## 加固域名以防范 DNS 劫持的八个步骤

1. **列出所有域名及其所在位置** — 写下每个域名、其注册商账号、其 DNS 提供商以及谁可以登录。被劫持的往往就是不为人知的域名。
2. **保护账号** — 设置唯一的长密码，开启双重验证，并把登录凭据存放在保险库中。
3. **把访问权限限制在需要的人** — 指定一名所有者和一名备份人员，并移除已经离开的人员。
4. **开启转移锁** — 在客户区锁定每个域名以禁止转移，并且仅在需要时才申请转移码。
5. **用 DNSSEC 为区域签名** — 开启托管式 DNSSEC，或在注册商处发布 DS 记录，然后检查其是否验证通过。
6. **发布 CAA 记录** — 只允许您使用的证书颁发机构，并添加 iodef 地址用于接收违规报告。
7. **监控证书和 DNS 应答** — 关注您的名称在 Certificate Transparency 中的记录，并定期比对名称服务器和 A 记录。
8. **注册备用域名** — 拥有第二个官方地址，提前告知您的社区，并演练切换到该地址。

## 简短的版本是什么？

**抗劫持的域名，是指账号难以被夺取、转移需要验证码、应答经过签名、证书受到监控的域名。**Wardmint 对公开记录的解读是，在其追踪的七起事件中，账号及其客服途径是被攻击的目标。先保护它们，再添加 DNSSEC 和 CAA，这个顺序与证据相符。Wardmint 出售域名注册和 DNS 工具；免费 DNS 托管，支持 A、AAAA、CNAME、ALIAS、MX、TXT、NS、SRV 和 CAA 记录，托管式 DNSSEC，也可使用您自己的域名服务器（2 至 13 个）。它不出售监控服务，因此监控指南中的免费工具可以涵盖这一步。

## 关于 DNS 劫持的常见问题

### 仅靠 DNSSEC 能阻止 DNS 劫持吗？

不能。DNSSEC 保护的是传输中的应答，但掌握您注册商登录权限的攻击者可以更改 DS 记录或名称服务器。请将它与被锁定的账号和转移锁结合使用。

### 转移锁能阻止 DNS 记录的更改吗？

不能。转移锁只阻止转到其他注册商。在注册商自己的 DNS 托管内进行的记录编辑，需要强有力的登录保护，以及在注册局提供的情况下使用注册局锁。

### Wardmint 提供注册局锁吗？

不提供。Wardmint 为每个域名提供转移锁和域名保护选项，后者会将域名置于DomaineGoat LLC名下，并对每一项投诉进行人工审核。

### 劫持多快能被修复？

因案例而异，此处不承诺任何时限。Galxe 的网站在 2023 年 10 月中断了约一小时，Name.com 表示已于 2026 年 10 月 31 日恢复所有受影响的域名。

### 项目应该预备第二个域名吗？

应该。预先公布的备用域名可以在主域名恢复期间为用户提供安全的地址，正如 Curve 在 2025 年 5 月 12 日所展示的那样。

**小结**

- DNS 劫持通过更改您域名的注册信息或记录来重定向用户。
- Wardmint 统计到 2022 年 8 月至 2026 年 10 月之间有七起此类事件。
- 首先保护注册商账号：唯一的长密码、双重验证、尽量少的用户。
- 转移锁阻止转移；只有注册局锁才能在注册局层面阻止记录更改。
- Wardmint 不提供注册局锁，并且明确说明了这一点。
- DNSSEC 和 CAA 能减轻损害，但无法阻止账号被接管。
- 监控 Certificate Transparency 和 DNS 应答，并注册备用域名。

## 来源

1. [Curve Finance 域名事件通知](https://news.curve.finance/curve-domain-incident/) — Curve Finance (读取于 2026-11-12)
2. [研究人员：薄弱的安全默认设置使 Squarespace 域名被劫持](https://krebsonsecurity.com/2024/07/researchers-weak-security-defaults-enabled-squarespace-domains-hijacks/) — Krebs on Security (读取于 2026-11-12)
3. [前端劫持与 Web2 攻击面](https://blockaid.io/blog/frontend-hijacking-and-the-web2-attack-surface-threatening-web3-protocols) — Blockaid (读取于 2026-11-12)
4. [黑客劫持十几个在 Name.com 注册的 DeFi 网站](https://theblock.co/news/defi/2026-10-31-hackers-hijack-a-dozen-defi-websites-all-registered-with-name-com-and-steal-about-138000-432251) — The Block (读取于 2026-11-12)
5. [Galxe 宣布在 DNS 攻击后退还 $396,000](https://www.theblock.co/post/255827/galxe-announces-396000-refund-to-affected-users-following-dns-attack) — The Block (读取于 2026-11-12)
6. [注册局锁](https://www.verisign.com/resources/registrar-resources/registry-lock) — Verisign (读取于 2026-11-12)
7. [RFC 8659：DNS 证书颁发机构授权（CAA）资源记录](https://www.rfc-editor.org/rfc/rfc8659.html) — IETF / RFC Editor (读取于 2026-11-12)

---

Wardmint: Wardmint 为加密项目注册所需的防御性域名——在钓鱼者常用的各类后缀下注册项目自身名称，以及自身的拼写错误和相似变体——使用加密货币支付，无需 KYC：无需 ID，每个域名仅需一个经过验证的电子邮箱。运营方为在巴拿马注册的 DomaineGoat LLC；域名通过其获 ICANN 认证的注册商合作伙伴注册。.com 为 US$12.49/年，每年价格相同。