快速回答
如何保护 DeFi 前端域名？
保护 DeFi 前端的方法，是保护用户与页面之间的每一层：注册商账户、DNS、证书、托管以及 CDN，并预先约定第二个域名或 ENS 名称作为备用。Wardmint 阅读了 2023 年 10 月至 2026 年 10 月间的六起公开劫持事件；每起事件都是通过域名或 DNS 层实现的，而非合约。
2023 年至 2026 年六起已记录的前端劫持
| 日期 | 项目 | Layer reported | Reported outcome |
|---|---|---|---|
| 2023 年 10 月 6 日 | Galxe | DNS 劫持；网站被重定向到钓鱼页面 | 逾 980 名用户获退还，约 396,000 美元，外加金库的 10% |
| 2024 年 7 月 9 日至 12 日 | Compound、Celer、Pendle 等 | 迁移至 Squarespace 的域名注册商账户；OAuth 弱点 | 至少十几家机构受影响；部分域名显示钓鱼页面 |
| 2025 年 5 月 12 日 | Curve Finance | curve.fi 的委托在注册商处被更改 | 诱骗站点要求签名；合约和数据未被攻破 |
| 2026 年 2 月 16 日至 23 日 | OpenEden、Curvance、Smithii、Avantis、Nerochain | 注册商转移、通过客服电话接管账户、DNS 重定向 | AngelFerno 抽干工具；当日签发的 SSL 证书；合约未被攻破 |
| April 2026 | eth.limo | 对注册商和 DNS 服务商的社会工程攻击 | DNSSEC 拒绝了伪造的应答；事后分析时未知有用户受影响 |
| 2026 年 10 月 30 日至 31 日 | Flap、Kintsu、Origami Finance 等 | 某注册商下的域名被重定向；原因与托管平台存在争议 | Step Drainer；约 138,000 美元被追踪至三个 EVM 钱包 |
最后核查于 ；较早的数据各自标注其日期
用户与 DeFi 前端之间有哪些层？
共五层，攻击者只需攻破其中一层。 注册商保管注册信息与名称服务器委托。DNS 服务商负责应答该名称指向何处。证书颁发机构签发小锁图标所依赖的证书。托管平台或 CDN 提供文件。最后，用户自己的解析器和钱包决定信任什么。
这些事件报告与上述各层相吻合。Curve 2025 年 5 月 12 日的通告描述了注册商处的 DNS 委托变更。2024 年 7 月的 Squarespace 事件（Krebs on Security 于 2024 年 7 月 15 日报道）是注册商处的账户接管。Blockaid 对 2026 年 2 月系列事件的分析补充了证书层：攻击者在 DNS 更改当天获得了 SSL 证书。2026 年 10 月的事件涉及托管层，因为 Vercel 的公告将十个受影响域名与其平台关联，而注册商 Name.com 则恢复了这些域名。
应如何设置注册商账户？
将注册商登录视为生产基础设施。 使用长且唯一的密码、双因素认证、少量且有记录的用户名单，以及一个陌生人无法通过话术突破的恢复流程。Blockaid 报告称，Avantis 是在攻击者于客服电话中获取账单信息后被接管的；Cointelegraph 报道称，eth.limo 的攻击者冒充团队成员发起了账户恢复。这两起事件都因经过人员环节，绕过了高强度密码。
为每个域名开启转移锁定。对于主要的 .com 或 .net，如果注册商提供，请考虑注册局锁定；注册局锁定与注册商锁定阐明了各自的阻止范围。Wardmint 提供转移锁定和域名保护选项，但不提供注册局锁定。完整流程见如何防止注册商账户被接管。
DNS 和证书应该如何设置？
对区域进行签名，限制证书签发，并监控日志。 在 eth.limo 事件中，DNSSEC 发挥了作用：Cointelegraph 报道称，该域名已启用 DNSSEC，攻击者没有签名密钥，并且验证型解析器拒绝了伪造的应答。但它无法防范控制注册商账户的攻击者，因为此人可以替换 DS 记录，所以它需与账户控制相辅相成。参见如何为您的域名启用 DNSSEC。
请添加一条只指定您证书颁发机构的 CAA 记录，如如何设置 CAA 记录所示，并按如何为您的品牌监控证书透明度的方法监视您名称的证书透明度日志。若劫持者还必须更改 CAA 记录，并因此产生可见的日志记录，则更容易被发现。Wardmint 包含 免费 DNS 托管，支持 A、AAAA、CNAME、ALIAS、MX、TXT、NS、SRV 和 CAA 记录，托管式 DNSSEC，也可使用您自己的域名服务器（2 至 13 个）。
托管平台和 CDN 如何配合？
为托管平台和 CDN 分别设置独立账户、所有者以及双因素认证，并列出所有与其关联的域名。 2026 年 10 月的报告说明了原因。The Block 记录到 Kintsu 和 Origami Finance 将问题归咎于 Vercel；Vercel 的公告将十个受影响的域名与其平台关联；Name.com 则表示已恢复所有受影响的域名，并敦促客户检查 DNS 记录、启用双因素认证。消息来源对原因仍有争议，因此教训在于覆盖范围：只有可以更改其所提供内容的每个平台都得到保护，域名才是安全的。
在托管方面，请列出每个项目在平台上可能提供服务的域名和子域名，删除不再使用的域名，并将部署令牌保存在密码保险库中。也请从外部进行检查：定期运行的任务可解析您的名称服务器和 A 记录，并与预期值比较，从而在数分钟而非数小时内发现重定向。
DeFi 前端是否应设置 ENS 或 IPFS 备用地址？
应当设置：第二种访问界面的方式可在主域名恢复期间限制损害。 Curve 于 2025 年 5 月 12 日向用户提供了 curve.finance 作为临时访问入口，其通告呼吁整个行业更广泛地采用 ENS。ENSIP-7 定义了 ENS 解析器的 contenthash 字段，使名称可以指向 IPFS 或 Swarm 上的内容，因此 .eth 名称可作为发布在 IPFS 上的前端的备用地址。
备用地址只有在用户已知晓时才有效。请在事件发生之前，通过网站页脚、文档和已验证的社交渠道公布官方替代地址，并声明其他任何地址均非官方。链上名称与 DNS 名称之间的权衡见加密项目应使用 ENS 名称还是 DNS 域名。第二个 DNS 域名也是同一计划的一部分，Wardmint 的六个扩展名核心套餐为每年 $128.94。
在已记录的劫持事件中，有多少经过了域名层？
根据 Wardmint 2026 年 11 月 12 日的调查，上表中的六起事件，其中五起将真实域名的用户引导至克隆或钓鱼页面；第六起 eth.limo 中，DNSSEC 拒绝了伪造的应答。在所有六起事件中，所报告的入口分别是注册商、DNS 服务商或注册商账户，或是 2026 年 10 月的注册商与托管平台之间存在争议的分工。所读取的报告中，没有任何一份将智能合约缺陷列为入口。
两句可引用的话：DeFi 协议被劫持的难度，仅与持有其域名的账户相当；而提前公布的备用地址，是项目所拥有的成本最低的恢复工具。更多案例见哪些加密项目因 DNS 劫持而失去用户，行业视角见DeFi 协议的域名安全。
保护 DeFi 前端域名的七个步骤
梳理每一层
为每个域名列出注册商账户、DNS 服务商、证书颁发机构、托管平台和 CDN，并为每一项指定负责人。
锁定注册商账户
使用唯一密码、双因素认证、少量用户以及严格的恢复途径。
开启转移锁定
锁定每个域名以防转移，并为关键的 .com 或 .net 决定是否启用注册局锁定。
签名并加以限制
启用 DNSSEC，并发布仅指定您证书颁发机构的 CAA 记录。
保护托管和 CDN
启用双因素认证，删除闲置域名，并将部署令牌保存在密码保险库中。
监控
监控证书透明度，并按计划将名称服务器和 A 记录与预期值进行比较。
Publish a fallback
注册第二个域名或 ENS 名称，提前公布，并演练切换到该地址。
DeFi 前端保护：常见问题
智能合约是否会因前端被劫持而面临风险？
就所读取的事件而言，不会。Curve 和 2026 年 2 月的各项目均报告合约未被攻破。用户是在克隆页面上签名后才损失资金的。
DNSSEC 能否保护 DeFi 前端？
它保护传输中的应答，并限制了 2026 年 4 月 eth.limo 的被夺取范围。但它无法阻止控制注册商账户的攻击者，因此应与账户安全及转移锁定配合使用。
每种扩展名都提供注册局锁定吗？
不是。Verisign 通过参与的注册商为 .com、.net、.cc 和 .name 提供该服务。Wardmint 不提供注册局锁定，只提供转移锁定和域名保护。
协议在劫持发生的第一个小时应做什么？
联系注册商和 DNS 服务商，告知用户停止在主域名上签名，将其引导至事先公布的备用地址，并保存证据。Curve 于 2025 年 5 月 12 日即遵循了这一模式。
DAO 金库能否支付备用域名的费用？
可以。Wardmint 接受以 BTC, USDT, USDC, ETH, SOL, LTC 充入预付余额，最低充值为 US$25，每个域名需要一个经过验证的电子邮件，无需身份证件。
小结
- 用户与域名之间的五层：注册商、DNS、证书、托管或 CDN，以及用户的解析器。
- 2023 年 10 月至 2026 年 10 月间的六起已记录劫持事件均通过域名层实现，而非合约。
- Galxe 向逾 980 名用户退还了约 396,000 美元；2026 年 10 月的事件中，约 138,000 美元被追踪至三个 EVM 钱包。
- 锁定注册商账户，开启转移锁定，使用 DNSSEC 签名，并以 CAA 限制签发。
- DNSSEC 限制了 eth.limo 的劫持，但无法阻止账户持有人。
- 事件发生前，提前公布备用地址，即第二个域名或 ENS 名称。
- Wardmint 提供转移锁定、托管 DNSSEC 和 CAA；不提供注册局锁定或监控。
来源 (7)
- Curve 域名事件 — Curve Finance (读取于 2026-11-12)
- Galxe 宣布在 DNS 攻击后向受影响用户退还 $396,000 — The Block, 11 October 2023 (读取于 2026-11-12)
- 研究人员：薄弱的安全默认设置使 Squarespace 域名被劫持 — Krebs on Security, 15 July 2024 (读取于 2026-11-12)
- 前端劫持与威胁 Web3 协议的 Web2 攻击面 — Blockaid, 19 March 2026 (读取于 2026-11-12)
- eth.limo domain hijack, DNSSEC and social engineering — Cointelegraph, 20 April 2026 (读取于 2026-11-12)
- 黑客劫持十几个在 Name.com 注册的 DeFi 网站 — The Block, 31 October 2026 (读取于 2026-11-12)
- ENSIP-7: Contenthash field — ENS documentation (读取于 2026-11-12)