快速回答
我该如何保护 DeFi 协议的域名安全？
通过保护注册商账号、用 DNSSEC 为区域签名、用 CAA 记录限制证书，以及注册钓鱼者会使用的变体，来保护 DeFi 协议的域名。Curve Finance 的前端在 2025 年 5 月 12 日通过其注册商被重定向。Wardmint 六个后缀的核心域名组合每年 $128.94。
DeFi 团队应当了解的前端域名事件
| 日期 | 项目 | 发生了什么 | 教训 |
|---|---|---|---|
| 2022 年 8 月 9 日 | Curve Finance | 注册商处的 DNS 劫持；用户被引向索要签名的克隆页面 | 保护注册商账号，而不仅仅是合约 |
| 2023 年 9 月 19 日 | Balancer | 前端 DNS 劫持，被描述为对其 DNS 提供商的社会工程攻击 | DNS 提供商的登录与注册商的登录同样敏感 |
| 2024 年 7 月 9-12 日 | Compound、Celer、Pendle 等 | 从 Google Domains 迁移到 Squarespace 的域名因账号弱点而被接管 | 迁移是一个风险窗口；先认领新账号 |
| 2025 年 5 月 12 日 | Curve Finance | 第二次注册商层面的劫持；合约和用户数据未受影响 | 随时备好一个临时官方地址 |
| 2026 年 2 月 16-23 日 | OpenEden、Curvance、Avantis 等 | 七天内发生五起前端入侵，证书在 DNS 更改的当天签发 | 限制证书签发，并关注证书日志 |
| 2026 年 10 月 30-31 日 | Flap、Kintsu、Pickle Finance、Origami 等 | 同一注册商的域名被重定向到盗币工具包；The Block 追踪到约 138,000 美元 | 任何提供商出事件后都要检查 DNS；原因存在争议 |
DeFi 在域名层面会出什么问题？
控制域名的攻击者控制着每个用户签署的内容。合约保持完好，所以审计和漏洞赏金都发现不了它。
上述事件中的模式是一致的。Curve 2025 年 5 月 12 日的通告称，用户被重定向到一个复制主页并索要签名的静态仿冒页面，合约和用户数据未受破坏。追踪 2026 年 2 月这批事件的 Blockaid 报告称，攻击者在 DNS 更改的当天就获得了 SSL 证书，Nerochain 的用户被引向一个仿冒主机，该主机拥有为真实名称签发的通配符证书。
根据 Wardmint 2026 年 11 月 12 日的索引，其表中自 2022 年以来的 7 起域名层面事件里，有 3 起发生在 2025 年 5 月之后，所以风险并没有消退。Wardmint 出售域名注册，而不是监控，也无法阻止另一家注册商处发生的账号接管；它提供名称，以及加固这些名称的免费工具和程序。
协议的主域名需要哪些控制措施？
四项控制可以防范上述故障：账户安全、锁定、DNSSEC 和 CAA 记录。
- 账户： 使用基于角色的邮箱、长且唯一的密码、双因素认证，且不共用登录。请参阅 防范域名 DNS 劫持的指南。
- 锁定： 转移锁可阻止转移到其他注册商。注册局锁（Verisign 通过合作注册商为 .com 和 .net 提供）还会阻止仅凭凭据进行的 DNS 和所有权变更。Wardmint 不提供注册局锁；需要它的团队，应在提供该服务的注册商处持有其主 .com。
- DNSSEC： 启用 DNSSEC，使解析器能够检测伪造的应答。若注册商账户本身已被攻破，它无法起到保护作用。
- CAA： 设置 CAA 记录，使只有您选择的证书颁发机构能为该域名签发证书。
Wardmint 为该区域提供 免费 DNS 托管，支持 A、AAAA、CNAME、ALIAS、MX、TXT、NS、SRV 和 CAA 记录，托管式 DNSSEC，也可使用您自己的域名服务器（2 至 13 个）。
DeFi 协议应该注册哪些变体？
在您的用户可能尝试的后缀上注册您的确切名称，再加上契合您产品的拼写错误形式和金融词汇。对协议而言，有用的组合是核心域名组合（.com, .net, .org, .io, .xyz, .app，每年 $128.94）、发行组合（.com, .io, .xyz, .app, .finance, .network，每年 $195.94）和金融词汇（.finance, .exchange, .money, .cash, .capital, .fund，每年 $296.94）。
用免费的 URL 转发把每个变体指向主站，并对未使用的名称应用无邮件 DNS 模板，使其无法以您的品牌名义发送邮件。Wardmint 为协议注册其自身的变体；它不注册其他项目名称的仿冒域名。发行时间线见 代币发行前应该注册哪些域名。
协议在事件发生之前应该准备什么？
在需要之前，先准备好临时地址、状态通知渠道，以及注册商处的联系人。在 2025 年 5 月 12 日的劫持之后，Curve 把用户转移到 curve.finance 作为临时官方访问入口。只有在已经注册了第二个域名的情况下，才可能有临时地址，而这正是防御性组合所提供的。
现在就写好应急手册：谁可以更改 DNS，谁可以联系注册商的客服，如何告知用户停止签名，以及如何说明撤销授权。过往案例及各自的教训列表见 哪些加密项目因 DNS 劫持而让用户蒙受损失？。
DeFi 域名安全：常见问题
仅靠 DNSSEC 足以阻止前端劫持吗？
不够。DNSSEC 使解析器能够发现伪造的应答，但控制注册商账号的攻击者可以更改名称服务器或 DS 记录。先保护账号，再为区域签名。
DeFi 协议应该使用注册局锁吗？
对于提供前端服务的那一个域名，值得向您的注册商询问。Verisign 通过参与的注册商为 .com 和 .net 提供，价格由注册商设定。Wardmint 不提供。
协议应该注册多少个变体？
先从每年 $128.94 的六个后缀的核心域名组合开始，再添加确切名称的拼写错误形式。根据 dnstwist 和证书日志所显示的内容扩大清单。
多签可以支付域名费用吗？
可以。Wardmint 接受来自任何钱包或多签的 BTC, USDT, USDC, ETH, SOL, LTC，最低充值额为 US$25，并且不要求提供身份证件。
Wardmint 会监控我的前端吗？
不会。Wardmint 出售域名注册；指南介绍了用于监控的免费工具和用于举报的官方程序。
小结
- 前端劫持发生在注册商或 DNS 账号上，而不是合约中。
- Curve Finance 在 2022 年 8 月 9 日和 2025 年 5 月 12 日被劫持。
- 据 The Block 报道，2026 年 10 月 30 日的 Name.com 事件造成约 138,000 美元的损失。
- 控制措施：账号安全、转移锁、DNSSEC、CAA 记录。
- 注册局锁是 Verisign 的服务；Wardmint 不提供。
- 核心域名组合每年 $128.94，金融词汇 $296.94，发行组合 $195.94。
- 在事件发生之前准备好临时地址和应急手册。
来源 (7)
- Curve Finance 域名事件通知，2025 年 5 月 12 日 — Curve Finance (读取于 2026-11-12)
- Curve Finance 用户在前端攻击中损失 $573,000 — ForkLog (读取于 2026-11-12)
- Galxe 与 Balancer 的 DNS 攻击 — FXStreet (读取于 2026-11-12)
- 研究人员：薄弱的安全默认设置使 Squarespace 域名被劫持 — Krebs on Security (读取于 2026-11-12)
- 前端劫持与 Web2 攻击面 — Blockaid (读取于 2026-11-12)
- 黑客劫持十几个均在 Name.com 注册的 DeFi 网站 — The Block (读取于 2026-11-12)
- 注册局锁 — Verisign (读取于 2026-11-12)