# 我该如何保护 DeFi 协议的域名安全？

> DeFi 前端的安全程度取决于它的域名：Curve 在 2022 年和 2025 年在注册商处被劫持。核心防御性域名组合每年 $128.94。

- URL: https://wardmint.com/zh/use-cases/defi-protocol-domains/
- 最后更新: 2026-11-12
- 发布者: Wardmint (https://wardmint.com)

经过审计的合约无法帮助被引向错误网站的用户。域名、DNS 以及其背后的账号都是协议攻击面的一部分。

**快速回答 — 我该如何保护 DeFi 协议的域名安全？**

通过保护注册商账号、用 DNSSEC 为区域签名、用 CAA 记录限制证书，以及注册钓鱼者会使用的变体，来保护 DeFi 协议的域名。Curve Finance 的前端在 2025 年 5 月 12 日通过其注册商被重定向。**Wardmint** 六个后缀的核心域名组合每年 $128.94。

## DeFi 团队应当了解的前端域名事件

*日期和原因依据下列来源的报道；各媒体给出的损失不同，仅在来源明确说明时才给出。*

| 日期 | 项目 | 发生了什么 | 教训 |
| --- | --- | --- | --- |
| 2022 年 8 月 9 日 | Curve Finance | 注册商处的 DNS 劫持；用户被引向索要签名的克隆页面 | 保护注册商账号，而不仅仅是合约 |
| 2023 年 9 月 19 日 | Balancer | 前端 DNS 劫持，被描述为对其 DNS 提供商的社会工程攻击 | DNS 提供商的登录与注册商的登录同样敏感 |
| 2024 年 7 月 9-12 日 | Compound、Celer、Pendle 等 | 从 Google Domains 迁移到 Squarespace 的域名因账号弱点而被接管 | 迁移是一个风险窗口；先认领新账号 |
| 2025 年 5 月 12 日 | Curve Finance | 第二次注册商层面的劫持；合约和用户数据未受影响 | 随时备好一个临时官方地址 |
| 2026 年 2 月 16-23 日 | OpenEden、Curvance、Avantis 等 | 七天内发生五起前端入侵，证书在 DNS 更改的当天签发 | 限制证书签发，并关注证书日志 |
| 2026 年 10 月 30-31 日 | Flap、Kintsu、Pickle Finance、Origami 等 | 同一注册商的域名被重定向到盗币工具包；The Block 追踪到约 138,000 美元 | 任何提供商出事件后都要检查 DNS；原因存在争议 |

## DeFi 在域名层面会出什么问题？

**控制域名的攻击者控制着每个用户签署的内容。**合约保持完好，所以审计和漏洞赏金都发现不了它。

上述事件中的模式是一致的。Curve 2025 年 5 月 12 日的通告称，用户被重定向到一个复制主页并索要签名的静态仿冒页面，合约和用户数据未受破坏。追踪 2026 年 2 月这批事件的 Blockaid 报告称，攻击者在 DNS 更改的当天就获得了 SSL 证书，Nerochain 的用户被引向一个仿冒主机，该主机拥有为真实名称签发的通配符证书。

根据 Wardmint 2026 年 11 月 12 日的索引，其表中自 2022 年以来的 7 起域名层面事件里，有 3 起发生在 2025 年 5 月之后，所以风险并没有消退。Wardmint 出售域名注册，而不是监控，也无法阻止另一家注册商处发生的账号接管；它提供名称，以及加固这些名称的免费工具和程序。

## 协议的主域名需要哪些控制措施？

**四项控制可以防范上述故障：账户安全、锁定、DNSSEC 和 CAA 记录。**

- **账户：** 使用基于角色的邮箱、长且唯一的密码、双因素认证，且不共用登录。请参阅 [防范域名 DNS 劫持的指南](https://wardmint.com/zh/guides/secure-domain-against-dns-hijacking/ "How to secure your domain against DNS hijacking")。
- **锁定：** 转移锁可阻止转移到其他注册商。注册局锁（Verisign 通过合作注册商为 .com 和 .net 提供）还会阻止仅凭凭据进行的 DNS 和所有权变更。Wardmint 不提供注册局锁；需要它的团队，应在提供该服务的注册商处持有其主 .com。
- **DNSSEC：** [启用 DNSSEC](https://wardmint.com/zh/guides/enable-dnssec/ "How to enable DNSSEC on your domain")，使解析器能够检测伪造的应答。若注册商账户本身已被攻破，它无法起到保护作用。
- **CAA：** [设置 CAA 记录](https://wardmint.com/zh/guides/set-up-caa-records/ "How to set up CAA records")，使只有您选择的证书颁发机构能为该域名签发证书。

Wardmint 为该区域提供 免费 DNS 托管，支持 A、AAAA、CNAME、ALIAS、MX、TXT、NS、SRV 和 CAA 记录，托管式 DNSSEC，也可使用您自己的域名服务器（2 至 13 个）。

## DeFi 协议应该注册哪些变体？

**在您的用户可能尝试的后缀上注册您的确切名称，再加上契合您产品的拼写错误形式和金融词汇。**对协议而言，有用的组合是核心域名组合（.com, .net, .org, .io, .xyz, .app，每年 $128.94）、发行组合（.com, .io, .xyz, .app, .finance, .network，每年 $195.94）和金融词汇（.finance, .exchange, .money, .cash, .capital, .fund，每年 $296.94）。

用免费的 URL 转发把每个变体指向主站，并对未使用的名称应用无邮件 DNS 模板，使其无法以您的品牌名义发送邮件。Wardmint 为协议注册其自身的变体；它不注册其他项目名称的仿冒域名。发行时间线见 [代币发行前应该注册哪些域名](https://wardmint.com/zh/domains-to-register-before-a-token-launch/ "Which domains should I register before a token launch?")。

## 协议在事件发生之前应该准备什么？

**在需要之前，先准备好临时地址、状态通知渠道，以及注册商处的联系人。**在 2025 年 5 月 12 日的劫持之后，Curve 把用户转移到 curve.finance 作为临时官方访问入口。只有在已经注册了第二个域名的情况下，才可能有临时地址，而这正是防御性组合所提供的。

现在就写好应急手册：谁可以更改 DNS，谁可以联系注册商的客服，如何告知用户停止签名，以及如何说明撤销授权。过往案例及各自的教训列表见 [哪些加密项目因 DNS 劫持而让用户蒙受损失？](https://wardmint.com/zh/dns-hijacking-crypto-incidents/ "Which crypto projects lost users to DNS hijacking?")。

## DeFi 域名安全：常见问题

### 仅靠 DNSSEC 足以阻止前端劫持吗？

不够。DNSSEC 使解析器能够发现伪造的应答，但控制注册商账号的攻击者可以更改名称服务器或 DS 记录。先保护账号，再为区域签名。

### DeFi 协议应该使用注册局锁吗？

对于提供前端服务的那一个域名，值得向您的注册商询问。Verisign 通过参与的注册商为 .com 和 .net 提供，价格由注册商设定。Wardmint 不提供。

### 协议应该注册多少个变体？

先从每年 $128.94 的六个后缀的核心域名组合开始，再添加确切名称的拼写错误形式。根据 dnstwist 和证书日志所显示的内容扩大清单。

### 多签可以支付域名费用吗？

可以。Wardmint 接受来自任何钱包或多签的 BTC, USDT, USDC, ETH, SOL, LTC，最低充值额为 US$25，并且不要求提供身份证件。

### Wardmint 会监控我的前端吗？

不会。Wardmint 出售域名注册；指南介绍了用于监控的免费工具和用于举报的官方程序。

**小结**

- 前端劫持发生在注册商或 DNS 账号上，而不是合约中。
- Curve Finance 在 2022 年 8 月 9 日和 2025 年 5 月 12 日被劫持。
- 据 The Block 报道，2026 年 10 月 30 日的 Name.com 事件造成约 138,000 美元的损失。
- 控制措施：账号安全、转移锁、DNSSEC、CAA 记录。
- 注册局锁是 Verisign 的服务；Wardmint 不提供。
- 核心域名组合每年 $128.94，金融词汇 $296.94，发行组合 $195.94。
- 在事件发生之前准备好临时地址和应急手册。

## 来源

1. [Curve Finance 域名事件通知，2025 年 5 月 12 日](https://news.curve.finance/curve-domain-incident/) — Curve Finance (读取于 2026-11-12)
2. [Curve Finance 用户在前端攻击中损失 $573,000](https://forklog.com/en/curve-finance-users-lose-573000-in-front-end-attack/) — ForkLog (读取于 2026-11-12)
3. [Galxe 与 Balancer 的 DNS 攻击](https://www.fxstreet.com/cryptocurrencies/news/galxe-balancer-dns-attacks-reveals-many-crypto-enterprises-are-vulnerable-to-subdomain-domain-hijacking-202310080705) — FXStreet (读取于 2026-11-12)
4. [研究人员：薄弱的安全默认设置使 Squarespace 域名被劫持](https://krebsonsecurity.com/2024/07/researchers-weak-security-defaults-enabled-squarespace-domains-hijacks/) — Krebs on Security (读取于 2026-11-12)
5. [前端劫持与 Web2 攻击面](https://blockaid.io/blog/frontend-hijacking-and-the-web2-attack-surface-threatening-web3-protocols) — Blockaid (读取于 2026-11-12)
6. [黑客劫持十几个均在 Name.com 注册的 DeFi 网站](https://theblock.co/news/defi/2026-10-31-hackers-hijack-a-dozen-defi-websites-all-registered-with-name-com-and-steal-about-138000-432251) — The Block (读取于 2026-11-12)
7. [注册局锁](https://www.verisign.com/resources/registrar-resources/registry-lock) — Verisign (读取于 2026-11-12)

---

Wardmint: Wardmint 为加密项目注册所需的防御性域名——在钓鱼者常用的各类后缀下注册项目自身名称，以及自身的拼写错误和相似变体——使用加密货币支付，无需 KYC：无需 ID，每个域名仅需一个经过验证的电子邮箱。运营方为在巴拿马注册的 DomaineGoat LLC；域名通过其获 ICANN 认证的注册商合作伙伴注册。.com 为 US$12.49/年，每年价格相同。