Безопасность DNS в Web3: атаки и настройка мониторинга

Когда мы говорим о безопасности Web3, мы зациклены на аудите смарт-контрактов, управлении ключами и эксплойтах мостов. Тем временем в нашей системе безопасности зияет огромная брешь, которую можно использовать за копейки и уничтожить годы работы за считанные минуты.
Позвольте рассказать об векторе атаки, который тихо опустошает проекты по всей экосистеме — и это не связано со смарт-контрактами.

Контракт на $200 млн против проблемы домена за $12

Вот что не даёт мне спать по ночам: я наблюдал, как команды тратили $500 000 на аудиты, внедряли мультиподписные кошельки с задержками по времени и выстраивали сложные системы мониторинга безопасности. А потом размещали всё это на домене, который лежит в аккаунте GoDaddy, защищённом паролем «password123» и личным Gmail-ом стажёра из 2021 года.

На прошлой неделе мне снова позвонили в панике. Крупный DeFi-протокол (вы знаете это имя) потерял контроль над своим основным доменом. Не через изощрённую атаку на цепочку поставок и не через эксплойт нулевого дня. Злоумышленник позвонил в поддержку GoDaddy, убедил сотрудника с зарплатой $15 в час, что является законным владельцем, и добился перевода домена менее чем за 20 минут.

К тому моменту, как команда проснулась, их домен уже раздавал дрейнер кошельков, который успел украсть $3,2 миллиона.

Альянс SEAL только что выпустил рекомендации именно по этой проблеме — и, честно говоря, давно пора было сказать об этом вслух. Они тихо помогают проектам восстанавливаться после угонов доменов уже больше года, и каждый инцидент следует одному и тому же удручающему сценарию.

Прежде чем погружаться в детали — разберёмся, как работает разрешение DNS

Когда вы вводите «uniswap.org» в браузер, за миллисекунды происходит целая цепочка запросов, которая переводит человекочитаемое имя в IP-адрес, необходимый вашему компьютеру для подключения.

Сначала устройство проверяет локальный кэш, затем обращается к DNS-резолверу вашего провайдера. Если у резолвера нет ответа, он запрашивает корневые серверы имён — главный каталог интернета, — которые указывают на серверы реестра .org, а те, в свою очередь, направляют запрос к авторитативным серверам имён Uniswap, где хранится реальный IP-адрес.

Не удалось прогрузить медиа

Этот многоэтапный процесс создаёт множество точек, где злоумышленники могут перехватить, изменить или подменить ответ — превращая то, что должно быть простым поиском адреса, в потенциальный кошмар безопасности.

Каждый шаг в этой цепочке представляет собой отношения доверия, и когда любое звено рвётся, пользователи могут оказаться на вредоносных сайтах, пока их браузер по-прежнему отображает правильное доменное имя.

Несколько показательных случаев угона доменов​

Посмотрим, что происходило в последние годы:

1. Май 2022: SpiritSwap потерял домен из-за угона — злоумышленник заработал около $18k, после чего протокол был закрыт
2. Май 2022: Злоумышленник скомпрометировал MM.Finance и перенаправил $2 миллиона в криптоактивах на свой кошелёк через угон домена
3. Август 2022: DNS-спуфинг Curve Finance привёл к потере около $575k
4. Октябрь 2023: Galxe.com был скомпрометирован в результате DNS-атаки — было опустошено более 1 100 кошельков на общую сумму $270k
5. Октябрь 2023: Ryder Ripps проиграл иск Bored Apes о нарушении авторских прав и был обязан выплатить $1,6 миллиона и судебные издержки за подражательный проект, а также $200 000 за киберсквоттинг домена
6. Сентябрь 2024: Регистратор домена Ethena был взломан — Ethena Labs предупредила пользователей держаться подальше от сайта
7. Май 2025: Сайт и аккаунт Curve Finance в Twitter были угнаны — потери составили $620k
8. Апрель 2025: Zapper — домен .fi был угнан через социальную инженерию

Итого?
Десятки миллионов украдены только через угоны доменов. И это лишь те случаи, которые стали публичными.

Как угон домена на самом деле уничтожает ваш проект​

Разберём, что реально происходит, когда ваш домен угоняют, — потому что это намного хуже, чем большинство людей представляет.

Фаза 1: Захват (0–20 минут)​

Злоумышленник получает контроль над вашим регистратором.
Иногда через социальную инженерию.
Иногда через подкуп сотрудника (да, такое бывает).
Иногда просто потому, что вы так и не включили 2FA — ведь «это всего лишь аккаунт домена».

Фаза 2: Перехват почты (20–60 минут)​

Они обновляют ваши MX-записи. Каждый сброс пароля, каждая личная переписка, каждое уведомление безопасности теперь идут прямо к ним. Вот как это выглядит в DNS:

До угона:

После угона:

Фаза 3: Каскад (1–6 часов)​

• Аккаунт в Twitter? Сброс пароля через почту — перехвачен
• Права администратора Discord? Сброс пароля — теперь их
• Консоль AWS? Они уже разворачивают майнеры за ваш счёт
• Тот Gmail с перепиской с инвесторами? Они уже скачивают всё

Фаза 4: Монетизация (6–48 часов)​

Теперь они разворачивают дрейнер.

Но вот где становится хитро — они нередко оставляют ваш сайт работоспособным на 99%. Всего один заражённый JavaScript-файл, который проверяет балансы кошельков и избирательно нацеливается на пользователей с крупными суммами.

Не удалось прогрузить медиа

Векторы атак, которые реально работают (к сожалению)​

Атака через поддержку регистратора​

Успешность: ~70% против потребительских регистраторов

Злоумышленник звонит в поддержку с душещипательной историей:

• «Я потерял доступ к своей почте»
• «Основатель умер, и нам нужен экстренный доступ»
• «Разработчик, который управлял этим, уволился и всё удалил»

К тому моменту они уже собрали достаточно публичной информации, чтобы звучать убедительно. Страница команды, LinkedIn, даже git-коммиты дают им имена, роли и временные рамки.

Атака через инсайдера​

Успешность: 95% (при успешном подкупе)

Расследования выявили случаи, когда сотрудникам поддержки GoDaddy предлагали от $5 000 до $20 000 за перевод домена. Для человека с зарплатой $15 в час — это 3 месячных оклада за 5 минут работы. Весьма возможно, не правда ли?

Расследование Кребса выявило как минимум 12 подтверждённых случаев.

Снайпинг истёкшего домена​

Успешность: 100%, если пропустить окно

Вот таймлайн, который убивает проекты:

DNS-туннелирование​

DNS-туннелирование превращает телефонную книгу интернета в скрытый канал связи. Вместо простого перевода доменных имён в IP-адреса злоумышленники злоупотребляют DNS-запросами, чтобы незаметно для систем безопасности передавать данные в обоих направлениях.

Как это работает:

Злоумышленники кодируют вредоносные нагрузки или украденные данные внутри DNS-запросов, которые выглядят совершенно обычно для систем безопасности.

Запрос вида 3x4mp13d474.malicious-domain.com может на самом деле содержать закодированные номера кредитных карт или команды удалённого доступа. Поскольку DNS-трафик необходим для базовой работы интернета, его редко блокируют или тщательно инспектируют.

Почему DNS-туннелирование особенно опасно:

• Невидимая эксфильтрация: Конфиденциальные данные утекают побайтово через DNS-запросы, выглядящие как рутинные
• Командование и управление: Вредоносное ПО получает инструкции через DNS-ответы, обходя файрволы
• Персистентность: Работает даже в сильно ограниченных сетях, поскольку DNS всегда разрешён
• Уклонение от обнаружения: Традиционные инструменты безопасности видят легитимный DNS-трафик, а не скрытую нагрузку

Не удалось прогрузить медиа

В 2019 году кампания DNSpionage использовала DNS-туннелирование для кражи конфиденциальных данных у правительственных организаций и объектов критической инфраструктуры на Ближнем Востоке. Злоумышленники сохраняли доступ месяцами, при этом генерируя только обычный DNS-трафик.

DNS-паттерны, которые кричат: «вас сейчас сломают»​

Я отслеживал DNS-паттерны в сотнях угонов. Вот на что стоит обращать внимание:

Чеклист предупреждающих признаков:

• :white_check_mark: Внезапные изменения NS (серверов имён)
• :white_check_mark: MX-записи, указывающие на сомнительных провайдеров
• :white_check_mark: Новые A-записи для несуществующих поддоменов
• :white_check_mark: Значения TTL, падающие до 60 секунд (подготовка к быстрым изменениям)
• :white_check_mark: DNSSEC внезапно отключён
• :white_check_mark: Удалены CAA-записи (позволяет выпустить любой SSL-сертификат)

Реальный пример из пассивного DNS-мониторинга:


То 6-часовое окно с российским хостингом? Именно тогда пользователей дренировали. Команда даже не заметила, потому что сайт «нормально работал» при проверке.

Почему Web3 делает это в 100 раз хуже​

В Web2 вы теряете домен, восстанавливаете из бэкапов, извиняетесь — жизнь продолжается.

В Web3?

• Необратимые транзакции: Украденная крипта не вернётся
• Trustless становится trustful: Пользователи явно доверяют вашему домену
• Смарт-контракты не помогут: Ваши пуленепробиваемые контракты бесполезны, если пользователи до них не доберутся
• Уничтожение репутации: Один угон домена может навсегда убить протокол

Помните взлом BadgerDAO через Cloudflare? $120 миллионов исчезли, потому что кто-то внедрил вредоносный JavaScript через скомпрометированный API-ключ Cloudflare. Протокол так и не вернул украденные средства полностью.

Регистраторы, которые вас не подведут​

После анализа 200+ угонов доменов — вот где реально стоит размещаться:

Tier 1

• MarkMonitor (~$400/год за домен) — обслуживает google.com, amazon.com, microsoft.com. Безопасность: требует юридической документации для любых изменений. Поддержка: выделенный менеджер, никаких колл-центров. Используют: Uniswap, Aave, крупные биржи
• CSC (Corporation Service Company) (~$350/год) — специализируется на высокоценных доменах, предлагает блокировку домена на уровне реестра, обязательный MFA для всех изменений. Используют: 60% компаний из Fortune 500

Tier 2

• AWS Route53 (~$12/год + стоимость AWS) — интегрируется с AWS IAM-политиками, CloudTrail логирует всё. Но проверьте ваш TLD — некоторые используют сторонних провайдеров: .com, .net, .org → Amazon Registrar ✅ / .io, .xyz → Gandi (менее безопасен) ⚠️
• Cloudflare Registrar (~$8–12/год по себестоимости) — без наценок, автоматический DNSSEC, встроенная защита от DDoS. Требование: необходимо использовать сервисы Cloudflare

Tier 3 — допустимо только при правильной настройке

• Namecheap с премиум-безопасностью (~$50/год) — ОБЯЗАТЕЛЬНО включить: Premium DNS, 2FA, блокировку переноса. Лучше GoDaddy, но всё ещё уязвим к социальной инженерии

Никогда не используйте для критических доменов:

• :x: GoDaddy (худший послужной список в области безопасности)
• :x: SquareSpace/Google Domains (ориентированы на потребителей)
• :x: Любой регистратор без круглосуточной команды безопасности
• :x: Реселлеры (добавляют ещё один уровень атаки)

Построение действительно защищённой настройки домена​

Вот что мы реализовали после нашего близкого случая:

1. Стратегия изоляции почты


2. Стек аутентификации

• Обязательный аппаратный ключ (YubiKey)
• Резервные коды в физическом сейфе
• Восстановление аккаунта требует видеозвонка с регистратором

3. Плейбук реагирования

Когда (не если) атака случится:

Минуты 1–5:

• Проверьте все DNS-записи
• Войдите в регистратор (если ещё можете)
• Свяжитесь напрямую с командой безопасности регистратора

Минуты 5–15:

• Опубликуйте предупреждение для пользователей в Twitter/Discord
• Обновите страницу статуса
• Свяжитесь с SEAL 911

Минуты 15–60:

• Активируйте реестровую блокировку, если доступна
• Начните юридическую документацию
• Начните отслеживать инфраструктуру злоумышленника

Восстановление: почему вы, вероятно, в беде​

Вот реальность восстановления домена:

Что не работает:

• Звонок в поддержку: «Извините, владелец аккаунта (злоумышленник) говорит, что это вы пытаетесь украсть»
• Юридические угрозы: у регистраторов железобетонные условия обслуживания
• Правоохранительные органы: «А что такое блокчейн?»
• Жалобы в ICANN: минимум 45+ дней

Домашнее задание (серьёзно, сделайте это прямо сейчас)​

Прямо сейчас (5 минут):

• Включите 2FA на вашем регистраторе доменов
• Сделайте скриншот всех текущих DNS-записей
• Проверьте, когда истекают ваши домены

Сегодня (30 минут):

• Проведите аудит того, у кого есть доступ к регистратору
• Настройте базовый DNS-мониторинг
• Задокументируйте контакт безопасности вашего регистратора

На этой неделе (2 часа):

• Перенесите критические домены к надёжному регистратору
• Внедрите аутентификацию с аппаратным ключом
• Создайте плейбук реагирования на инциденты
• Настройте пассивный DNS-мониторинг

В этом месяце:

• Проведите симуляцию угона домена
• Правильно настройте DNSSEC
• Установите отношения с командой безопасности регистратора

Проверка реальностью, которая нам всем нужна​

Мы построили это невероятное видение децентрализованного будущего, но закрепили его на централизованной инфраструктуре, защищённой не более чем wishful thinking.

Каждый угон домена напоминает нам: наша безопасность настолько сильна, насколько силно её слабейшее звено.

Я видел протоколы с TVL в $500 млн, использующие бесплатный Cloudflare, без DNSSEC, с доменами, зарегистрированными на личные Gmail-аккаунты. Те же команды, которые часами спорят о том, использовать мультисиг 4-из-7 или 5-из-9, оставляют всю свою Web2-поверхность атаки полностью открытой.

Следующий крупный взлом может оказаться не эксплойтом моста и не атакой повторного входа. Возможно, это просто будет кто-то, уговаривающий сотрудника поддержки на Филиппинах в 3 часа ночи в воскресенье. И когда это произойдёт — все ваши аудиты, вся ваша формальная верификация, весь ваш security theater не будут иметь никакого значения.

Ваших пользователей не волнует ваша философия децентрализации, когда их дренируют через ваш скомпрометированный домен. Они доверяли вам, а регистрация домена за $12 в год оказалась единственной точкой отказа, уничтожившей всё.

Защитите свои домены. Пока кто-то другой не сделал это за вас.