DNS (ang. Domain Name System) to system, który tłumaczy nazwę domeny wpisaną w przeglądarce, np. adres giełdy albo aplikacji DeFi, na adres IP serwera, z którym przeglądarka ma się połączyć. Działa jak książka telefoniczna internetu: Ty pamiętasz nazwę, a DNS podaje numer. Dla inwestora krypto DNS ma znaczenie praktyczne – jeśli ktoś przejmie rekordy DNS domeny znanego protokołu, pod poprawnym adresem wyświetli się fałszywa strona, a Ty nie zauważysz różnicy w pasku adresu.
Jak działa DNS w skrócie
Gdy wpisujesz adres strony, przeglądarka pyta resolver DNS (zwykle operatora internetu albo publiczny, np. dostawcy chmurowego), jaki adres IP odpowiada tej nazwie. Resolver, jeśli nie ma odpowiedzi w pamięci podręcznej, przechodzi przez hierarchię: serwery główne (root), serwery domeny najwyższego poziomu (np. .com, .fi, .pl) i na końcu serwer autorytatywny danej domeny. Ten ostatni zwraca rekord, a przeglądarka łączy się z podanym serwerem.
| Rekord | Co zawiera | Znaczenie dla bezpieczeństwa |
|---|---|---|
| A / AAAA | adres IPv4 / IPv6 serwera | podmiana kieruje ruch na serwer atakującego |
| CNAME | alias wskazujący inną nazwę | przejęcie porzuconej usługi, na którą wskazuje alias |
| NS | serwery nazw obsługujące domenę | zmiana NS oddaje atakującemu kontrolę nad całą domeną |
| MX / TXT | poczta, weryfikacje, SPF | przejęcie maili z resetem haseł, wiarygodny phishing |
Dlaczego DNS to słaby punkt DeFi
Smart kontrakt protokołu DeFi może być bezpieczny i audytowany, ale użytkownicy łączą się z nim przez zwykłą stronę internetową – frontend. Ta strona stoi na domenie kupionej u rejestratora, a rekordy DNS są zarządzane przez konto u tego rejestratora lub dostawcy DNS. Wystarczy przejąć to konto (phishing na pracownika, socjotechnika wobec supportu rejestratora, błąd przy migracji domeny), zmienić rekordy i pod prawdziwą domeną podstawić kopię interfejsu. Kopia wygląda identycznie, ale prosi o podpis transakcji, która przekazuje atakującemu zgodę na wydawanie Twoich tokenów.
To nie teoria. W sierpniu 2022 r. przejęto DNS Curve Finance, w 2023 r. podobny atak dotknął m.in. Galxe, w 2024 r. zaatakowano domeny kilku protokołów DeFi po migracji rejestratora, a w maju 2025 r. Curve padło ofiarą ataku na DNS po raz drugi i przeniosło frontend na nową domenę. We wszystkich przypadkach kontrakty działały poprawnie – straty ponieśli użytkownicy, którzy podpisali transakcje na podstawionej stronie.
Przejęcie DNS a inne ataki
- DNS hijacking – atakujący zmienia rekordy u źródła (u rejestratora lub dostawcy DNS). Adres w przeglądarce jest poprawny.
- DNS spoofing / zatruwanie cache – fałszywa odpowiedź trafia do resolvera lub routera; dotyczy części użytkowników.
- Typosquatting – osobna domena z literówką lub inną końcówką; adres różni się od oryginału, często promowany w reklamach wyszukiwarki.
Przykład
Załóżmy, że masz w portfelu 12 000 USDC i chcesz wymienić 1 000 USDC na innym tokenie w znanym DEX-ie. Wchodzisz z zakładki na właściwą domenę, ale jej DNS jest właśnie przejęty. Strona prosi o zatwierdzenie (approve) USDC. Jeśli podpiszesz zgodę nielimitowaną, atakujący może w każdej chwili wyciągnąć całe 12 000 USDC, a nie tylko 1 000. Gdybyś zatwierdził dokładnie 1 000 USDC, strata byłaby ograniczona do tej kwoty. Gdybyś przed podpisem sprawdził w portfelu adres kontraktu, któremu dajesz zgodę, i porównał go z adresem z oficjalnej dokumentacji – nie straciłbyś nic.
Jak się chronić
- Czytaj, co podpisujesz: portfel pokazuje adres kontraktu i kwotę zgody. Nieznany adres przy „zwykłym” swapie to sygnał alarmowy.
- Ustawiaj zgody na konkretną kwotę zamiast nielimitowanych i okresowo odwołuj stare zgody.
- Śledź oficjalne kanały protokołu – ostrzeżenie o ataku na DNS pojawia się zwykle najpierw tam.
- Duże kwoty trzymaj na osobnym adresie lub w portfelu sprzętowym, który nie łączy się z przypadkowymi aplikacjami.
- Nie klikaj reklam w wyszukiwarce przy wpisywaniu nazwy giełdy lub protokołu.
Najczęstsze błędy
- Przekonanie, że poprawny adres w pasku i kłódka HTTPS gwarantują bezpieczeństwo – przy przejętym DNS atakujący może uzyskać ważny certyfikat.
- Zatwierdzanie nielimitowanych zgód „dla wygody”.
- Podpisywanie wiadomości typu permit bez czytania – to też zgoda na wydawanie tokenów, tyle że bez transakcji on-chain.
- Uznawanie audytu kontraktów za dowód bezpieczeństwa całego serwisu.
Perspektywa tradera
Na scentralizowanej giełdzie przejęcie DNS oznacza zwykle próbę wyłudzenia loginu i kodów 2FA – dlatego klucz sprzętowy (FIDO2) jest bezpieczniejszy niż kod SMS, bo nie zadziała na fałszywej domenie. W DeFi stawką jest podpis. Traktuj każdy nowy popup w portfelu jak zlecenie na rynek: sprawdź, co dokładnie robi, zanim klikniesz. Przy aktywnym handlu on-chain trzymaj na adresie roboczym tylko tyle, ile potrzebujesz na bieżące transakcje, a resztę na adresie, który nie podpisuje niczego poza przelewami.
Najczęstsze pytania
Czy kłódka HTTPS chroni przed atakiem na DNS?
Nie w pełni. Kto kontroluje DNS domeny, może zwykle uzyskać dla niej certyfikat. Kłódka potwierdza szyfrowanie połączenia, a nie to, że serwer należy do prawdziwego zespołu.
Czy przejęcie DNS oznacza włamanie do smart kontraktu?
Nie. Kontrakt zwykle działa dalej poprawnie. Atak dotyczy strony, przez którą użytkownik wysyła transakcje, więc tracą tylko ci, którzy coś podpisali w czasie ataku.
Czym jest DNSSEC?
To rozszerzenie, które podpisuje kryptograficznie rekordy DNS i utrudnia ich podmianę po drodze. Nie pomoże, jeśli atakujący przejmie konto u rejestratora – wtedy „legalnie” zmienia rekordy u źródła.
Co zrobić, jeśli podpisałem zgodę na podejrzanej stronie?
Jak najszybciej odwołaj zgodę (revoke) dla adresu kontraktu atakującego i przenieś pozostałe środki na nowy adres. Liczy się czas – boty atakującego opróżniają portfele automatycznie.
Czy zmiana DNS w komputerze na publiczny resolver pomaga?
Chroni przed częścią ataków lokalnych, np. podmianą w routerze, ale nie przed przejęciem domeny u rejestratora.
Tekst ma charakter edukacyjny i nie stanowi rekomendacji inwestycyjnej.
