DNSHijacking(劫持)大家应该都耳濡目染了，历史上MyEtherWallet、PancakeSwap、SpiritSwap、KLAYswap、ConvexFinance等等以及今天的@CurveFinance，十来个知名加密货币项目都遭遇过。但很多人可能不一定知道其劫持的根本原因，更重要的是如何防御，我这里做个简单分享：
DNS可以让我们访问目标域名时找到对应的IP：vxhuang33868
Domain->IP_REAL
如果这种指向关系被攻击者替换了：
Domain->IP_BAD(攻击者控制)微博小新投资笔记
Hashkey董事长肖风：未来2-3年行业将从Web3基础设施建设进入应用层大爆发阶段:1月12日消息，在MetaEra年度峰会上，Hashkey董事长肖风发言称，未来2-3年行业将从Web3基础设施、基础协议建设，进入应用层大爆发的阶段，Web3更多探索的是基于区块链基础设施之上的应用创新，这些创新有的是基于线下商业场景在数字世界做数字孪生，也有一些是数字原生，从零到一，我更期待数字原生的创新创业，无可限量。
尤其现在区块链+AIGC，区块链为AIGC创作的数字化产品的交换、交易提供了很好的产权登记、结算的系统。这些数字化技术融合在一起，真的可能创造出我们没有见到过、想象过的场景出来，而那些场景一定是Tokenization的（代币化）。[2023/1/12 11:08:12]
那这个IP_BAD所在服务器响应的内容，攻击者就可以任意伪造了。最终对于用户来说，在浏览器里目标域名下的任何内容都可能有问题。DNS劫持其实分为好几种可能性，比如常见的有两大类：
美参议院议员呼吁OCC撤回支持银行业进军加密货币领域的指导意见:8月4日消息，美国参议院议员Elizabeth Warren正在呼吁美国货币监理署（OCC）撤回支持华尔街进军加密货币领域的法律指导意见，OCC在2020年发布的解释性信函为银行对客户提供加密货币托管等服务铺平了道路。
Elizabeth Warren在信中呼吁OCC与美联储和联邦存款保险公司合作，以“充分保护消费者以及银行业务的安全和稳健性”的方式取而代之。（彭博社）[2022/8/4 4:35:43]
1.域名控制台被黑，攻击者可以任意修改其中的DNSA记录(把IP指向攻击者控制的IP_BAD)，或者直接修改Nameservers为攻击者控制的DNS服务器；
韩国WeMade计划全面投入区块链业务，每季度额外招聘80至100人:7月27日消息，韩国网络游戏公司WeMade计划全面投入区块链业务，每季度额外招聘80至100名相关人员，并在今年下半年通过将区块链服务应用MirM来拓展全球市场。此前报道，WeMade推出区块链游戏平台Wemix Play，用户可在其中用虚拟货币交易游戏物品和NFT。（news.mt.co.kr）[2022/7/27 2:40:41]
2.在网络上做粗暴的中间人劫持，强制把目标域名指向IP_BAD。
第1点的劫持可以做到静默劫持，也就是用户浏览器那端不会有任何安全提示，因为此时HTTPS证书，攻击者是可以签发另一个合法的。
加密货币托管商Hex Trust获得迪拜虚拟资产许可证:金色财经报道，加密资产银行级托管和相关服务提供商Hex Trust，今天宣布已获得迪拜虚拟资产监管局(VARA)政府的临时批准，获得虚拟资产MVP许可证。Hex Trust正在促进安全市场的采用，以加快该地区虚拟资产和区块链行业的发展。Hex Trust将在迪拜开设一个办事处，该办事处将用作其中东地区总部。
目前，Hex Trust正在向迪拜虚拟资产监管局(VARA)申请许可证，为机构客户和投资者提供服务。Hex Trust在最近完成了 8800 万美元的 B 轮融资后，现在正在向中东和欧洲扩张。（cryptoninjas）[2022/6/21 4:42:13]
第2点的劫持，在域名采用HTTPS的情况下就没法静默劫持了，会出现HTTPS证书错误提示，但用户可以强制继续访问，除非目标域名配置了HSTS安全机制。
重点强调下：如果现在有Crypto/Web3项目的域名没有强制HTTPS(意思是还存在HTTP可以访问的情况)，及HTTPS没有强制开启HSTS(HTTPStrictTransportSecurity)，那么对于第2点这种劫持场景是有很大风险的。大家擦亮眼睛，一定要警惕。
对于项目方来说，除了对自己的域名HTTPS+HSTS配置完备之外，可以常规做如下安全检查：
1.检查域名相关DNS记录(A及NS)是否正常；
2.检查域名在浏览器里的证书显示是否是自己配置的；
3.检查域名管理的相关平台是否开启了双因素认证；
4.检查Web服务请求日志及相关日志是否正常。
对于用户来说，防御要点好几条，我一一讲解下。
对于关键域名，坚决不以HTTP形式访问，
而应该始终HTTPS形式
如果HTTPS形式，浏览器有HTTPS证书报错，那么坚决不继续。这一点可以对抗非静默的DNS劫持攻击。
对于静默劫持的情况，不管是DNS劫持、还是项目方服务器被黑、内部作恶、项目前端代码被供应链攻击投等，其实站在用户角度来看，最终的体现都一样。浏览器侧不会有任何异常，直到有用户的资产被盗才可能发现。
那么这种情况下用户如何防御呢？用户除了保持每一步操作的警惕外。
我推荐一个在Web2时代就非常知名的浏览器安全扩展：@noscript(推特虽然很久很久没更新，不过惊喜发现官网更新了，扩展也更新了)，是@ma1的作品。
NoScript默认拦截植入的JavaScript文件。
但是NoScript有一点的上手习惯门槛，有时候可能会很烦，我的建议是对于重要的域名访问可以在安装了NoScript的浏览器(比如Firefox)上进行，其他的尽管在另一个浏览器(如Chrome)上进行。
隔离操作是一个很好的安全习惯。许多你可能觉得繁琐的，驾驭后、习惯后，那么一切都还好。
但是这并不能做到完美防御，比如这次@CurveFinance的攻击，攻击者更改了其DNSA记录，指向一个IP_BAD，然后污染了前端页面的
植入了盗币有关的恶意代码。
如果我们之前NoScript信任了Curve，那么这次也可能中招。
可能有人会说了要不要多安装一些浏览器安全扩展，我的看法之前已经提过
这个话题我暂时先介绍到这，目的是尽可能把其中要点进行安全科普。至于其他一些姿势，后面有机会我再展开。
如果你觉得对你有帮助或有什么要补充的，欢迎参与讨论。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。