Rychlá odpověď
Jak dobře zabezpečují své domény nejlepší krypto projekty v roce 2026?
Z oficiálních domén 50 největších krypto projektů bylo k 12. listopadu 2026 20 podepsáno pomocí DNSSEC (40%), 15 publikovalo záznamy CAA (30%) a 5 ukázalo serverové zámky registry lock (10%). Jen 3 kombinovaly všechno to s politikou DMARC, která blokuje podvrhy. Wardmint četl veřejné DNS a RDAP.
Výsledky pro 50 oficiálních domén
| Protection | Domény | Sdílet | Co zastaví |
|---|---|---|---|
| Zámek registrátora (clientTransferProhibited) | 47 z 50 | 94% | Převod zahájený bez držitele |
| DMARC p=reject | 28 z 50 | 56% | Podvržená pošta z domény je odmítnuta |
| DMARC p=quarantine | 16 z 50 | 32% | Podvržená pošta končí ve spamu |
| Žádný záznam DMARC nebo p=none | 6 z 50 | 12% | Nic: podvržená pošta je doručena |
| SPF končící na -all | 29 z 50 | 58% | Pošta z neuvedených serverů má být odmítnuta |
| DNSSEC (záznam DS u nadřazené zóny) | 20 z 50 | 40% | Padělané odpovědi DNS, jako při útocích otrávením mezipaměti |
| Záznamy CAA | 15 z 50 | 30% | Certifikáty vydané neuvedenou autoritou |
| Podpisy registry lock (tři serverové zámky) | 5 z 50 | 10% | Změny provedené přes napadený účet registrátora |
| Všechny čtyři: DNSSEC, CAA, podpisy registry lock, vynucený DMARC | 3 z 50 | 6% |
Naposledy ověřeno ; starší údaje nesou vlastní datum
Co studie zjistila?
Základní zámek je téměř všude; ochrany, které brání převzetí, ne. 47 z 50 domén má zámek převodu u registrátora, nastavení, které většina registrátorů zapíná ve výchozím stavu. Zabrání převodu, ale nezabrání tomu, kdo se přihlásí do účtu registrátora a změní jmenné servery, což je způsob, jak proběhla většina zdokumentovaných útoků na krypto frontendy.
Obranné prvky pro tento případ jsou vzácnější. Registry lock, který registr sám odmítne změny, dokud je osoba mimo kanál nepotvrdí, se objevuje u 5 domén. DNSSEC, které umožňuje resolverům odmítnout padělané odpovědi, je u 20. CAA, které omezuje, kdo smí pro název vydat certifikát, je u 15. Srovnání registry lock a registrar lock vysvětluje rozdíl a příručka k DNSSEC kroky.
U e-mailu jsou výsledky lepší: 44 z 50 odmítá nebo dává do karantény podvržený e-mail pomocí DMARC. Zbylých 6 nepublikuje záznam DMARC nebo zůstává na p=none, takže kdokoli může stále odesílat poštu, která vypadá, že přichází od projektu.
Jak studie probíhala?
Použili jsme 50 oficiálních domén z našeho auditu podobných názvů, vybraných z největších krypto projektů podle tržní kapitalizace k 12. listopadu 2026. U každé domény jsme se resolveru DNS-over-HTTPS od Cloudflare zeptali na její záznam DS (DNSSEC se počítá, když jej má nadřazená zóna), její záznamy CAA, její záznamy TXT (SPF) a záznam TXT na _dmarc (politika DMARC z tagu p).
Potom jsme přečetli záznam RDAP domény u jejího registru. Zámek registrátora se počítá, když seznam stavů obsahuje clientTransferProhibited. Podpisy registry lock se počítají, když obsahuje současně serverTransferProhibited, serverUpdateProhibited a serverDeleteProhibited: to jsou zámky, které nastavuje služba registry lock, i když je registr může nastavit i z jiných důvodů, proto je nazýváme podpisy, ne důkaz.
Všech 250 dotazů DNS a 50 dotazů RDAP bylo zodpovězeno. Skript a odpovědi pro jednotlivé domény jsou uloženy u studie; zveřejňujeme jen součty.
Co data neříkají
Chybějící záznam není porušení a přítomný záznam není záruka. Některé projekty servírují aplikaci z jiné domény nebo ji chrání v CDN; DNSSEC také vyžaduje registrátora a hostitele DNS, kteří jej podporují. Registry lock není nabízen pro každou příponu a registr může uplatnit serverové zámky z jiných důvodů než z placeného zámku. Studie je snímek jednoho dne a jedné domény na projekt.
Co s těmito výsledky může projekt udělat
Začněte čtyřmi nastaveními, která většině projektů z top 50 stále chybí: registry lock tam, kde ho přípona nabízí, DNSSEC, CAA a DMARC na p=reject na každé doméně, včetně nepoužívaných. Podle průzkumu Wardmint z 12. listopadu 2026 kombinovali všechny čtyři na své hlavní doméně jen 3 z 50 největších krypto projektů.
Naše kontrolní seznam zabezpečení domén pro krypto projekty je seřadí spolu s nastavením účtu kolem nich. Téhož dne audit podobných názvů domén zjistil, že 29.6% zjevných variant názvů těchto projektů je volných k registraci. U Wardmint se DNSSEC a CAA spravují pro každou doménu a .com stojí 12,49 US$/rok.
Otázky ke studii
Kolik top krypto projektů používá DNSSEC?
20 z oficiálních domén 50 největších projektů mělo k 12. listopadu 2026 záznam DS u nadřazené zóny, takže 40% bylo podepsáno pomocí DNSSEC.
Kolik jich používá registry lock?
5 z 50 ukázalo tři serverové zámky, které nastaví registry lock. Nazýváme je podpisy: registr může tyto zámky nastavit i z jiných důvodů.
Stačí zámek registrátora?
Ne. Blokuje převody, ale ne změnu jmenných serverů někým, kdo ovládá účet registrátora, což je způsob, jak se odehrála většina převzetí krypto frontendů.
Proč nejsou názvy projektů uvedeny?
Seznam toho, který projekt postrádá kterou ochranu, by útočníkovi pomohl vybrat cíl. Každý projekt může svou doménu zkontrolovat stejnými veřejnými dotazy.
Bude studie zopakována?
Ano, každé čtvrtletí se stejným skriptem, takže čísla tvoří datovanou řadu; každá aktualizace je zapsána na naší stránce aktualizací.
Shrnutí
- Oficiální domény 50 největších krypto projektů, veřejné DNS a RDAP čteny 12. listopadu 2026.
- Zámek registrátora 94%, DMARC vynucen 88% (p=reject 56%), SPF tvrdé odmítnutí 58%.
- DNSSEC 40%, CAA 30%, podpisy registry lock 10%.
- Jen 3 z 50 kombinují DNSSEC, CAA, podpisy registry lock a vynucenou politiku DMARC.
- Jen součty; seznam podle projektů se nezveřejňuje.
Zdroje a metoda (5)
- Coins list by market capitalisation (API /coins/markets) — CoinGecko (čteno 2026-11-12)
- DNS over HTTPS, JSON API — Cloudflare (used 2026-11-12)
- Bootstrap service registry for domain name space (RDAP) — IANA (čteno 2026-11-12)
- Stavové kódy EPP: co znamenají — ICANN (čteno 2026-11-12)
- RFC 8659: DNS Certification Authority Authorization (CAA) Resource Record — IETF (čteno 2026-11-12)