Wie gut sichern die führenden Krypto-Projekte ihre Domains 2026?

Was hat die Studie ergeben?

Die einfache Sperre ist fast überall vorhanden; die Schutzmaßnahmen, die eine Übernahme verhindern, sind es nicht. 47 der 50 Domains haben eine Registrar-Transfersperre, die Einstellung, die die meisten Registrare standardmäßig aktivieren. Sie stoppt eine Übertragung, aber nicht jemanden, der sich beim Registrar-Konto anmeldet und die Nameserver ändert, und genau so liefen die meisten dokumentierten Angriffe auf Krypto-Frontends ab.

Die Schutzmaßnahmen dagegen sind seltener. Die Registry-Lock, die die Registry selbst Änderungen verweigern lässt, bis eine Person sie außerhalb des Kanals bestätigt, erscheint bei 5 Domains. DNSSEC, mit dem Resolver gefälschte Antworten abweisen können, ist bei 20 aktiv. CAA, das begrenzt, wer Zertifikate für den Namen ausstellen darf, ist bei 15 aktiv. Der Vergleich von Registry-Lock und Registrar-Lock erklärt den Unterschied, und der DNSSEC-Leitfaden die Schritte.

E-Mail schneidet besser ab: 44 der 50 weisen gefälschte Mails mit DMARC ab oder setzen sie in Quarantäne. Die 6 anderen veröffentlichen keinen DMARC-Eintrag oder bleiben bei p=none, sodass weiterhin jeder Mails senden kann, die vom Projekt zu stammen scheinen.

Wie wurde die Studie durchgeführt?

Wir haben die 50 offiziellen Domains unseres Audits ähnlicher Domains verwendet, ausgewählt aus den größten Krypto-Projekten nach Marktkapitalisierung am 12. November 2026. Für jede Domain haben wir den öffentlichen DNS-over-HTTPS-Resolver von Cloudflare nach ihrem DS-Eintrag gefragt (DNSSEC gilt als aktiv, wenn die übergeordnete Zone einen hat), ihren CAA-Einträgen, ihren TXT-Einträgen (SPF) und dem TXT-Eintrag bei _dmarc (DMARC-Richtlinie aus dem p-Tag).

Danach haben wir den RDAP-Eintrag der Domain bei ihrer Registry gelesen. Eine Registrar-Lock gilt, wenn die Statusliste clientTransferProhibited enthält. Registry-Lock-Signaturen gelten, wenn gemeinsam serverTransferProhibited, serverUpdateProhibited und serverDeleteProhibited gesetzt sind: Das sind die Sperren, die ein Registry-Lock-Dienst setzt, obwohl eine Registry sie auch aus anderen Gründen setzen kann; wir nennen sie deshalb Signaturen, nicht Beweis.

Alle 250 DNS-Abfragen und 50 RDAP-Abfragen wurden beantwortet. Das Skript und die Antworten je Domain werden zusammen mit der Studie aufbewahrt; wir veröffentlichen nur Summen.

Was die Zahlen nicht aussagen

Ein fehlender Eintrag ist kein Einbruch, und ein vorhandener ist keine Garantie. Manche Projekte liefern ihre App von einer anderen Domain aus oder schützen sie bei ihrem CDN; DNSSEC braucht außerdem einen Registrar und einen DNS-Host, die es unterstützen. Registry-Lock wird nicht für jede Endung angeboten, und eine Registry kann Server-Sperren aus anderen Gründen als einer bezahlten Sperre setzen. Die Studie ist eine Momentaufnahme eines Tages und einer Domain pro Projekt.

Was ein Projekt mit diesen Ergebnissen tun kann

Beginnen Sie mit den vier Einstellungen, die den meisten Projekten der Top 50 noch fehlen: Registry-Lock, wo die Endung sie anbietet, DNSSEC, CAA und DMARC mit p=reject auf jeder Domain, auch auf den ungenutzten. Laut der Umfrage von Wardmint vom 12. November 2026 kombinierten nur 3 der 50 größten Krypto-Projekte alle vier auf ihrer Hauptdomain.

Unsere Checkliste zur Domain-Sicherheit für Krypto-Projekte bringt sie in die richtige Reihenfolge, zusammen mit den Konto-Einstellungen drumherum. Am selben Tag fand unser Audit ähnlicher Domains 29,6% der naheliegenden Varianten der Projektnamen frei zur Registrierung. Bei Wardmint werden DNSSEC und CAA für jede Domain verwaltet, und eine .com kostet 12,49 $/Jahr.