¿Cuántos dominios parecidos a los de los principales proyectos cripto puede registrar cualquiera?

¿Qué encontró la auditoría?

La mayoría de los grandes proyectos tienen su nombre en las terminaciones principales, y casi ninguno tiene los nombres que un phisher usaría de verdad. De las 315 comprobaciones de «mismo nombre, otra terminación», solo 25 estaban libres: las versiones .com, .net, .org, .io y .app de un proyecto del top 50 casi siempre están ocupadas, por el proyecto o por otro. La terminación .finance es la excepción, con 14 de 48 todavía libres.

El panorama cambia con los nombres diseñados para engañar. La mitad de los intercambios de dos letras en .com estaban libres, y también 16 de las 44 variantes que sustituyen una letra por una cifra. Los nombres con marca más palabra eran los más abiertos: 26 de 50 nombres «-wallet», 39 de 50 «-airdrop» y 40 de 50 «-claim» no tenían titular. Esos son los patrones de las páginas falsas de airdrop y de reclamación que describimos en nuestra guía sobre dominios de phishing de airdrops falsos.

Por proyecto, la mediana fue de 3 variantes libres de entre 9 y 13 comprobadas. 33 de los 50 proyectos tenían tres o más libres, y solo 2 ninguna.

¿Cómo se hizo la auditoría?

Clasificamos los proyectos por capitalización de mercado en CoinGecko el 12 de noviembre de 2026 y tomamos el sitio web oficial de cada proyecto del listado de CoinPaprika, o del de CoinGecko para los primeros 13 proyectos, leído antes de que el límite de peticiones ralentizara las consultas. Se excluyeron fondos, valores tokenizados, tokens de oro y entradas duplicadas del mismo sitio web, lo que deja 50 proyectos distintos. El dominio revisado es el que indica la fuente de datos; en algunos tokens es el sitio del emisor, como circle.com para USDC o paypal.com para PayPal USD.

Para cada dominio construimos un conjunto fijo de variantes: el mismo nombre en seis o siete otras extensiones; en .com, una letra suprimida y dos letras contiguas intercambiadas en el centro del nombre (nombres de cinco letras o más); la primera sustitución parecida disponible (o por 0, l por 1, i por l, e por 3, a por 4); y el nombre seguido de -wallet, -airdrop y -claim.

Cada variante se envió al servidor RDAP de su registro, localizado mediante el archivo IANA bootstrap; .io, que ese día no figuraba en ese archivo, se envió a su operador Identity Digital. Una respuesta HTTP 200 cuenta como registrado y una 404 como libre. Las 578 consultas recibieron una de las dos respuestas. El script y las respuestas en bruto se conservan con el estudio, y la página sobre tipos de dominios parecidos explica cada patrón.

Lo que las cifras no dicen

Una variante registrada no es prueba de amenaza, y una libre no es una brecha. RDAP oculta el titular de la mayoría de los nombres, así que una variante ocupada puede pertenecer al propio proyecto, a un revendedor o a un inversor en dominios; no intentamos averiguarlo y no publicamos resultados por proyecto. Un nombre libre solo significa que cualquiera, un phisher incluido, podría registrarlo ese día.

El conjunto de variantes es pequeño a propósito: una lista defensiva real también cubriría más erratas, más palabras y las terminaciones con más phishing. Además es una fotografía. Los nombres se registran y se liberan cada día, así que la misma comprobación repetida el mes siguiente dará otras cifras.

Lo que un proyecto puede hacer con estos resultados

Empiece por los nombres que la auditoría encontró más abiertos: su propio nombre con -claim, -airdrop y -wallet, y después sus intercambios de dos letras y sus parecidos con cifras en .com. En Wardmint, cada uno de esos nombres .com cuesta 12,49 US$/año, así que los cinco o seis nombres que un phisher buscaría primero salen por muy por debajo de 100 $ al año.

Según la encuesta de Wardmint del 12 de noviembre de 2026, 105 de los 150 nombres .com de marca más palabra de los 50 mayores proyectos cripto estaban libres para registrar, frente a 25 de los 315 nombres de mismo nombre en otras terminaciones. Esa diferencia es donde una lista defensiva aporta más. Nuestra guía sobre qué dominios debe registrar un proyecto cripto ordena el resto, y las estadísticas de phishing para 2026 muestran para qué se usan estos nombres una vez que un delincuente los tiene.

Registre solo variantes de su propio nombre: Wardmint rechaza los parecidos de una marca que usted no posee.

¿Qué proyectos se comprobaron?

Bitcoin, Ethereum, Tether, BNB, USDC, XRP, Solana, TRON, Hyperliquid, Zcash, Monero, Dogecoin, USDS, LEO Token, WhiteBIT Coin, Chainlink, Cardano, Stellar, Ethena USDe, Bitcoin Cash, Dai, NEAR Protocol, Litecoin, Avalanche, Uniswap, Gram (formerly Toncoin), Canton, Sui, USD1, Hedera, Rain, Global Dollar, PayPal USD, Shiba Inu, Cronos, Bittensor, Quant, Ondo US Dollar Yield, OKB, Pepe, Falcon USD, MemeCore, Aave, Ondo, Aster, United Stables, Pump.fun, Bitway, USDD y Polkadot, en orden de capitalización de mercado el 12 de noviembre de 2026.

Solo publicamos los totales. Nombrar qué proyecto deja libre qué nombre entregaría a un phisher una lista de la compra.