Respuesta rápida
¿Qué tan bien protegen sus dominios los principales proyectos cripto en 2026?
De los dominios oficiales de los 50 mayores proyectos cripto el 12 de noviembre de 2026, 20 estaban firmados con DNSSEC (40%), 15 publicaban registros CAA (30%) y 5 mostraban los bloqueos de servidor de un registry lock (10%). Solo 3 combinaban todo eso con una política DMARC que bloquea la suplantación. Wardmint leyó el DNS público y RDAP.
Resultados de los 50 dominios oficiales
| Protection | Dominios | Cuota | Qué impide |
|---|---|---|---|
| Bloqueo del registrador (clientTransferProhibited) | 47 de 50 | 94% | Una transferencia iniciada sin el titular |
| DMARC p=reject | 28 de 50 | 56% | El correo falsificado desde el dominio se rechaza |
| DMARC p=quarantine | 16 de 50 | 32% | El correo falsificado va a spam |
| Sin registro DMARC o p=none | 6 de 50 | 12% | Nada: el correo falsificado se entrega |
| SPF terminado en -all | 29 de 50 | 58% | El correo de servidores no listados debe rechazarse |
| DNSSEC (registro DS en el padre) | 20 de 50 | 40% | Respuestas DNS falsificadas, como en los ataques de envenenamiento de caché |
| Registros CAA | 15 de 50 | 30% | Certificados emitidos por una autoridad no listada |
| Indicios de registry lock (tres bloqueos de servidor) | 5 de 50 | 10% | Cambios hechos mediante una cuenta de registrador comprometida |
| Los cuatro: DNSSEC, CAA, indicios de registry lock, DMARC aplicado | 3 de 50 | 6% |
Última comprobación el ; los datos más antiguos llevan su propia fecha
¿Qué encontró el estudio?
El bloqueo básico es casi universal; las protecciones que impiden un secuestro no lo son. 47 de los 50 dominios tienen un bloqueo de transferencia del registrador, el ajuste que la mayoría de registradores activa por defecto. Impide una transferencia, pero no impide que alguien que entra en la cuenta del registrador cambie los servidores de nombres, que es la forma en que se produjeron la mayoría de ataques documentados contra frontends cripto.
Las defensas para ese caso son más raras. El registry lock, que hace que el propio registro rechace cambios hasta que una persona los confirme por otro canal, aparece en 5 dominios. DNSSEC, que permite a los resolutores rechazar respuestas falsificadas, está en 20. CAA, que limita quién puede emitir un certificado para el nombre, está en 15. La comparación de registry lock y registrar lock explica la diferencia, y la guía de DNSSEC los pasos.
El correo va mejor: 44 de los 50 rechazan o ponen en cuarentena el correo falsificado con DMARC. Los otros 6 no publican ningún registro DMARC o se quedan en p=none, así que cualquiera puede seguir enviando correo que parezca venir del proyecto.
¿Cómo se hizo el estudio?
Usamos los 50 dominios oficiales de nuestra auditoría de imitaciones, tomados de los mayores proyectos cripto por capitalización de mercado el 12 de noviembre de 2026. Para cada dominio consultamos al resolutor público DNS-over-HTTPS de Cloudflare su registro DS (se cuenta DNSSEC cuando la zona padre tiene uno), sus registros CAA, sus registros TXT (SPF) y el registro TXT en _dmarc (la política DMARC de la etiqueta p).
Después leímos el registro RDAP del dominio en su registro. Un bloqueo del registrador cuenta cuando la lista de estados contiene clientTransferProhibited. Los indicios de registry lock cuentan cuando contienen juntos serverTransferProhibited, serverUpdateProhibited y serverDeleteProhibited: son los bloqueos que establece un servicio de registry lock, aunque un registro también puede fijarlos por otros motivos, así que los llamamos indicios, no prueba.
Las 250 consultas DNS y las 50 consultas RDAP obtuvieron respuesta. El script y las respuestas por dominio se conservan con el estudio; publicamos solo totales.
Lo que las cifras no dicen
Un registro ausente no es una brecha, y uno presente no es una garantía. Algunos proyectos sirven su aplicación desde otro dominio o la protegen en su CDN; DNSSEC también requiere un registrador y un host DNS que lo admitan. El registry lock no se ofrece para todas las extensiones, y un registro puede aplicar bloqueos de servidor por motivos distintos de un servicio de pago. El estudio es una foto de un solo día y de un dominio por proyecto.
Lo que un proyecto puede hacer con estos resultados
Empiece por las cuatro configuraciones que la mayoría de proyectos del top 50 aún no tienen: registry lock donde la extensión lo ofrezca, DNSSEC, CAA, y DMARC en p=reject en cada dominio, incluidos los no usados. Según la encuesta de Wardmint del 12 de noviembre de 2026, solo 3 de los 50 mayores proyectos cripto combinaban las cuatro en su dominio principal.
Nuestra lista de comprobación de seguridad de dominios para proyectos cripto las ordena junto con los ajustes de cuenta que las rodean. Ese mismo día, nuestra auditoría de dominios parecidos encontró libre para registrar el 29.6% de las variantes evidentes de los nombres de estos proyectos. En Wardmint, DNSSEC y CAA se gestionan para cada dominio, y un .com cuesta 12,49 US$/año.
Preguntas sobre el estudio
¿Cuántos proyectos cripto principales usan DNSSEC?
20 de los dominios oficiales de los 50 mayores proyectos tenían un registro DS en el padre el 12 de noviembre de 2026, así que el 40% estaba firmado con DNSSEC.
¿Cuántos usan registry lock?
5 de 50 mostraban los tres bloqueos de servidor que establece un registry lock. Los llamamos indicios: un registro puede fijar esos bloqueos también por otros motivos.
¿Basta con un bloqueo del registrador?
No. Bloquea las transferencias, pero no un cambio de servidores de nombres por alguien que controla la cuenta del registrador, que es como ocurrieron la mayoría de secuestros de frontends cripto.
¿Por qué no se enumeran los nombres de los proyectos?
Una lista de qué proyecto carece de qué protección ayudaría a un atacante a elegir objetivo. Cada proyecto puede comprobar su propio dominio con las mismas consultas públicas.
¿Se repetirá el estudio?
Sí, cada trimestre con el mismo script, de modo que las cifras forman una serie fechada; cada actualización queda registrada en nuestra página de novedades.
En resumen
- Dominios oficiales de los 50 mayores proyectos cripto, DNS público y RDAP leídos el 12 de noviembre de 2026.
- Bloqueo del registrador 94%, DMARC aplicado 88% (p=reject 56%), SPF con rechazo firme 58%.
- DNSSEC 40%, CAA 30%, indicios de registry lock 10%.
- Solo 3 de 50 combinan DNSSEC, CAA, indicios de registry lock y una política DMARC aplicada.
- Solo totales; no se publica ninguna lista por proyecto.
Fuentes y método (5)
- Coins list by market capitalisation (API /coins/markets) — CoinGecko (consultado 2026-11-12)
- DNS over HTTPS, JSON API — Cloudflare (used 2026-11-12)
- Bootstrap service registry for domain name space (RDAP) — IANA (consultado 2026-11-12)
- Códigos de estado EPP: qué significan — ICANN (consultado 2026-11-12)
- RFC 8659: DNS Certification Authority Authorization (CAA) Resource Record — IETF (consultado 2026-11-12)