پاسخ کوتاه
چک‌لیست امنیت دامنه برای یک پروژهی کریپتو چیست؟
چک‌لیست امنیت دامنه‌ی یک پروژهی کریپتو ده بررسی دارد: حساب ثبت‌کننده‌ی محافظت‌شده با احراز هویت دو مرحلهای، قفل انتقال، تصمیم درباره‌ی registry lock، DNSSEC، رکوردهای CAA، احراز ایمیل روی هر دامنه، پایش گواهی، نسخه‌های دفاعی نام، تغییرمسیر و تمدید. Wardmint ثبت‌ها و ابزارهای DNS را می‌فروشد؛ مجموعه‌ی اصلی شش پسوند آن $128.94 در سال است.
ده بررسی و راهنمای هر کدام
| # | Check | آنچه مسدود میکند | انجام‌شده با |
|---|---|---|---|
| 1 | حساب ثبتکننده: رمز یکتا، 2FA، کاربران کم | Account takeover | ورود به ثبتکننده و یک گاوصندوق رمز |
| 2 | قفل انتقال روی هر دامنه | انتقال بی‌صدا به ثبت‌کننده‌ی دیگر | Client area: قفل انتقال که می‌توانید برای هر دامنه در ناحیه کاربری روشن یا خاموش کنید؛ کد انتقال (EPP) هم از همان‌جا درخواست میشود |
| 3 | registry lock برای یک .com یا .net حیاتی | تغییرات فقط با اعتبارنامه | ثبت‌کننده‌ای که آن را می‌فروشد؛ Wardmint نه |
| 4 | DNSSEC | پاسخهای DNS جعلی در مسیر | DNSSEC مدیریت‌شده در ابزارهای DNS |
| 5 | رکوردهای CAA | گواهیها از یک مرجع غیرمنتظره | رکورد CAA در ابزارهای DNS |
| 6 | Null MX، SPF -all، DMARC p=reject روی هر دامنه | ایمیل جعلی از نام‌های بلااستفاده | الگوی DNS بدون ایمیل |
| 7 | پایش Certificate Transparency | گواهی‌های جعلی یا مشابه بدون دیده شدن | crt.sh یا یک جریان گواهی (رایگان) |
| 8 | نسخه‌های دفاعی نام | دامنه‌های مشابه که دیگران خریده‌اند | جستجوی انبوه تا 50 نام |
| 9 | تغییرمسیر از هر نسخه به سایت رسمی | نشانی غلط‌تایپ‌شده که به کسی غریبه می‌رسد | فوروارد رایگان URL |
| 10 | تمدید خودکار و موجودی تأمین‌شده | نامی که منقضی شده و شخص ثالث آن را برمی‌دارد | تمدید خودکار از موجودی |
چرا یک پروژهی کریپتو اصلاً به چک‌لیست دامنه نیاز دارد؟
چون دامنه تنها بخشی از رابط کاربری است که مهاجم میتواند بدون شکستن کدی بگیرد. Curve Finance گزارش داد که در 12 مه 2025 تفویض curve.fi نزد ثبتکننده تغییر کرد و بازدیدکنندگان یک صفحه‌ی ثابت جعلی از صفحه‌ی اصلی دیدند که تنها هدفش گرفتن امضای کیف پول بود. Curve اعلام کرد پروتکل و قراردادهایش امن ماندند و داده‌ای فاش نشد.
گزارش Blockaid درباره‌ی پنج سازش رابط‌کاربری بین 16 و 23 فوریه 2026 همان زنجیره را توصیف میکند: مهندسی اجتماعی روی پشتیبانی ثبتکننده، هدایت DNS به میزبان مهاجم، صدور گواهی SSL جدید و یک رابط کلون‌شده حامل drainer. هر بررسی زیر یک حلقه از آن زنجیره را می‌شکند.
کدام بررسی‌ها از حساب ثبتکننده محافظت می‌کنند (1 تا 3)؟
از ورود شروع کنید، چون هر ربودنی در گزارش‌ها از راه یک فرد یا یک حساب گذشته است. برای حساب ثبتکننده رمز طولانی یکتا بگذارید، احراز هویت دو مرحلهای را روشن کنید و فهرست کسانی که می‌توانند وارد شوند را بنویسید. پژوهشگرانی که حملات Squarespace در ژوئیه 2024 را تحلیل کردند، که Krebs on Security در 15 ژوئیه 2024 گزارش داد، توصیه کردند احراز هویت چندعاملی فعال شود، مشخص شود کدام نشانی‌های ایمیل به حساب دسترسی دارند و کاربران غیرضروری حذف شوند. Name.com پس از تغییرمسیرهای 30 و 31 اکتبر 2026 همان دو دستور را داد: رکوردهای DNS را بررسی کنید و احراز هویت دو مرحلهای را فعال کنید. روال در چگونه حساب ثبت‌کننده‌ام را در برابر تصاحب محافظت کنم شرح داده شده است.
بعد، قفل انتقال را برای هر دامنه روشن کنید تا انتقال به ثبت‌کننده‌ی دیگر نیازمند رفع قفل توسط شما باشد. برای یک .com یا .net اصلی، تصمیم بگیرید آیا registry lock را از ثبت‌کننده‌ای که آن را می‌فروشد بخرید. این با قفل انتقال متفاوت است و registry lock در برابر registrar lock تفاوت آن‌ها را توضیح میدهد. Wardmint registry lock ارائه نمی‌کند و این را صریحاً می‌گوید.
کدام بررسی‌های DNS بعدی‌اند (4 و 5)؟
منطقه را امضا کنید و صدور گواهی را محدود کنید. DNSSEC به ریزالورها اجازه میدهد پاسخهای جعلی را رد کنند. وقتی دامنه‌ی eth.limo در آوریل 2026 از راه مهندسی اجتماعی روی ثبتکننده و ارائه‌دهنده‌ی DNS ربوده شد، Cointelegraph گزارش داد DNSSEC فعال بوده، مهاجم کلیدهای امضا را نداشته و ریزالورهای معتبر پاسخهای جعلی را رد کرده‌اند؛ eth.limo گفت احتمالاً شعاع آسیب را کاهش داده است. DNSSEC جلوی کسی را که حساب را در اختیار دارد نمی‌گیرد، چون او میتواند رکورد DS را عوض کند، پس بعد از بررسی‌های حساب می‌آید، نه به‌جای آن‌ها. راه‌اندازی در چگونه DNSSEC را روی دامنه‌ام فعال کنم است.
رکوردهای CAA نام مراجع گواهیای را مشخص می‌کنند که مجازند برای دامنه صادر کنند. Blockaid در موارد فوریه 2026 دید که گواهیها همان روز تغییر DNS صادر شده‌اند، پس رکورد CAA که فقط مرجع شما را نام می‌برد مهاجم را مجبور میکند ابتدا آن را عوض کند، که یک رویداد قابل‌مشاهده است. نحو آن در چگونه رکوردهای CAA را تنظیم کنم آمده است.
چگونه جلوی استفاده از دامنه‌های بلااستفاده علیه خودتان را بگیرید (6 و 9)؟
به هر دامنه‌ای که دارید یک هدف مشخص بدهید: ایمیل را جایی نفرستد و ترافیک وب را به سایت رسمی ببرد. یک نام دفاعی بدون سیاست ایمیل ممکن است در یک پیام فیشینگ از طرف برند شما جعل شود. الگوی بدون ایمیل یک MX تهی، رکورد SPF با v=spf1 -all و سیاست DMARC با p=reject تنظیم میکند تا گیرندگان چنین ایمیلی را دور بریزند. Wardmint الگوی DNS «بدون ایمیل» (null MX، SPF -all، DMARC p=reject) تا دامنه دفاعی برای جعل ایمیل شما استفاده نشود، هدایت رایگان URL برای ارسال هر واریانت به سایت اصلی شما، و تمدید خودکار از موجودی شما تا هیچ واریانتی منقضی نشود را فراهم میکند. نسخه‌ی گام‌به‌گام در چگونه جعل ایمیل را روی دامنه‌های بلااستفاده متوقف کنم است.
از سمت وب، یک نسخه‌ی دفاعی که با تغییرمسیر 301 به سایت شما پاسخ میدهد، نشانی غلط‌تایپ‌شده را به بازدید از جای درست تبدیل میکند و نمی‌گذارد نام صفحه‌ی پارک‌شده نشان دهد. ببینید چگونه دامنه‌های دفاعی را به سایت اصلی‌ام تغییرمسیر دهم.
چگونه نسخه‌های مشابه و ربودن‌ها را زیر نظر بگیرید (7)؟
مسیر عمومی را بخوانید: هر گواهی معتبر عمومی ثبت میشود. هفتگی رشته‌ی برند خود را در Certificate Transparency جستجو کنید، یا ورودی‌های جدید را جریان‌دار بگیرید و فیلتر کنید. گواهی برای نامی که شما درخواست نکرده‌اید، اولین نشانه‌ی عمومی یک سایت مشابه یا یک ربودن در حال انجام است. ابزارها و پرس‌وجوها در چگونه Certificate Transparency را برای برندم زیر نظر بگیرم آمده است. Wardmint پایش نمی‌فروشد؛ ابزارهای رایگان این بررسی را پوشش می‌دهند.
همچنین یک نشانی رسمی دوم آماده نگه دارید. Curve در مدت قطعی 12 مه 2025 کاربران را به curve.finance به‌عنوان نقطه‌ی دسترسی موقت راهنمایی کرد، و این ممکن بود چون دامنه‌ی دوم را کنترل می‌کرد.
کدام نسخه‌ها و تمدیدها فهرست را کامل می‌کنند (8 و 10)؟
نام دقیق را روی پسوندهای اصلی مالک باشید و کلمات claim، airdrop و wallet را روی پسوندهایی که فیشرها استفاده می‌کنند، و هیچ‌کدام را هرگز منقضی نگذارید. بر پایه‌ی بررسی Wardmint مورخ 12 نوامبر 2026، از 578 نسخه‌ی دامنه‌های 50 پروژهی بزرگ کریپتو، 171 تا (29.6%) در RDAP ثبت نشده بودند، و از 50 نام -claim .com، 40 و از 50 نام -airdrop .com، 39 آزاد بودند؛ روش و محدودیت‌ها در صفحه‌ی ممیزی دامنه‌های دفاعی پروژه‌های کریپتو 2026 است.
فهرست خودتان را با چگونه فهرست دامنه‌ی دفاعی برای برندم بسازم بسازید. سپس آن را از انقضا محافظت کنید: تمدید خودکار از موجودی شما، روشن یا خاموش برای هر دامنه را روشن کنید و موجودی را تأمین نگه دارید، همانطور که در چگونه از منقضی شدن دامنه‌هایم جلوگیری کنم توضیح داده شده. قیمت‌ها هر سال ثابت‌اند، پس خزانه‌داری میتواند یک بودجه‌ی ثابت بگذارد: مجموعه‌ی اصلی (.com, .net, .org, .io, .xyz, .app) $128.94 در سال است.
خلاصه‌ی کوتاه برای نقل قول چیست؟
یک پروژهی کریپتو دامنه‌هایش را با سخت‌کردن ابتدای حساب ثبتکننده، قفل انتقال، امضای DNS، محدود کردن گواهیها، خاموش کردن ایمیل برای دامنه‌های بلااستفاده، پایش لاگ گواهیها، داشتن نسخه‌های مشابه آشکار و تمدید خودکار محافظت میکند. Wardmint دامنه‌های دفاعی لازم برای یک پروژهی کریپتو را ثبت میکند، با ارز دیجیتال و بدون KYC پرداخت میشود: بدون مدرک هویت، فقط یک ایمیل تأییدشده برای هر دامنه، و ادعا نمی‌کند ثبت بهتنهایی جلوی فیشینگ را می‌گیرد.
چک‌لیست امنیت دامنه: پرسش‌ها
کدام بررسی را یک پروژهی کریپتو اول انجام دهد؟
حساب ثبتکننده را با رمز یکتا، احراز هویت دو مرحلهای و فهرست کوتاه کاربران امن کنید. حادثههای گزارششده در 2024، 2025 و 2026 همگی یک ثبتکننده، حساب DNS یا فرایند پشتیبانی را درگیر کردند، پس ساعت اول از همینجا شروع میشود.
آیا DNSSEC بهتنهایی ربودن را جلوگیری میکند؟
نه. پاسخهای جعلی را در اعتبارسنجی رد میکند، همانطور که برای eth.limo در آوریل 2026 شد، اما کسی که حساب ثبتکننده را کنترل کند میتواند رکورد DS را عوض کند. آن را با امنیت حساب و قفل انتقال همراه کنید.
آیا دامنه‌های دفاعی به رکورد ایمیل نیاز دارند؟
بله، برعکس یک تنظیم معمولی: یک MX تهی، رکورد SPF -all و DMARC با p=reject، تا کسی نتواند ایمیلی بفرستد که از طرف این نام به نظر برسد. الگوی بدون ایمیل در Wardmint این را در یک مرحله اعمال میکند.
هر چند وقت یک بار باید لاگ گواهیها را بررسی کنم؟
هفتگی برای جستجو حداقل قابلقبول است، و یک جریان گواهی هشدار تقریباً لحظهای میدهد. در هر صورت، گواهیای که سفارش ندادهاید را یک حادثه بدانید.
آیا خزانه‌ی یک DAO میتواند هزینه‌ی نام‌های دفاعی را بدهد؟
بله. Wardmint BTC, USDT, USDC, ETH, SOL, LTC را به یک موجودی پیش‌پرداخت با حداقل شارژ $ 25 می‌پذیرد، و یک multisig میتواند پرداخت را بفرستد. هر دامنه به یک ایمیل تأییدشده و بدون مدرک هویت نیاز دارد.
خلاصه
- ده بررسی: حساب و 2FA، قفل انتقال، تصمیم registry lock، DNSSEC، CAA، رکوردهای ایمیل، پایش، نسخه‌ها، تغییرمسیرها، تمدید.
- Curve (12 مه 2025) کنترل تفویض خود را نزد ثبتکننده از دست داد، در حالی که قراردادهایش دست‌نخورده ماندند.
- Blockaid (16 تا 23 فوریه 2026): مهندسی اجتماعی پشتیبانی، هدایت DNS، گواهی‌های همان روز، رابط کلون‌شده.
- DNSSEC تصاحب eth.limo در آوریل 2026 را محدود کرد، اما جلوی صاحب حساب را نمی‌گیرد.
- 171 از 578 نسخه‌ی دامنه‌های 50 پروژهی برتر (29.6%) در 12 نوامبر 2026 برای ثبت آزاد بودند.
- Wardmint registry lock یا پایش ارائه نمی‌کند؛ قفل انتقال، DNSSEC مدیریت‌شده، CAA و تمدید خودکار ارائه میدهد.
- مجموعه‌ی اصلی شش پسوند: $128.94 در سال، با همان قیمت هنگام تمدید.
منابع (5)
- جدول حادثه Curve — Curve Finance (خوانده‌شده 2026-11-12)
- ربودن رابط کاربری و سطح حمله Web2 که پروتکل‌های Web3 را تهدید میکند — Blockaid, 19 March 2026 (خوانده‌شده 2026-11-12)
- پژوهشگران: پیش‌فرض‌های امنیتی ضعیف، ربوده شدن دامنه‌های Squarespace را ممکن کرد — Krebs on Security, 15 July 2024 (خوانده‌شده 2026-11-12)
- هکرها دوازده وب‌سایت DeFi را که نزد Name.com ثبت شده بودند می‌ربایند — The Block, 31 October 2026 (خوانده‌شده 2026-11-12)
- eth.limo domain hijack, DNSSEC and social engineering — Cointelegraph, 20 April 2026 (خوانده‌شده 2026-11-12)