Combien de domaines ressemblant aux grands projets crypto peut-on enregistrer ?

Qu'a révélé l'audit ?

La plupart des grands projets détiennent leur nom sur les extensions principales, et presque aucun ne détient les noms qu'un hameçonneur utiliserait réellement. Sur les 315 vérifications « même nom, autre extension », seules 25 étaient libres : les versions .com, .net, .org, .io et .app d'un projet du top 50 sont presque toujours prises, par le projet ou par quelqu'un d'autre. L'extension .finance fait exception, avec 14 noms encore libres sur 48.

Le tableau change avec les noms conçus pour tromper. La moitié des inversions de deux lettres en .com étaient libres, tout comme 16 des 44 sosies qui remplacent une lettre par un chiffre. Les noms marque + mot étaient les plus ouverts : 26 des 50 noms en « -wallet », 39 des 50 en « -airdrop » et 40 des 50 en « -claim » n'avaient aucun titulaire. Ce sont les schémas des fausses pages d'airdrop et de réclamation décrits dans notre guide sur les domaines d'hameçonnage d'airdrop.

Par projet, la médiane était de 3 variantes libres sur 9 à 13 vérifiées. 33 des 50 projets en avaient trois ou plus de libres, et seuls 2 n'en avaient aucune.

Comment l'audit a-t-il été réalisé ?

Nous avons classé les projets par capitalisation boursière sur CoinGecko le 12 novembre 2026 et récupéré le site officiel de chaque projet dans la liste de CoinPaprika, ou dans celle de CoinGecko pour les 13 premiers projets, relevé avant que la limite de requêtes ne ralentisse les interrogations. Les fonds, les titres tokenisés, les jetons adossés à l'or et les doublons d'un même site ont été écartés, ce qui laisse 50 projets distincts. Le domaine vérifié est celui que la source de données indique ; pour certains jetons, c'est le site de l'émetteur, par exemple circle.com pour USDC ou paypal.com pour PayPal USD.

Pour chaque domaine, nous avons construit un ensemble fixe de variantes : le même nom sur six ou sept autres extensions ; en .com, une lettre retirée et deux lettres voisines inversées au milieu du nom (noms de cinq lettres ou plus) ; la première substitution ressemblante disponible (o en 0, l en 1, i en l, e en 3, a en 4) ; et le nom suivi de -wallet, -airdrop et -claim.

Chaque variante a été envoyée au serveur RDAP de son registre, trouvé grâce au fichier IANA bootstrap ; .io, absent de ce fichier ce jour-là, a été envoyé à son opérateur Identity Digital. Une réponse HTTP 200 compte comme enregistré et un 404 comme libre. Les 578 requêtes ont toutes reçu l'une des deux réponses. Le script et les réponses brutes sont conservés avec l'étude, et la page sur les types de domaines ressemblants explique chaque motif.

Ce que les chiffres ne disent pas

Une variante enregistrée n'est pas une preuve de menace, et une variante libre n'est pas une faille. RDAP masque le titulaire de la plupart des noms ; une variante prise peut donc appartenir au projet lui-même, à un revendeur ou à un investisseur en domaines. Nous n'avons pas cherché à le savoir et ne publions aucun résultat par projet. Un nom libre signifie seulement que n'importe qui, un hameçonneur compris, pouvait l'enregistrer ce jour-là.

La liste de variantes est volontairement réduite. Une vraie liste défensive couvre aussi davantage de fautes de frappe, davantage de mots et les extensions les plus utilisées par l'hameçonnage. C'est aussi un instantané : les noms sont enregistrés et libérés chaque jour, donc la même vérification le mois prochain donnera d'autres chiffres.

Ce qu'un projet peut faire de ces résultats

Commencez par les noms que l'audit a trouvés les plus ouverts : votre propre nom suivi de -claim, -airdrop et -wallet, puis vos inversions de deux lettres et vos sosies à chiffres en .com. Chez Wardmint, chacun de ces noms en .com coûte 12,49 $US/an, donc les cinq ou six noms qu'un hameçonneur visera en premier restent bien en dessous de 100 $ par an.

Selon l'étude de Wardmint du 12 novembre 2026, 105 des 150 noms .com « marque + mot » des 50 plus grands projets crypto étaient libres à l'enregistrement, contre 25 des 315 noms au même nom sur d'autres extensions. Cet écart est là où une liste défensive apporte le plus. Notre guide sur les domaines qu'un projet crypto doit enregistrer classe le reste, et les statistiques de phishing pour 2026 montrent à quoi servent ces noms une fois qu'un criminel les détient.

N'enregistrez que des variantes de votre propre nom : Wardmint refuse les sosies d'une marque que vous ne possédez pas.

Quels projets ont été vérifiés ?

Bitcoin, Ethereum, Tether, BNB, USDC, XRP, Solana, TRON, Hyperliquid, Zcash, Monero, Dogecoin, USDS, LEO Token, WhiteBIT Coin, Chainlink, Cardano, Stellar, Ethena USDe, Bitcoin Cash, Dai, NEAR Protocol, Litecoin, Avalanche, Uniswap, Gram (anciennement Toncoin), Canton, Sui, USD1, Hedera, Rain, Global Dollar, PayPal USD, Shiba Inu, Cronos, Bittensor, Quant, Ondo US Dollar Yield, OKB, Pepe, Falcon USD, MemeCore, Aave, Ondo, Aster, United Stables, Pump.fun, Bitway, USDD et Polkadot, par ordre de capitalisation boursière le 12 novembre 2026.

Nous ne publions que les totaux. Nommer le projet qui laisse chaque nom ouvert reviendrait à remettre à un hameçonneur une liste d'achats.