תשובה מהירה
כמה טוב פרויקטי הקריפטו המובילים מאבטחים את הדומיינים שלהם ב-2026?
מתוך הדומיינים הרשמיים של 50 פרויקטי הקריפטו הגדולים ב-12 בנובמבר 2026, 20 היו חתומים עם DNSSEC (40%), 15 פרסמו רשומות CAA (30%) ו-5 הציגו את נעילות השרת של נעילת רישום (10%). רק 3 שילבו את כל זה עם מדיניות DMARC שחוסמת זיוף. Wardmint קרא DNS ציבורי ו-RDAP.
תוצאות עבור 50 הדומיינים הרשמיים
| Protection | דומיינים | חלק | מה הוא עוצר |
|---|---|---|---|
| נעילת רשם (clientTransferProhibited) | 47 מתוך 50 | 94% | העברה שהתחילה בלי בעל הדומיין |
| DMARC p=reject | 28 מתוך 50 | 56% | דואר מזויף מהדומיין נדחה |
| DMARC p=quarantine | 16 מתוך 50 | 32% | דואר מזויף הולך לספאם |
| אין רשומת DMARC או p=none | 6 מתוך 50 | 12% | כלום: דואר מזויף מועבר |
| SPF שמסתיים ב -all | 29 מתוך 50 | 58% | דואר משרתים שאינם ברשימה צריך להידחות |
| DNSSEC (רשומת DS אצל ההורה) | 20 מתוך 50 | 40% | תשובות DNS מזויפות, כמו בהתקפות הרעלת מטמון |
| רשומות CAA | 15 מתוך 50 | 30% | תעודות שהונפקו על ידי רשות שאינה ברשימה |
| סימני נעילת רישום (שלוש נעילות שרת) | 5 מתוך 50 | 10% | שינויים שנעשים דרך חשבון רשם שנפרץ |
| כל ארבעת אלה: DNSSEC, CAA, סימני נעילת רישום ו-DMARC באכיפה | 3 מתוך 50 | 6% |
נבדק לאחרונה ב-; נתונים ישנים נושאים את התאריך שלהם
מה מצא המחקר?
הנעילה הבסיסית כמעט אוניברסלית; ההגנות שעוצרות חטיפה אינן. 47 מתוך 50 הדומיינים נושאים נעילת העברה של הרשם, ההגדרה שרוב הרשמים מפעילים כברירת מחדל. היא עוצרת העברה, אבל אינה עוצרת מי שנכנס לחשבון הרשם ומשנה את שרתי השמות, וכך עבדו רוב ההתקפות המתועדות על חזיתות קריפטו.
ההגנות למקרה הזה נדירות יותר. נעילת רישום, שגורמת לרשם עצמו לסרב לשינויים עד שאדם מאשר אותם בערוץ נפרד, מופיעה ב-5 דומיינים. DNSSEC, שמאפשר לפותרים לדחות תשובות מזויפות, מופיע ב-20. CAA, שמגביל מי רשאי להנפיק תעודה לשם, מופיע ב-15. ה-השוואה בין נעילת רישום לנעילת רשם מסבירה את ההבדל, ו-מדריך DNSSEC את הצעדים.
דואר מצליח יותר: 44 מתוך 50 דוחים או מעבירים לבידוד דואר מזויף עם DMARC. ל-6 האחרים אין רשומת DMARC או שהם נשארים ב-p=none, ולכן כל אחד עדיין יכול לשלוח דואר שנראה כאילו הגיע מהפרויקט.
איך נערך המחקר?
השתמשנו ב-50 הדומיינים הרשמיים של ביקורת הדומיינים הדומים שלנו, שנלקחו מפרויקטי הקריפטו הגדולים לפי שווי שוק ב-12 בנובמבר 2026. לכל דומיין שאלנו את פותר ה-DNS-over-HTTPS הציבורי של Cloudflare על רשומת ה-DS שלו (DNSSEC נספר כשלהורה יש אחת), על רשומות ה-CAA שלו, על רשומות ה-TXT שלו (SPF) ועל רשומת ה-TXT ב-_dmarc (מדיניות DMARC מתוך תג ה-p).
לאחר מכן קראנו את רשומת ה-RDAP של הדומיין ברשם שלו. נעילת רשם נספרת כשרשימת הסטטוסים מכילה clientTransferProhibited. סימני נעילת רישום נספרים כשמופיעים יחד serverTransferProhibited, serverUpdateProhibited ו-serverDeleteProhibited: אלה הנעילות שמגדיר שירות נעילת רישום, אף שרשם יכול להגדיר אותן גם מסיבות אחרות, ולכן אנחנו קוראים להן סימנים ולא הוכחה.
כל 250 בדיקות ה-DNS ו-50 בדיקות ה-RDAP נענו. הסקריפט והתשובות לכל דומיין נשמרים עם המחקר; אנחנו מפרסמים רק סיכומים.
מה הנתונים לא אומרים
חסר רשומה אינו פריצה, ורשומה קיימת אינה ערובה. יש פרויקטים שמגישים את האפליקציה שלהם מדומיין אחר או מוגנים ב-CDN שלהם; DNSSEC דורש גם רשם ומארח DNS שתומכים בו. נעילת רישום אינה מוצעת לכל סיומת, ורשם יכול להפעיל נעילות שרת מסיבות שאינן נעילה בתשלום. המחקר הוא תמונת מצב של יום אחד ושל דומיין אחד לכל פרויקט.
מה פרויקט יכול לעשות עם התוצאות האלה
התחילו בארבע ההגדרות שרוב הפרויקטים ב-50 המובילים עדיין חסרים: נעילת רישום במקום שהסיומת מציעה אותה, DNSSEC, CAA ו-DMARC ב-p=reject בכל דומיין, כולל אלה שאינם בשימוש. לפי הסקר של Wardmint מ-12 בנובמבר 2026, רק 3 מתוך 50 פרויקטי הקריפטו הגדולים שילבו את כל ארבעתן בדומיין הראשי שלהם.
ה-רשימת הבדיקה לאבטחת דומיין לפרויקטי קריפטו מסדרת אותן לפי הסדר יחד עם הגדרות החשבון שסביבן. באותו יום, ה-ביקורת של דומיינים דומים שלנו מצאה ש-29.6% מהוריאציות הברורות של שמות הפרויקטים פנויות לרישום. ב-Wardmint, DNSSEC ו-CAA מנוהלים לכל דומיין, ו-.com עולה 12.49 $/שנה.
שאלות על המחקר
כמה מפרויקטי הקריפטו המובילים משתמשים ב-DNSSEC?
20 מתוך הדומיינים הרשמיים של 50 הפרויקטים הגדולים היו עם רשומת DS אצל ההורה ב-12 בנובמבר 2026, כך ש-40% היו חתומים עם DNSSEC.
כמה משתמשים בנעילת רישום?
5 מתוך 50 הציגו את שלוש נעילות השרת שנעילת רישום מגדירה. אנחנו קוראים להן סימנים: רשם יכול להגדיר את הנעילות האלה גם מסיבות אחרות.
האם נעילת רשם מספיקה?
לא. היא חוסמת העברות, אבל לא שינוי של שרתי שמות על ידי מי ששולט בחשבון הרשם, וכך קרו רוב פריצות הקריפטו בחזית.
מדוע שמות הפרויקטים אינם מפורטים?
רשימה של איזה פרויקט חסר איזו הגנה הייתה עוזרת לתוקף לבחור מטרה. כל פרויקט יכול לבדוק את הדומיין שלו עם אותן בדיקות ציבוריות.
האם המחקר יחזור על עצמו?
כן, בכל רבעון עם אותו סקריפט, כך שהנתונים יוצרים סדרה מתוארכת; כל עדכון מתועד בדף העדכונים שלנו.
לסיכום
- הדומיינים הרשמיים של 50 פרויקטי הקריפטו הגדולים, קריאת DNS ציבורי ו-RDAP ב-12 בנובמבר 2026.
- נעילת רשם 94%, DMARC באכיפה 88% (p=reject 56%), כשל SPF קשיח 58%.
- DNSSEC 40%, CAA 30%, סימני נעילת רישום 10%.
- רק 3 מתוך 50 משלבים DNSSEC, CAA, סימני נעילת רישום ומדיניות DMARC באכיפה.
- סיכומים בלבד; לא מפורסמת רשימה לפי פרויקט.
מקורות ושיטה (5)
- Coins list by market capitalisation (API /coins/markets) — CoinGecko (נקרא ב-2026-11-12)
- DNS over HTTPS, JSON API — Cloudflare (used 2026-11-12)
- Bootstrap service registry for domain name space (RDAP) — IANA (נקרא ב-2026-11-12)
- קודי סטטוס EPP: מה הם אומרים — ICANN (נקרא ב-2026-11-12)
- RFC 8659: DNS Certification Authority Authorization (CAA) Resource Record — IETF (נקרא ב-2026-11-12)