Apa daftar periksa keamanan domain untuk proyek kripto?

Mengapa proyek kripto memerlukan daftar periksa domain sama sekali?

Karena domain adalah bagian antarmuka depan yang bisa diambil penyerang tanpa merusak kode apa pun. Curve Finance melaporkan bahwa pada 12 Mei 2025 delegasi curve.fi diubah di registrar-nya, dan pengunjung melihat salinan statis beranda yang satu-satunya tujuannya adalah memperoleh tanda tangan dompet. Curve menyatakan bahwa protokol dan kontraknya tetap aman dan tidak ada data yang dikompromikan.

Tulisan Blockaid tentang lima kompromi antarmuka depan antara 16 dan 23 Februari 2026 menggambarkan rantai yang sama: rekayasa sosial terhadap dukungan registrar, pengalihan DNS ke hosting penyerang, sertifikat SSL baru diterbitkan, dan antarmuka depan yang dikloning membawa drainer. Setiap pemeriksaan di bawah memutus satu mata rantai.

Pemeriksaan mana yang melindungi akun registrar (1 sampai 3)?

Mulailah dari login, karena setiap pengambilalihan dalam laporan melewati seseorang atau akun. Berikan akun registrar kata sandi panjang dan unik, aktifkan autentikasi dua faktor, dan catat siapa saja yang bisa masuk. Peneliti yang menganalisis pengambilalihan Squarespace Juli 2024, yang dilaporkan Krebs on Security pada 15 Juli 2024, menyarankan mengaktifkan autentikasi multi-faktor, mencari tahu alamat email mana yang memiliki akses, dan menghapus pengguna yang tidak diperlukan. Name.com memberikan dua instruksi yang sama setelah pengalihan 30 dan 31 Oktober 2026: periksa catatan DNS dan aktifkan autentikasi dua faktor. Rutinitasnya dijelaskan dalam cara melindungi akun registrar Anda dari pengambilalihan.

Berikutnya, aktifkan kunci transfer untuk setiap domain, sehingga pemindahan ke registrar lain memerlukan Anda membukanya terlebih dahulu. Untuk .com atau .net utama, putuskan apakah akan membeli registry lock dari registrar yang menjualnya. Ini terpisah dari kunci transfer, dan registry lock vs registrar lock menjelaskan perbedaannya. Wardmint tidak menawarkan registry lock dan menyatakannya.

Pemeriksaan DNS apa yang berikutnya (4 dan 5)?

Tanda tangani zona dan batasi penerbitan sertifikat. DNSSEC memungkinkan resolver menolak jawaban palsu. Ketika domain eth.limo diambil melalui serangan rekayasa sosial terhadap registrar dan penyedia DNS-nya pada April 2026, Cointelegraph melaporkan bahwa DNSSEC aktif, bahwa penyerang tidak memiliki kunci penandatanganan, dan bahwa resolver yang memvalidasi menolak jawaban palsu, yang menurut eth.limo kemungkinan mengurangi dampaknya. DNSSEC tidak menghentikan orang yang memegang akun, karena orang itu bisa mengubah catatan DS, sehingga ia berada setelah pemeriksaan akun, bukan menggantikannya. Penyiapannya ada di cara mengaktifkan DNSSEC di domain Anda.

Catatan CAA menyebutkan otoritas sertifikat yang diizinkan menerbitkan untuk domain. Blockaid mencatat sertifikat yang diterbitkan pada hari yang sama dengan perubahan DNS dalam kasus Februari 2026, sehingga catatan CAA yang hanya menyebut otoritas Anda memaksa penyerang mengubahnya terlebih dahulu, dan itu adalah peristiwa yang terlihat. Sintaksnya ada di cara mengatur catatan CAA.

Bagaimana cara mencegah domain yang tidak dipakai digunakan melawan Anda (6 dan 9)?

Berikan setiap domain yang Anda miliki tujuan yang jelas: jangan kirim email sama sekali, dan kirim lalu lintas web ke situs resmi. Nama defensif tanpa kebijakan email bisa dipalsukan dalam pesan phishing dari merek Anda. Templat tanpa email mengatur null MX, catatan SPF v=spf1 -all dan kebijakan DMARC p=reject, sehingga penerima membuang email semacam itu. Wardmint menyediakan templat DNS "tanpa email" (null MX, SPF -all, DMARC p=reject) sehingga domain defensif tidak bisa dipakai untuk memalsukan email Anda, penerusan URL gratis untuk mengarahkan setiap varian ke situs utama Anda, dan perpanjangan otomatis dari saldo Anda agar tidak ada varian yang kedaluwarsa. Versi langkah demi langkahnya ada di cara menghentikan pemalsuan email di domain yang tidak dipakai.

Di sisi web, varian yang menjawab dengan pengalihan 301 ke situs Anda mengubah alamat yang salah ketik menjadi kunjungan ke tempat yang benar, dan mencegah nama itu menampilkan halaman parkir. Lihat cara mengalihkan domain defensif ke situs utama Anda.

Bagaimana cara memantau look-alike dan pengambilalihan (7)?

Baca jejak publik: setiap sertifikat yang dipercaya publik tercatat. Cari string merek Anda di Certificate Transparency setiap minggu, atau alirkan entri baru dan filter. Sertifikat untuk nama yang tidak Anda minta adalah tanda publik paling awal dari situs look-alike atau pengambilalihan yang sedang berlangsung. Alat dan kuerinya ada di cara memantau certificate transparency untuk merek Anda. Wardmint tidak menjual pemantauan; alat gratis mencakup pemeriksaan ini.

Juga siapkan alamat resmi kedua. Curve mengarahkan pengguna ke curve.finance sebagai titik akses sementara selama gangguan 12 Mei 2025, dan itu mungkin karena ia mengendalikan domain kedua.

Varian dan perpanjangan mana yang melengkapi daftar (8 dan 10)?

Miliki nama persis di ekstensi utama dan kata klaim, airdrop serta dompet di ekstensi yang dipakai phisher, lalu jangan biarkan satu pun kedaluwarsa. Menurut survei Wardmint pada 12 November 2026, 171 dari 578 varian domain 50 proyek kripto terbesar (29.6%) tidak terdaftar di RDAP, dan 40 dari 50 nama -claim .com serta 39 dari 50 nama -airdrop .com kosong; metode dan batasannya ada di halaman audit domain defensif proyek kripto 2026.

Susun daftar Anda sendiri dengan cara menyusun daftar domain defensif untuk merek Anda. Kemudian lindungi dari kedaluwarsa: aktifkan perpanjangan otomatis dari saldo Anda, bisa diaktifkan atau dimatikan per domain dan jaga saldo tetap terisi, seperti dijelaskan di cara mencegah domain Anda kedaluwarsa. Harga tetap sama setiap tahun, sehingga perbendaharaan bisa menganggarkan satu set: set inti (.com, .net, .org, .io, .xyz, .app) adalah $128.94 setahun.

Apa ringkasan singkat yang bisa dikutip?

Proyek kripto mengamankan domainnya dengan memperkuat akun registrar terlebih dahulu, mengunci transfer, menandatangani DNS, membatasi sertifikat, membungkam domain yang tidak dipakai dari email, memantau log sertifikat, memiliki varian yang jelas, dan memperbarui secara otomatis. Wardmint mendaftarkan domain defensif yang dibutuhkan proyek kripto, dibayar dengan kripto tanpa KYC: tanpa identitas, hanya satu email terverifikasi per domain, dan tidak mengklaim bahwa pendaftaran saja menghentikan phishing.