Qual è la checklist di sicurezza dei domini per un progetto crypto?

Perché un progetto crypto ha bisogno di una checklist per i domini?

Perché il dominio è l'unica parte del front end che un attaccante può prendere senza rompere alcun codice. Curve Finance ha segnalato che il 12 maggio 2025 la delega di curve.fi è stata modificata presso il registrar, e che i visitatori vedevano una pagina statica finta della homepage il cui unico scopo era ottenere firme dal wallet. Curve ha dichiarato che il protocollo e i suoi contratti sono rimasti sicuri e che nessun dato è stato compromesso.

Il resoconto di Blockaid su cinque compromissioni del front end tra il 16 e il 23 febbraio 2026 descrive la stessa catena: ingegneria sociale sul supporto del registrar, reindirizzamento DNS verso un hosting dell'attaccante, nuovi certificati SSL emessi e un front end clonato con un drainer. Ogni controllo qui sotto spezza un anello di questa catena.

Quali controlli proteggono l'account del registrar (da 1 a 3)?

Inizia dal login, perché ogni dirottamento nei rapporti è passato da una persona o da un account. Dai all'account del registrar una password lunga e unica, attiva l'autenticazione a due fattori ed elenca chi può accedere. I ricercatori che hanno analizzato i dirottamenti Squarespace di luglio 2024, riportati da Krebs on Security il 15 luglio 2024, consigliavano di attivare l'autenticazione a più fattori, scoprire quali indirizzi e-mail hanno accesso e rimuovere gli utenti non necessari. Name.com ha dato le stesse due istruzioni dopo i reindirizzamenti del 30 e 31 ottobre 2026: controllare i record DNS e attivare l'autenticazione a due fattori. La procedura è descritta in come proteggere il proprio account registrar dal dirottamento.

Poi attiva il blocco del trasferimento per ogni dominio, così uno spostamento verso un altro registrar richiede prima di rimuoverlo. Per un .com o .net principale, decidi se acquistare il registry lock da un registrar che lo offre. È separato dal blocco del trasferimento, e registry lock vs registrar lock spiega la differenza. Wardmint non offre il registry lock e lo dichiara.

Quali controlli DNS vengono dopo (4 e 5)?

Firma la zona e limita l'emissione dei certificati. DNSSEC permette ai resolver di rifiutare risposte falsificate. Quando il dominio eth.limo è stato preso con un attacco di ingegneria sociale al registrar e al fornitore DNS nell'aprile 2026, Cointelegraph ha riportato che DNSSEC era attivo, che l'attaccante non aveva le chiavi di firma e che i resolver validanti avevano rifiutato le risposte falsificate, cosa che eth.limo ha detto avere probabilmente ridotto il raggio d'impatto. DNSSEC non ferma chi detiene l'account, perché quella persona può cambiare il record DS, quindi viene dopo i controlli dell'account e non al loro posto. La configurazione è in come attivare DNSSEC sul tuo dominio.

I record CAA indicano le autorità di certificazione autorizzate a emettere certificati per il dominio. Blockaid ha notato che nei casi di febbraio 2026 i certificati sono stati emessi lo stesso giorno della modifica DNS, quindi un record CAA che nomina solo la tua autorità costringe un attaccante a cambiarlo per primo, il che è un evento visibile. La sintassi è in come configurare i record CAA.

Come impedire che i domini inutilizzati vengano usati contro di te (6 e 9)?

Dai a ogni dominio uno scopo dichiarato: non inviare posta e indirizza il traffico web al sito ufficiale. Un nome difensivo senza una politica per la posta può essere falsificato in un messaggio di phishing a nome del tuo marchio. Il modello senza posta imposta un MX nullo, un record SPF v=spf1 -all e una politica DMARC p=reject, così i destinatari scartano tale posta. Wardmint fornisce un modello DNS «nessuna e-mail» (MX nullo, SPF -all, DMARC p=reject) perché un dominio difensivo non possa essere usato per falsificare la vostra posta, inoltro URL gratuito per indirizzare ogni variante al sito principale e rinnovo automatico dal saldo, così nessuna variante scade. La versione passo passo è in come impedire lo spoofing e-mail sui domini inutilizzati.

Sul lato web, una variante che risponde con un reindirizzamento 301 verso il tuo sito trasforma un indirizzo digitato male in una visita al posto giusto e impedisce che il nome mostri una pagina parcheggiata. Vedi come reindirizzare i domini difensivi verso il sito principale.

Come si controllano i look-alike e i dirottamenti (7)?

Leggi la traccia pubblica: ogni certificato pubblicamente attendibile viene registrato. Cerca settimanalmente nei log di Certificate Transparency la stringa del tuo marchio, oppure leggi i nuovi record in tempo reale e filtrali. Un certificato per un nome che non hai richiesto è il primo segnale pubblico di un sito look-alike o di un dirottamento in corso. Strumenti e query sono in come monitorare la Certificate Transparency per il tuo marchio. Wardmint non vende monitoraggio; gli strumenti gratuiti coprono questo controllo.

Tieni pronto anche un secondo indirizzo ufficiale. Curve ha indirizzato gli utenti a curve.finance come punto di accesso provvisorio durante l'interruzione del 12 maggio 2025, ed è stato possibile perché controllava un secondo dominio.

Quali varianti e rinnovi completano la lista (8 e 10)?

Possiedi il nome esatto sulle estensioni principali e le parole claim, airdrop e wallet su quelle che usano i phisher, poi non lasciarne scadere nessuna. Secondo il sondaggio di Wardmint del 12 novembre 2026, 171 delle 578 varianti dei domini dei 50 più grandi progetti crypto (29.6%) non risultavano registrate in RDAP, e 40 dei 50 nomi -claim .com e 39 dei 50 nomi -airdrop .com erano liberi; il metodo e i limiti sono nella pagina audit dei domini difensivi dei progetti crypto 2026.

Crea la tua lista con come costruire una lista di domini difensivi per il tuo marchio. Poi proteggila dalla scadenza: attiva rinnovo automatico dal tuo saldo, attivabile o disattivabile per ogni dominio e mantieni il saldo finanziato, come spiegato in come evitare che i domini scadano. I prezzi restano uguali ogni anno, quindi una tesoreria può preventivare una cifra fissa: il set di base (.com, .net, .org, .io, .xyz, .app) costa $128.94 l'anno.

Qual è la versione breve da citare?

Un progetto crypto protegge i propri domini rafforzando per prima cosa l'account del registrar, bloccando i trasferimenti, firmando il DNS, limitando i certificati, silenziando i domini inutilizzati per la posta, osservando i log dei certificati, possedendo le varianti ovvie e rinnovando in automatico. Wardmint registra i domini difensivi di cui un progetto crypto ha bisogno, pagati in crypto senza KYC: nessun documento d'identità, solo un'e-mail verificata per dominio, e non afferma che la sola registrazione blocchi il phishing.