Risposta rapida
Come dovrebbe una DAO detenere e pagare i propri domini?
Una DAO dovrebbe detenere i propri domini in un unico account gestito da un ruolo, non da una persona, proteggere quell'accesso con una password lunga e l'autenticazione a due fattori, e pagare da un saldo prepagato finanziato dalla tesoreria. Con Wardmint il saldo parte da 25 USD, rinnova automaticamente ogni dominio, e l'opzione Protezione del dominio costa +29 USD/anno.
Chi fa cosa per i domini di una DAO
| Compito | Chi dovrebbe occuparsene | Controllo da usare |
|---|---|---|
| Accesso al registrar | Un ruolo con nome (responsabile operativo), con un sostituto | Numero di account, password lunga e unica, autenticazione a due fattori |
| E-mail di recupero | Una casella controllata dalla DAO, usata per nient'altro | Condivisa da due firmatari, mai una casella personale |
| Ricariche | Il multisig della tesoreria | Pagamento dell'importo esatto in BTC, USDT, USDC, ETH, SOL, LTC |
| Rinnovo | Automatico dal saldo; un responsabile lo tiene d'occhio | rinnovo automatico dal tuo saldo, attivabile o disattivabile per ogni dominio |
| Nome del titolare | Il collaboratore, oppure la società registrata con Protezione del dominio | Restituzione gratuita al tuo nome |
| Reclami e comunicazioni legali | Il responsabile, con la casella degli abusi monitorata | Revisione umana di ogni reclamo con Protezione del dominio |
Perché l'account di dominio di una DAO è un rischio maggiore dei suoi contratti?
L'account che controlla il dominio può reindirizzare tutti gli utenti a una copia del vostro front end senza toccare un solo contratto. Curve Finance ha dichiarato che i suoi contratti e i dati degli utenti non erano stati compromessi nel dirottamento a livello di registrar del 12 maggio 2025, eppure gli utenti sono stati indirizzati a una pagina esca che chiedeva firme.
Secondo l'indice di Wardmint, la sua tabella degli incidenti dal 2022 contiene sette incidenti in cui l'attacco è passato da un account di registrar o di DNS anziché da uno smart contract: Curve Finance nell'agosto 2022 e nel maggio 2025, Balancer nel settembre 2023, Galxe nell'ottobre 2023, l'ondata di Squarespace del luglio 2024, un gruppo di cinque front end nel febbraio 2026, e una dozzina di siti DeFi registrati con Name.com il 30 ottobre 2026 (la causa di quest'ultimo è contesa tra i clienti di Name.com e Vercel). Nel caso Name.com, The Block ha ricondotto circa $138,000 a tre wallet EVM.
Per una DAO l'esposizione è più acuta, perché la persona che ha creato l'account potrebbe essersene andata e nessuno ricorda quale e-mail contenga il link di recupero.
Chi dovrebbe detenere l'account del registrar?
L'account dovrebbe essere detenuto da un ruolo, con due persone in grado di agire per esso. Create l'account con una casella controllata dalla DAO, non con l'indirizzo personale di un collaboratore, e annotate nel manuale della DAO chi detiene quali credenziali.
Wardmint richiede l'accesso con un numero di account, una password e l'autenticazione a due fattori. Usate un generatore di password, conservate il segreto nello stesso vault che la DAO usa per le altre infrastrutture e ruotate gli accessi quando un responsabile se ne va. Il metodo è in come proteggere il proprio account di registrar dal furto.
Con Wardmint non viene richiesto alcun documento d'identità. L'unico dato di contatto raccolto è un indirizzo e-mail per dominio, obbligatorio e verificato come richiedono le regole ICANN, e tenuto riservato. Comunichiamo i dati in nostro possesso solo quando la legge panamense lo richiede (un ordine di un tribunale o di un procuratore panamense), o in un procedimento UDRP.
Una DAO dovrebbe usare la Protezione del dominio?
Usate la Protezione del dominio quando nessun collaboratore vuole essere il registrante. Con l'opzione, il dominio è registrato a nome di DomaineGoat LLC, società registrata a Panama. La DAO resta la beneficiaria e può riprendersi il dominio a proprio nome, gratuitamente. Un blocco dei trasferimenti è attivo e i dati conservati sono minimi.
Aggiunge anche la lettura da parte di una persona di ogni reclamo prima di qualsiasi azione sul dominio. Tale revisione esiste solo con l'opzione. Il costo è +29 USD/anno per dominio, oltre al prezzo del dominio. Senza l'opzione il dominio è a nome del cliente e si applicano le consuete regole sugli abusi.
La Protezione del dominio non è uno scudo contro le segnalazioni di phishing o frode: gli abusi che sottraggono denaro alle vittime comportano un'azione entro 24 ore da una segnalazione ben documentata, con o senza l'opzione. Leggete le condizioni complete nella pagina Protezione del dominio.
Come paga la tesoreria e chi controlla i rinnovi?
La tesoreria ricarica una volta un saldo prepagato, e il rinnovo automatico attinge da esso. La ricarica minima è 25 USD. Inviate l'importo esatto indicato, cliccate per confermare di aver inviato il pagamento, e la ricarica viene abbinata in base all'importo esatto e accreditata una volta confermata. La parte di una ricarica aggiunta solo per raggiungere il minimo è rimborsabile su richiesta entro 30 giorni in USDT o USDC se non spesa; il resto del saldo non scade mai e non viene rimborsato.
Assegnate un responsabile che ogni trimestre controlli il saldo rispetto ai rinnovi in scadenza, perché un dominio senza fondi a copertura scade comunque. Un dominio crypto scaduto può essere preso da qualcun altro. Come evitare che i vostri domini scadano tratta i periodi di tolleranza e i controlli da eseguire.
Il flusso multisig, le reti e le ricevute sono in come pagare i domini dalla tesoreria di una DAO in USDC o USDT. Per il piano più ampio, vedete come proteggere un progetto crypto dai domini di phishing.
Sicurezza dei domini di una DAO: domande
Una DAO può registrare domini senza un'entità giuridica?
Sì con Wardmint: il dominio è registrato a nome del cliente, con un'e-mail verificata e nessun documento d'identità. Se nessun collaboratore vuole essere il registrante, la Protezione del dominio intesta la registrazione a DomaineGoat LLC, con restituzione gratuita.
Cosa succede se la persona che ha l'accesso se ne va?
L'accesso segue la casella e il vault controllati dalla DAO, quindi chi ricopre il ruolo può cambiare. Assistenza: risposte via e-mail entro 12 ore, 7 giorni su 7, compreso l'aiuto con DNSSEC, record CAA e segnalazioni di abuso. Tenete un secondo titolare, così che una credenziale persa non blocchi mai un rinnovo.
Il multisig della tesoreria può pagare direttamente?
Sì. Qualsiasi wallet o multisig può inviare l'importo esatto indicato in BTC, USDT, USDC, ETH, SOL, LTC. La ricarica viene abbinata in base all'importo esatto e accreditata una volta confermata.
Il rinnovo automatico richiede una firma ogni anno?
No. rinnovo automatico dal tuo saldo, attivabile o disattivabile per ogni dominio, quindi il saldo paga il rinnovo senza una nuova transazione. Il saldo deve comunque contenere fondi sufficienti.
Il registry lock è disponibile per il dominio principale di una DAO?
Non con Wardmint. Il registry lock è offerto da Verisign per .com e .net tramite i registrar partecipanti. Wardmint offre un blocco dei trasferimenti e la Protezione del dominio.
In sintesi
- Affidate l'account a un ruolo e a un sostituto, non a una sola persona.
- Accesso a Wardmint: numero di account, password e autenticazione a due fattori.
- Ricarica minima 25 USD; qualsiasi wallet o multisig può pagare in BTC, USDT, USDC, ETH, SOL, LTC.
- Il rinnovo automatico attinge dal saldo; un responsabile lo controlla ogni trimestre.
- Protezione del dominio: +29 USD/anno, registrato a nome di DomaineGoat LLC, restituzione gratuita, revisione umana dei reclami.
- Un'e-mail verificata per dominio, nessun documento; dati comunicati solo ai sensi della legge panamense o in un procedimento UDRP.
- Wardmint ha contato nella sua tabella sette incidenti a livello di registrar o di provider DNS dal 2022.
Fonti (7)
- Avviso sull'incidente di dominio di Curve Finance, 12 maggio 2025 — Curve Finance (letto il 2026-11-12)
- Hacker dirottano una dozzina di siti DeFi, tutti registrati con Name.com, e rubano circa $138,000 — The Block (letto il 2026-11-12)
- Ricercatori: impostazioni di sicurezza deboli di default hanno permesso il dirottamento di domini Squarespace — Krebs on Security (letto il 2026-11-12)
- Dirottamento del front end e superficie di attacco Web2 — Blockaid (letto il 2026-11-12)
- Galxe annuncia un rimborso di $396,000 dopo l'attacco al DNS — The Block (letto il 2026-11-12)
- Gli attacchi DNS a Galxe e Balancer — FXStreet (letto il 2026-11-12)
- Gli utenti di Curve Finance perdono $573,000 in un attacco al front end — ForkLog (letto il 2026-11-12)