Quante varianti ingannevoli dei domini dei maggiori progetti crypto può registrare chiunque?

Cosa ha trovato l'audit?

La maggior parte dei grandi progetti detiene il proprio nome sulle estensioni principali, e quasi nessuno detiene i nomi che un phisher userebbe davvero. Dei 315 controlli "stesso nome, altra estensione", solo 25 erano liberi: le versioni .com, .net, .org, .io e .app di un progetto nella top 50 sono quasi sempre occupate, dal progetto o da qualcun altro. L'estensione .finance è l'eccezione, con 14 su 48 ancora libere.

Il quadro cambia con i nomi costruiti per ingannare. Metà degli scambi di due lettere in .com era libera, e così 16 delle 44 varianti con un carattere sostituito da una cifra. I nomi marchio più parola erano i più aperti: 26 dei 50 nomi "-wallet", 39 dei 50 "-airdrop" e 40 dei 50 "-claim" non avevano alcun titolare. Sono gli schemi dei falsi siti di airdrop e di reclamo descritti nella nostra guida ai domini di phishing per airdrop falsi.

Per progetto, la mediana era di 3 varianti libere su 9-13 controllate. 33 dei 50 progetti ne avevano tre o più libere, e solo 2 nessuna.

Come è stato svolto l'audit?

Abbiamo classificato i progetti per capitalizzazione di mercato su CoinGecko il 12 novembre 2026 e preso il sito ufficiale di ciascun progetto dall'elenco di CoinPaprika, o da quello di CoinGecko per i primi 13 progetti, letto prima che il limite di richieste rallentasse le interrogazioni. Fondi, titoli tokenizzati, token oro e voci duplicate dello stesso sito web sono stati esclusi, il che lascia 50 progetti distinti. Il dominio controllato è quello indicato dalla fonte dei dati; per alcuni token è il sito dell'emittente, come circle.com per USDC o paypal.com per PayPal USD.

Per ogni dominio abbiamo costruito un insieme fisso di varianti: lo stesso nome su sei o sette altre estensioni; in .com, una lettera eliminata e due lettere adiacenti scambiate al centro del nome (nomi di cinque lettere o più); la prima sostituzione simile disponibile (o con 0, l con 1, i con l, e con 3, a con 4); e il nome seguito da -wallet, -airdrop e -claim.

Ogni variante è stata inviata al server RDAP del suo registro, individuato tramite il file IANA bootstrap; .io, assente da quel file quel giorno, è stato inviato al suo operatore Identity Digital. Una risposta HTTP 200 conta come registrato e un 404 come libero. Tutte le 578 interrogazioni hanno ricevuto una delle due risposte. Lo script e le risposte grezze sono conservati con lo studio, e la pagina sui tipi di domini simili spiega ciascuno schema.

Cosa non dicono i numeri

Una variante registrata non è la prova di una minaccia, e una libera non è una violazione. RDAP nasconde il titolare della maggior parte dei nomi, quindi una variante occupata può appartenere al progetto stesso, a un rivenditore o a un investitore di domini; non abbiamo cercato di scoprirlo e non pubblichiamo risultati per singolo progetto. Un nome libero significa solo che chiunque, anche un phisher, potrebbe registrarlo quel giorno.

L'insieme di varianti è volutamente piccolo: un elenco difensivo reale copre anche più refusi, più parole e le estensioni più usate per il phishing. È inoltre uno scatto istantaneo. I nomi vengono registrati e rilasciati ogni giorno, quindi lo stesso controllo ripetuto il mese prossimo darà cifre diverse.

Cosa può fare un progetto con questi risultati

Cominci dai nomi che l'audit ha trovato più aperti: il suo nome con -claim, -airdrop e -wallet, poi gli scambi di due lettere e i simili con cifre in .com. Su Wardmint, ciascuno di quei nomi .com costa 12,49 USD/anno, quindi i cinque o sei nomi a cui un phisher ricorrerebbe per primo costano ben meno di 100 $ l'anno.

Secondo l'indagine di Wardmint del 12 novembre 2026, 105 dei 150 nomi .com marchio più parola dei 50 maggiori progetti crypto erano liberi per la registrazione, contro 25 dei 315 nomi con lo stesso nome su altre estensioni. È qui che un elenco difensivo aggiunge di più. La nostra guida su quali domini deve registrare un progetto crypto classifica il resto, e le statistiche sul phishing per il 2026 mostrano a cosa servono questi nomi una volta in mano a un criminale.

Registri solo varianti del proprio nome: Wardmint rifiuta i simili di un marchio che non possiede.

Quali progetti sono stati controllati?

Bitcoin, Ethereum, Tether, BNB, USDC, XRP, Solana, TRON, Hyperliquid, Zcash, Monero, Dogecoin, USDS, LEO Token, WhiteBIT Coin, Chainlink, Cardano, Stellar, Ethena USDe, Bitcoin Cash, Dai, NEAR Protocol, Litecoin, Avalanche, Uniswap, Gram (già Toncoin), Canton, Sui, USD1, Hedera, Rain, Global Dollar, PayPal USD, Shiba Inu, Cronos, Bittensor, Quant, Ondo US Dollar Yield, OKB, Pepe, Falcon USD, MemeCore, Aave, Ondo, Aster, United Stables, Pump.fun, Bitway, USDD e Polkadot, in ordine di capitalizzazione di mercato al 12 novembre 2026.

Pubblichiamo solo i totali. Indicare quale progetto lascia quale nome aperto darebbe a un phisher una lista della spesa.