Quanto proteggono i loro domini i principali progetti crypto nel 2026?

Cosa ha rilevato lo studio?

Il blocco di base è quasi universale; le protezioni che fermano un dirottamento no. 47 dei 50 domini hanno un blocco del trasferimento del registrar, l'impostazione che la maggior parte dei registrar attiva di default. Blocca un trasferimento, ma non impedisce a chi accede all'account del registrar di cambiare i nameserver, che è il modo in cui è avvenuta la maggior parte degli attacchi documentati ai front end crypto.

Le difese per quel caso sono più rare. Il registry lock, che fa rifiutare le modifiche al registro stesso finché una persona non le conferma fuori banda, compare su 5 domini. DNSSEC, che permette ai resolver di rifiutare risposte falsificate, c'è su 20. CAA, che limita chi può emettere un certificato per il nome, c'è su 15. Il confronto tra registry lock e registrar lock spiega la differenza, e la guida a DNSSEC i passaggi.

La posta va meglio: 44 dei 50 rifiutano o mettono in quarantena la posta falsificata con DMARC. I 6 restanti non pubblicano alcun record DMARC o restano su p=none, quindi chiunque può ancora inviare posta che sembra provenire dal progetto.

Come è stato condotto lo studio?

Abbiamo usato i 50 domini ufficiali del nostro audit dei look-alike, scelti tra i progetti crypto più grandi per capitalizzazione di mercato il 12 novembre 2026. Per ogni dominio abbiamo chiesto al resolver DNS-over-HTTPS pubblico di Cloudflare il suo record DS (DNSSEC è conteggiato quando la zona padre ne contiene uno), i suoi record CAA, i suoi record TXT (SPF) e il record TXT su _dmarc (politica DMARC dal tag p).

Poi abbiamo letto il record RDAP del dominio presso il suo registro. Un blocco del registrar conta quando la lista degli stati contiene clientTransferProhibited. I segni di registry lock contano quando sono presenti insieme serverTransferProhibited, serverUpdateProhibited e serverDeleteProhibited: sono i blocchi che impostano i servizi di registry lock, anche se un registro può impostarli per altri motivi, quindi li chiamiamo segni, non prove.

Tutte le 250 ricerche DNS e le 50 ricerche RDAP hanno ottenuto risposta. Lo script e le risposte per dominio sono conservati con lo studio; pubblichiamo solo i totali.

Cosa non dicono i numeri

Un record mancante non è una violazione, e uno presente non è una garanzia. Alcuni progetti servono l'app da un altro dominio o la proteggono presso il CDN; DNSSEC richiede anche un registrar e un host DNS che lo supportino. Il registry lock non è offerto per ogni estensione, e un registro può applicare blocchi server per motivi diversi da un blocco a pagamento. Lo studio è una fotografia di un giorno e di un dominio per progetto.

Cosa può fare un progetto con questi risultati

Inizia dalle quattro impostazioni che la maggior parte dei progetti nella top 50 ancora non ha: registry lock dove l'estensione lo offre, DNSSEC, CAA e DMARC p=reject su ogni dominio, compresi quelli inutilizzati. Secondo il sondaggio di Wardmint del 12 novembre 2026, solo 3 dei 50 progetti crypto più grandi ne combinano tutte e quattro sul dominio principale.

La nostra checklist di sicurezza dei domini per progetti crypto le mette in ordine insieme alle impostazioni dell'account intorno. Lo stesso giorno, il nostro audit dei domini look-alike ha trovato il 29.6% delle varianti ovvie dei nomi di questi progetti libere da registrare. Su Wardmint, DNSSEC e CAA sono gestiti per ogni dominio e un .com costa 12,49 USD/anno.