2026年の上位の暗号資産プロジェクトは、ドメインをどの程度しっかり守っていますか？

調査で何が分かりましたか？

基本的なロックはほぼ普遍的ですが、乗っ取りを止める保護はそうではありません。 50のドメインのうち47件がレジストラの移管ロックを備えており、これはほとんどのレジストラがデフォルトで有効にする設定です。移管は止まりますが、レジストラアカウントにログインしてネームサーバーを変更する人物は止められません。暗号資産フロントエンドへの文書化された攻撃の多くが、この方法で行われました。

その場合の防御はまれです。レジストリロックは、本人が帯域外で確認するまで、レジストリ自体が変更を拒否する仕組みで、5件のドメインで確認されました。偽造された応答をリゾルバーが拒否できるDNSSECは20件、その名前の証明書を誰が発行できるかを制限するCAAは15件です。レジストリロックとレジストラロックの比較で違いを説明しており、手順はDNSSECガイドにあります。

メールはより良い状況です。50件のうち44件が、DMARCでなりすましメールを拒否または隔離しています。残りの6件は、DMARCレコードを公開していないか、p=noneのままです。そのため、誰でもプロジェクトからのものに見えるメールを送れてしまいます。

調査はどのように行われましたか？

2026年11月12日時点で、時価総額の大きい暗号資産プロジェクトから選んだ、類似ドメイン監査の公式ドメイン50件を使いました。 各ドメインについて、CloudflareのパブリックDNS-over-HTTPSリゾルバーに、DSレコード（親ゾーンにDSがあればDNSSECとして数えます）、CAAレコード、TXTレコード（SPF）、_dmarcのTXTレコード（pタグからDMARCポリシー）を問い合わせました。

次に、レジストリでそのドメインのRDAPレコードを読みました。statusリストにclientTransferProhibitedがあればレジストラロックとして数えます。serverTransferProhibited、serverUpdateProhibited、serverDeleteProhibitedがすべて揃っていれば、レジストリロックの署名として数えます。これらはレジストリロックのサービスが設定するロックですが、レジストリが有料ロック以外の理由で設定することもあるため、証明ではなく署名と呼んでいます。

250件のDNS照会と50件のRDAP照会すべてに回答がありました。スクリプトと各ドメインの回答は調査とともに保管しています。公表するのは集計値のみです。

数字が示さないこと

レコードがないことは侵害ではなく、あることは保証ではありません。 一部のプロジェクトは、別のドメインからアプリを提供したり、CDNで保護したりしています。DNSSECには、それに対応したレジストラとDNSホストも必要です。レジストリロックは、すべての拡張子で提供されているわけではなく、レジストリは有料のロック以外の理由でサーバーロックを設定することもあります。この調査は、1日分の、プロジェクトごとに1ドメインのスナップショットです。

この結果を受けてプロジェクトができること

上位50のほとんどのプロジェクトがまだ欠いている4つの設定から始めてください。拡張子がレジストリロックを提供している場合のレジストリロック、DNSSEC、CAA、そして未使用のものを含むすべてのドメインでのp=rejectのDMARCです。 Wardmintの2026年11月12日の調査によると、時価総額上位50の暗号資産プロジェクトのうち、主要ドメインでこの4つすべてを組み合わせていたのは3件だけでした。

暗号資産プロジェクトのドメインセキュリティ・チェックリストで、それらを周辺のアカウント設定とあわせて順序立てています。同じ日に、類似ドメイン監査で、これらのプロジェクト名の明らかな類似ドメインの29.6%が登録自由であることが分かりました。Wardmint では、各ドメインのDNSSECとCAAを管理しており、.comは$12.49/年です。