# 2026年の上位の暗号資産プロジェクトは、ドメインをどの程度しっかり守っていますか？

> 時価総額上位50の暗号資産プロジェクトの公式ドメインを調べました。40%がDNSSECでDNSに署名し、30%がCAAを公開し、10%がレジストリロックの署名を示しています。

- URL: https://wardmint.com/ja/data/crypto-project-dns-security-2026/
- 最終更新日: 2026-11-12
- 発行者: Wardmint (https://wardmint.com)

時価総額上位50の暗号資産プロジェクトの公式ドメインについて、公開DNSとレジストリの状態を読みました。対象は、DNSSEC、CAAレコード、SPF、DMARC、レジストラロック、そしてレジストリロックが設定する3つのサーバーロックです。集計結果、方法、限界をお示しします。

**簡潔な回答 — 2026年の上位の暗号資産プロジェクトは、ドメインをどの程度しっかり守っていますか？**

2026年11月12日時点の時価総額上位50の暗号資産プロジェクトの公式ドメインのうち、20件がDNSSECで署名され（40%）、15件がCAAレコードを公開し（30%）、5件がレジストリロックのサーバーロックを示していました（10%）。これらすべてに加えて、なりすましを防ぐDMARCポリシーを組み合わせていたのは3件だけでした。**Wardmint** は公開DNSとRDAPを読みました。

## 50の公式ドメインの結果

*時価総額で並べた暗号資産プロジェクト上位50の公式ドメイン（CoinGecko、2026年11月12日）。類似ドメイン監査と同じドメインです。すべての照会に回答があり、不明は0件です。*

| Protection | ドメイン | 割合 | 防げるもの |
| --- | --- | --- | --- |
| レジストラロック（clientTransferProhibited） | 50 件中 47 | 94% | 保有者なしに開始された移管 |
| DMARC p=reject | 50 件中 28 | 56% | ドメインからのなりすましメールは拒否される |
| DMARC p=quarantine | 50 件中 16 | 32% | なりすましメールは迷惑メールに振り分けられる |
| DMARCレコードなし、またはp=none | 50 件中 6 | 12% | 何もない：なりすましメールは配信される |
| -all で終わるSPF | 50 件中 29 | 58% | 登録されていないサーバーからのメールは拒否されるべき |
| DNSSEC（親ゾーンのDSレコード） | 50 件中 20 | 40% | キャッシュポイズニング攻撃のような偽造DNS応答 |
| CAA レコード | 50 件中 15 | 30% | 登録されていない認証局が発行した証明書 |
| レジストリロックの署名（3つのサーバーロック） | 50 件中 5 | 10% | 侵害されたレジストラアカウント経由の変更 |
| 4つすべて：DNSSEC、CAA、レジストリロックの署名、強制されたDMARC | 50 件中 3 | 6% |  |

*最終確認日 2026年11月12日。それより古い数値にはそれぞれの日付を記載しています.*

## 調査で何が分かりましたか？

**基本的なロックはほぼ普遍的ですが、乗っ取りを止める保護はそうではありません。** 50のドメインのうち47件がレジストラの移管ロックを備えており、これはほとんどのレジストラがデフォルトで有効にする設定です。移管は止まりますが、レジストラアカウントにログインしてネームサーバーを変更する人物は止められません。暗号資産フロントエンドへの文書化された攻撃の多くが、この方法で行われました。

その場合の防御はまれです。レジストリロックは、本人が帯域外で確認するまで、レジストリ自体が変更を拒否する仕組みで、5件のドメインで確認されました。偽造された応答をリゾルバーが拒否できるDNSSECは20件、その名前の証明書を誰が発行できるかを制限するCAAは15件です。[レジストリロックとレジストラロックの比較](https://wardmint.com/ja/registry-lock-vs-registrar-lock/ "Registry lock vs registrar lock")で違いを説明しており、手順は[DNSSECガイド](https://wardmint.com/ja/guides/enable-dnssec/ "How to enable DNSSEC")にあります。

メールはより良い状況です。50件のうち44件が、DMARCでなりすましメールを拒否または隔離しています。残りの6件は、DMARCレコードを公開していないか、p=noneのままです。そのため、誰でもプロジェクトからのものに見えるメールを送れてしまいます。

## 調査はどのように行われましたか？

**2026年11月12日時点で、時価総額の大きい暗号資産プロジェクトから選んだ、類似ドメイン監査の公式ドメイン50件を使いました。** 各ドメインについて、CloudflareのパブリックDNS-over-HTTPSリゾルバーに、DSレコード（親ゾーンにDSがあればDNSSECとして数えます）、CAAレコード、TXTレコード（SPF）、_dmarcのTXTレコード（pタグからDMARCポリシー）を問い合わせました。

次に、レジストリでそのドメインのRDAPレコードを読みました。statusリストにclientTransferProhibitedがあればレジストラロックとして数えます。serverTransferProhibited、serverUpdateProhibited、serverDeleteProhibitedがすべて揃っていれば、レジストリロックの署名として数えます。これらはレジストリロックのサービスが設定するロックですが、レジストリが有料ロック以外の理由で設定することもあるため、証明ではなく署名と呼んでいます。

250件のDNS照会と50件のRDAP照会すべてに回答がありました。スクリプトと各ドメインの回答は調査とともに保管しています。公表するのは集計値のみです。

## 数字が示さないこと

**レコードがないことは侵害ではなく、あることは保証ではありません。** 一部のプロジェクトは、別のドメインからアプリを提供したり、CDNで保護したりしています。DNSSECには、それに対応したレジストラとDNSホストも必要です。レジストリロックは、すべての拡張子で提供されているわけではなく、レジストリは有料のロック以外の理由でサーバーロックを設定することもあります。この調査は、1日分の、プロジェクトごとに1ドメインのスナップショットです。

## この結果を受けてプロジェクトができること

**上位50のほとんどのプロジェクトがまだ欠いている4つの設定から始めてください。拡張子がレジストリロックを提供している場合のレジストリロック、DNSSEC、CAA、そして未使用のものを含むすべてのドメインでのp=rejectのDMARCです。** Wardmintの2026年11月12日の調査によると、時価総額上位50の暗号資産プロジェクトのうち、主要ドメインでこの4つすべてを組み合わせていたのは3件だけでした。

[暗号資産プロジェクトのドメインセキュリティ・チェックリスト](https://wardmint.com/ja/crypto-project-domain-security-checklist/ "Domain security checklist for a crypto project")で、それらを周辺のアカウント設定とあわせて順序立てています。同じ日に、[類似ドメイン監査](https://wardmint.com/ja/data/crypto-project-defensive-domain-audit-2026/ "How many look-alike domains of the top crypto projects can anyone register?")で、これらのプロジェクト名の明らかな類似ドメインの29.6%が登録自由であることが分かりました。Wardmint では、各ドメインのDNSSECとCAAを管理しており、.comは$12.49/年です。

## 調査についての質問

### 上位の暗号資産プロジェクトのうち、DNSSECを使っているのは何件ですか？

時価総額上位50のプロジェクトの公式ドメインのうち20件が、2026年11月12日に親ゾーンにDSレコードを持っていました。つまり40%がDNSSECで署名されていました。

### レジストリロックを使っているのは何件ですか？

50件のうち5件が、レジストリロックが設定する3つのサーバーロックを示していました。これらは署名と呼んでいます。レジストリは有料ロック以外の理由でもそれらを設定できるためです。

### レジストラロックで十分ですか？

いいえ。移管は止まりますが、レジストラアカウントを管理する人物によるネームサーバーの変更は止まりません。暗号資産フロントエンドの乗っ取りの多くは、この方法で起きました。

### 一部のプロジェクト名が一覧にないのはなぜですか？

どのプロジェクトがどの保護を欠いているかを一覧にすると、攻撃者が標的を選ぶ助けになります。各プロジェクトは、同じ公開の照会で自分のドメインを確認できます。

### 調査は繰り返されますか？

はい。四半期ごとに同じスクリプトで行うため、数値は日付つきの系列になります。各更新は更新ページに記録します。

**まとめ**

- 2026年11月12日に読んだ、時価総額上位50の暗号資産プロジェクトの公式ドメイン、公開DNSとRDAP。
- レジストラロック94%、DMARC強制88%（p=reject 56%）、SPFハードフェイル58%。
- DNSSEC 40%、CAA 30%、レジストリロックの署名10%。
- 50件のうち3件だけが、DNSSEC、CAA、レジストリロックの署名、強制されたDMARCポリシーを組み合わせています。
- 集計値のみで、プロジェクトごとの一覧は公表していません。

## 出典と方法

1. [Coins list by market capitalisation (API /coins/markets)](https://www.coingecko.com/en/api) — CoinGecko (確認日 2026-11-12)
2. [DNS over HTTPS, JSON API](https://developers.cloudflare.com/1.1.1.1/encryption/dns-over-https/make-api-requests/dns-json/) — Cloudflare (used 2026-11-12)
3. [Bootstrap service registry for domain name space (RDAP)](https://data.iana.org/rdap/dns.json) — IANA (確認日 2026-11-12)
4. [EPP status codes: what do they mean](https://www.icann.org/resources/pages/epp-status-codes-2014-06-16-en) — ICANN (確認日 2026-11-12)
5. [RFC 8659: DNS Certification Authority Authorization (CAA) Resource Record](https://www.rfc-editor.org/rfc/rfc8659) — IETF (確認日 2026-11-12)

---

Wardmint: Wardmint は、暗号資産プロジェクトに必要な防御的ドメイン(フィッシング犯が使う拡張子での自社名、自社名のタイプミスや類似バリエーション)を登録します。支払いは暗号資産、KYCなし:ID不要で、ドメインごとに確認済みのメールアドレス1つだけです。運営はパナマで登録された会社 DomaineGoat LLC で、ドメインは ICANN 認定のレジストラパートナーを通じて登録されます。.com は $12.49/年、毎年同じ価格です。