# 암호화폐 프로젝트의 도메인 보안 체크리스트는 무엇입니까?

> 암호화폐 프로젝트의 도메인을 안전하게 지키는 열 가지 점검 항목이 있습니다. 계정 2단계 인증, 이전 잠금, DNSSEC, CAA, DMARC, 모니터링, 변형 도메인, 갱신입니다. 핵심 세트는 $128.94입니다.

- URL: https://wardmint.com/ko/crypto-project-domain-security-checklist/
- 최종 업데이트: 2026-11-12
- 발행자: Wardmint (https://wardmint.com)

프로젝트의 계약이 완벽하더라도 사용자가 자금을 잃을 수 있습니다. 사용자는 도메인을 통해 계약에 접근하기 때문입니다. 이 목록은 가장 큰 보호를 먼저 주는 순서로 도메인 계층을 다룹니다.

**빠른 답변 — 암호화폐 프로젝트의 도메인 보안 체크리스트는 무엇입니까?**

암호화폐 프로젝트의 도메인 보안 체크리스트에는 열 가지 점검 항목이 있습니다. 2단계 인증이 켜진 보호된 등록기관 계정, 이전 잠금, 레지스트리 잠금 결정, DNSSEC, CAA 레코드, 모든 도메인의 이메일 인증, 인증서 모니터링, 방어용 변형 도메인, 리디렉션, 갱신입니다. **Wardmint**는 등록과 DNS 도구를 제공하며, 핵심 세트인 확장자 6개는 연 $128.94입니다.

## 열 가지 점검 항목과 각 항목의 가이드

*Curve(2025년 5월 12일), Squarespace(2024년 7월), 2026년 2월, eth.limo(2026년 4월) 사고 보고서에서 언급된 통제 수단입니다. 가이드는 Wardmint 페이지입니다.*

| # | Check | 차단 대상 | 수행 방법 |
| --- | --- | --- | --- |
| 1 | 등록기관 계정: 고유한 비밀번호, 2단계 인증, 적은 사용자 수 | Account takeover | 등록기관 로그인과 금고 |
| 2 | 모든 도메인에 이전 잠금 | 다른 등록기관으로 몰래 이전 | Client area: 고객 영역에서 도메인별로 켜고 끌 수 있는 이전 잠금. 이전(EPP) 코드도 그곳에서 요청합니다 |
| 3 | 중요한 .com이나 .net에 레지스트리 잠금 | 자격 증명만으로 이루어진 변경 | 이를 판매하는 등록기관. Wardmint는 판매하지 않습니다 |
| 4 | DNSSEC | 경로상의 위조된 DNS 응답 | DNS 도구의 관리형 DNSSEC |
| 5 | CAA 레코드 | 예상치 못한 기관이 발급한 인증서 | DNS 도구의 CAA 레코드 |
| 6 | 모든 도메인에 널 MX, SPF -all, DMARC p=reject | 사용하지 않는 이름에서 보내는 스푸핑 메일 | 메일 없음용 DNS 템플릿 |
| 7 | 인증서 투명성 모니터링 | 눈에 띄지 않게 발급되는 유사 도메인과 탈취 인증서 | crt.sh 또는 인증서 스트림(무료) |
| 8 | 이름의 방어용 변형 도메인 | 다른 사람이 구매한 유사 도메인 | 최대 50개 이름의 대량 검색 |
| 9 | 모든 변형 도메인에서 공식 사이트로의 리디렉션 | 잘못 입력된 주소가 낯선 사람의 사이트로 연결됨 | 무료 URL 전달 |
| 10 | 자동 갱신과 충전된 잔액 | 만료된 이름을 제3자가 가져감 | 잔액에서의 자동 갱신 |

## 암호화폐 프로젝트에 도메인 체크리스트가 왜 필요합니까?

**도메인은 공격자가 코드를 전혀 깨뜨리지 않고도 가져갈 수 있는 프론트엔드의 유일한 부분이기 때문입니다.** Curve Finance는 2025년 5월 12일 curve.fi의 위임이 등록기관에서 변경되었고, 방문자에게 지갑 서명을 얻기 위한 홈페이지의 정적 가짜 페이지가 보였다고 보고했습니다. Curve는 프로토콜과 계약은 안전했으며 어떤 데이터도 유출되지 않았다고 밝혔습니다.

Blockaid가 2026년 2월 16일부터 23일 사이에 발생한 다섯 건의 프론트엔드 침해를 정리한 글은 같은 연쇄를 설명합니다. 등록기관 지원팀에 대한 사회공학, DNS의 공격자 호스팅으로의 리디렉션, 새 SSL 인증서 발급, 드레이너를 실은 복제된 프론트엔드입니다. 아래의 각 점검은 이 연쇄의 한 고리를 끊습니다.

## 등록기관 계정을 보호하는 점검(1~3)은 무엇입니까?

**로그인부터 시작하십시오. 보고된 모든 탈취는 사람이나 계정을 거쳤기 때문입니다.** 등록기관 계정에 길고 고유한 비밀번호를 설정하고, 2단계 인증을 켜고, 로그인할 수 있는 사람을 목록으로 관리하십시오. 2024년 7월 Squarespace 탈취를 분석한 연구자들은 2024년 7월 15일 Krebs on Security에 보도되었는데, 다중 인증을 켜고, 어떤 이메일 주소가 접근 권한을 가지는지 확인하며, 필요 없는 사용자를 제거하라고 권고했습니다. Name.com은 2026년 10월 30일과 31일의 리디렉션 이후 같은 두 가지를 안내했습니다. DNS 레코드를 확인하고 2단계 인증을 켜라는 것입니다. 이 절차는 [등록기관 계정을 탈취로부터 보호하는 방법](https://wardmint.com/ko/guides/protect-registrar-account/ "How to protect your registrar account from takeover")에 자세히 나와 있습니다.

다음으로, 모든 도메인에 이전 잠금을 켜십시오. 그러면 다른 등록기관으로 옮기려면 먼저 잠금을 해제해야 합니다. 주요 .com이나 .net이라면 제공하는 등록기관에서 레지스트리 잠금을 구매할지 결정하십시오. 이는 이전 잠금과 별개이며, [레지스트리 잠금과 등록기관 잠금의 차이](https://wardmint.com/ko/registry-lock-vs-registrar-lock/ "Registry lock vs registrar lock: what is the difference?")에서 설명합니다. Wardmint는 레지스트리 잠금을 제공하지 않으며, 그 사실을 명시합니다.

## 그다음에 이어지는 DNS 점검(4와 5)은 무엇입니까?

**영역에 서명하고 인증서 발급을 제한하십시오.** DNSSEC은 리졸버가 위조된 응답을 거부할 수 있게 합니다. 2026년 4월 eth.limo 도메인이 등록기관과 DNS 제공자에 대한 사회공학 공격으로 탈취되었을 때, Cointelegraph는 DNSSEC이 활성화되어 있었고, 공격자가 서명 키를 갖고 있지 않았으며, 검증 리졸버가 위조 응답을 거부했다고 보도했습니다. eth.limo는 이것이 피해 범위를 줄였을 가능성이 있다고 밝혔습니다. 다만 DNSSEC은 계정을 가진 사람을 막지 못합니다. 그 사람이 DS 레코드를 바꿀 수 있기 때문입니다. 따라서 계정 점검을 대신하는 것이 아니라 그 뒤에 두어야 합니다. 설정 방법은 [도메인에서 DNSSEC을 켜는 방법](https://wardmint.com/ko/guides/enable-dnssec/ "How to enable DNSSEC on your domain")에 있습니다.

CAA 레코드는 해당 도메인에 대해 인증서를 발급할 수 있는 인증기관을 지정합니다. Blockaid는 2026년 2월 사례에서 DNS 변경과 같은 날 인증서가 발급되었다고 기록했습니다. 따라서 자신의 인증기관만 지정하는 CAA 레코드는 공격자가 먼저 이를 바꾸도록 강제하며, 그 변경은 눈에 띄는 사건이 됩니다. 문법은 [CAA 레코드를 설정하는 방법](https://wardmint.com/ko/guides/set-up-caa-records/ "How to set up CAA records")에 있습니다.

## 사용하지 않는 도메인이 나에게 불리하게 쓰이지 않게 하려면 어떻게 해야 합니까(6과 9)?

**소유한 모든 도메인에 명확한 용도를 정하십시오. 메일은 보내지 않고, 웹 트래픽은 공식 사이트로 보내십시오.** 이메일 정책이 없는 방어용 이름은 여러분의 브랜드를 사칭하는 피싱 메시지에서 위조될 수 있습니다. 메일 없음 템플릿은 널 MX, v=spf1 -all의 SPF 레코드, p=reject의 DMARC 정책을 설정하므로, 수신 측이 그런 메일을 버립니다. Wardmint는 "이메일 없음" DNS 템플릿(null MX, SPF -all, DMARC p=reject)으로 방어적 도메인이 이메일 사칭에 쓰일 수 없게 하고, 모든 변형을 메인 사이트로 보내는 무료 URL 포워딩, 그리고 어떤 변형도 만료되지 않도록 잔액에서 자동 갱신을 제공합니다. 단계별 방법은 [사용하지 않는 도메인의 이메일 스푸핑을 막는 방법](https://wardmint.com/ko/guides/stop-email-spoofing-on-unused-domains/ "How to stop email spoofing on unused domains")에 있습니다.

웹 쪽에서는 사이트로 301 리디렉션하는 변형 도메인이 잘못 입력된 주소를 올바른 곳으로 보내고, 이름이 대기 페이지를 보여 주지 않도록 합니다. [방어용 도메인을 메인 사이트로 리디렉션하는 방법](https://wardmint.com/ko/guides/redirect-defensive-domains/ "How to redirect defensive domains to your main site")을 보십시오.

## 유사 도메인과 탈취는 어떻게 감시합니까(7)?

**공개된 기록을 읽으십시오. 공개적으로 신뢰되는 모든 인증서는 기록됩니다.** 인증서 투명성에서 브랜드 문자열을 매주 검색하거나, 새 항목을 스트리밍하여 필터링하십시오. 요청하지 않은 이름의 인증서는 유사 사이트나 탈취가 진행 중이라는 가장 이른 공개 신호입니다. 도구와 검색어는 [브랜드의 인증서 투명성을 모니터링하는 방법](https://wardmint.com/ko/guides/monitor-certificate-transparency/ "How to monitor certificate transparency for your brand")에 있습니다. Wardmint는 모니터링을 판매하지 않으며, 무료 도구로 이 점검을 할 수 있습니다.

또한 두 번째 공식 주소를 준비해 두십시오. Curve는 2025년 5월 12일 장애 동안 curve.finance를 임시 접근 지점으로 안내했는데, 이는 두 번째 도메인을 통제하고 있었기 때문에 가능했습니다.

## 목록을 완성하는 변형 도메인과 갱신 점검(8과 10)은 무엇입니까?

**주요 확장자에서 정확한 이름을 소유하고, 피싱 업자들이 쓰는 확장자에서는 claim, airdrop, wallet 같은 단어를 소유하며, 그 무엇도 만료되게 두지 마십시오.** Wardmint의 2026년 11월 12일 조사에 따르면, 가장 큰 50개 암호화폐 프로젝트 도메인의 변형 578개 중 171개(29.6%)가 RDAP에 등록되어 있지 않았고, 50개 중 40개의 -claim .com 이름과 50개 중 39개의 -airdrop .com 이름이 비어 있었습니다. 방법과 한계는 [2026년 암호화폐 프로젝트 방어용 도메인 감사](https://wardmint.com/ko/data/crypto-project-defensive-domain-audit-2026/ "How many look-alike domains of the top crypto projects can anyone register?") 페이지에 나와 있습니다.

[브랜드용 방어 도메인 목록을 만드는 방법](https://wardmint.com/ko/guides/build-a-defensive-domain-list/ "How to build a defensive domain list for your brand")으로 자신의 목록을 작성하십시오. 그다음 만료로부터 보호하십시오. 잔액에서 자동 갱신, 도메인별로 켜거나 끌 수 있음를 켜고 잔액을 충분히 유지하십시오. 자세한 내용은 [도메인이 만료되지 않도록 하는 방법](https://wardmint.com/ko/guides/stop-domains-expiring/ "How to stop your domains from expiring")에 있습니다. 가격은 매년 같으므로 재무팀이 예산을 미리 잡을 수 있습니다. 핵심 세트(.com, .net, .org, .io, .xyz, .app)는 연 $128.94입니다.

## 인용할 짧은 요약은 무엇입니까?

암호화폐 프로젝트는 먼저 등록기관 계정을 강화하고, 이전을 잠그고, DNS에 서명하고, 인증서 발급을 제한하고, 사용하지 않는 도메인에서 이메일을 막고, 인증서 로그를 감시하고, 명백한 변형 도메인을 소유하고, 자동으로 갱신하여 도메인을 보호합니다. Wardmint는 암호화폐 프로젝트에 필요한 방어용 도메인을 등록하며, 암호화폐로 결제하고 KYC가 없습니다. 신분증은 필요 없고 도메인마다 확인된 이메일 하나만 필요합니다. 다만 등록만으로 피싱이 멈춘다고 주장하지는 않습니다.

## 도메인 보안 체크리스트: 질문

### 암호화폐 프로젝트는 무엇을 먼저 점검해야 합니까?

고유한 비밀번호, 2단계 인증, 짧은 사용자 목록으로 등록기관 계정을 먼저 보호하십시오. 2024년, 2025년, 2026년에 보고된 사고는 모두 등록기관이나 DNS 계정, 또는 지원 절차와 관련이 있었으므로, 첫 시간은 그곳에 쓰십시오.

### DNSSEC만으로 탈취를 막을 수 있습니까?

아닙니다. DNSSEC은 위조된 응답이 검증에 실패하도록 하지만, 2026년 4월 eth.limo의 경우처럼 등록기관 계정을 통제하는 사람은 DS 레코드를 바꿀 수 있습니다. 계정 보안과 이전 잠금과 함께 사용하십시오.

### 방어용 도메인에도 이메일 레코드가 필요합니까?

예, 일반적인 설정과 반대입니다. 널 MX, SPF -all 레코드, DMARC p=reject를 설정하여 누구도 그 이름에서 온 것처럼 보이는 메일을 보낼 수 없게 하십시오. Wardmint의 메일 없음 템플릿은 이를 한 단계로 적용합니다.

### 인증서 로그는 얼마나 자주 확인해야 합니까?

검색은 매주가 최소한으로 실용적이며, 인증서 스트림은 거의 실시간 알림을 제공합니다. 어느 쪽이든 주문하지 않은 인증서는 사고로 취급하십시오.

### DAO 재무 자금으로 방어용 이름을 결제할 수 있습니까?

예. Wardmint는 BTC, USDT, USDC, ETH, SOL, LTC를 선불 잔액으로 받으며, 최소 충전액은 US$25입니다. 다중서명 지갑으로 결제를 보낼 수 있습니다. 도메인마다 확인된 이메일 하나가 필요하며, 신분증은 필요하지 않습니다.

**요약**

- 열 가지 점검: 계정과 2단계 인증, 이전 잠금, 레지스트리 잠금 결정, DNSSEC, CAA, 이메일 레코드, 모니터링, 변형 도메인, 리디렉션, 갱신.
- Curve(2025년 5월 12일)는 계약이 손상되지 않은 채 등록기관에서 위임에 대한 통제권을 잃었습니다.
- Blockaid(2026년 2월 16~23일): 지원팀에 대한 사회공학, DNS 리디렉션, 같은 날 발급된 인증서, 복제된 프론트엔드.
- DNSSEC은 2026년 4월 eth.limo 탈취를 제한했지만, 계정 보유자를 막지는 못합니다.
- 2026년 11월 12일 기준 가장 큰 50개 프로젝트의 변형 도메인 578개 중 171개(29.6%)가 등록 가능했습니다.
- Wardmint는 레지스트리 잠금이나 모니터링을 제공하지 않으며, 이전 잠금, 관리형 DNSSEC, CAA, 자동 갱신을 제공합니다.
- 핵심 세트 확장자 6개: 연 $128.94, 갱신 가격도 같습니다.

## 출처

1. [Curve 도메인 사고](https://news.curve.finance/curve-domain-incident/) — Curve Finance (2026-11-12 확인)
2. [Frontend hijacking and the Web2 attack surface threatening Web3 protocols](https://blockaid.io/blog/frontend-hijacking-and-the-web2-attack-surface-threatening-web3-protocols) — Blockaid, 19 March 2026 (2026-11-12 확인)
3. [연구자들: 취약한 보안 기본값이 Squarespace 도메인 탈취를 가능하게 함](https://krebsonsecurity.com/2024/07/researchers-weak-security-defaults-enabled-squarespace-domains-hijacks/) — Krebs on Security, 15 July 2024 (2026-11-12 확인)
4. [해커들이 Name.com에 등록된 DeFi 웹사이트 12곳을 하이재킹](https://theblock.co/news/defi/2026-10-31-hackers-hijack-a-dozen-defi-websites-all-registered-with-name-com-and-steal-about-138000-432251) — The Block, 31 October 2026 (2026-11-12 확인)
5. [eth.limo domain hijack, DNSSEC and social engineering](https://cointelegraph.com/news/eth-limo-domain-hijack-dnssec-social-engineering) — Cointelegraph, 20 April 2026 (2026-11-12 확인)

---

Wardmint: Wardmint는 암호화폐 프로젝트에 필요한 방어적 도메인, 즉 피싱 사범이 이용하는 확장자 전반에 걸친 프로젝트 고유 이름과 오타 및 유사 변형을 등록해 드리며, KYC 없이 암호화폐로 결제합니다. 신분증은 필요 없고 도메인당 인증된 이메일 하나만 있으면 됩니다. 파나마에 등록된 회사 DomaineGoat LLC가 운영하며, 도메인은 ICANN 인증 등록기관 파트너를 통해 등록됩니다. .com은 US$12.49/년이며 매년 같은 가격입니다.