# 2026년 상위 암호화폐 프로젝트는 도메인을 얼마나 잘 보호합니까?

> 가장 큰 암호화폐 프로젝트 50곳의 공식 도메인을 조사했습니다. 40%가 DNSSEC으로 DNS에 서명하고, 30%가 CAA를 게시하며, 10%는 레지스트리 잠금 서명을 보였습니다.

- URL: https://wardmint.com/ko/data/crypto-project-dns-security-2026/
- 최종 업데이트: 2026-11-12
- 발행자: Wardmint (https://wardmint.com)

가장 큰 암호화폐 프로젝트 50곳의 공식 도메인에 대해 공개 DNS와 레지스트리 상태를 조회했습니다. DNSSEC, CAA 레코드, SPF, DMARC, 등록기관 잠금, 그리고 레지스트리 잠금이 설정하는 세 가지 서버 잠금을 확인했습니다. 집계 결과, 방법, 한계를 정리했습니다.

**빠른 답변 — 2026년 상위 암호화폐 프로젝트는 도메인을 얼마나 잘 보호합니까?**

2026년 11월 12일 기준 가장 큰 암호화폐 프로젝트 50곳의 공식 도메인 중 20곳이 DNSSEC으로 서명되어 있었고(40%), 15곳이 CAA 레코드를 게시했으며(30%), 5곳이 레지스트리 잠금의 서버 잠금을 보였습니다(10%). 이 모든 것과 스푸핑을 막는 DMARC 정책을 함께 갖춘 곳은 3곳뿐이었습니다. **Wardmint**는 공개 DNS와 RDAP를 조회했습니다.

## 50개 공식 도메인의 결과

*시가총액 기준 가장 큰 암호화폐 프로젝트 50곳의 공식 도메인(CoinGecko, 2026년 11월 12일). 우리 유사 도메인 감사와 같은 도메인입니다. 모든 조회에 응답이 있었습니다(미확인 0).*

| Protection | 도메인 | 비율 | 막는 것 |
| --- | --- | --- | --- |
| 등록기관 잠금(clientTransferProhibited) | 50개 중 47 | 94% | 보유자 모르게 시작된 이전 |
| DMARC p=reject | 50개 중 28 | 56% | 도메인에서 온 스푸핑 메일은 거부됩니다 |
| DMARC p=quarantine | 50개 중 16 | 32% | 스푸핑 메일은 스팸함으로 갑니다 |
| DMARC 레코드 없음 또는 p=none | 50개 중 6 | 12% | 아무것도 없습니다. 스푸핑 메일이 그대로 전달됩니다 |
| -all로 끝나는 SPF | 50개 중 29 | 58% | 등록되지 않은 서버에서 온 메일은 거부되어야 합니다 |
| DNSSEC(상위 영역의 DS 레코드) | 50개 중 20 | 40% | 캐시 중독 공격에서처럼 위조된 DNS 응답 |
| CAA 레코드 | 50개 중 15 | 30% | 등록되지 않은 기관이 발급한 인증서 |
| 레지스트리 잠금 서명(서버 잠금 세 가지) | 50개 중 5 | 10% | 침해된 등록기관 계정을 통한 변경 |
| 네 가지 모두: DNSSEC, CAA, 레지스트리 잠금 서명, 강제된 DMARC | 50개 중 3 | 6% |  |

*2026년 11월 12일에 마지막 확인; 오래된 수치는 자체 날짜를 표시합니다.*

## 조사 결과는 무엇입니까?

**기본 잠금은 거의 모든 곳에 있지만, 탈취를 막는 보호 장치는 그렇지 않습니다.** 50개 도메인 중 47개에 등록기관 이전 잠금이 있으며, 이는 대부분의 등록기관이 기본으로 켜 두는 설정입니다. 이 잠금은 이전을 막지만, 등록기관 계정에 로그인해서 네임서버를 바꾸는 사람은 막지 못합니다. 문서화된 암호화폐 프론트엔드 공격 대부분이 이 방식이었습니다.

그 경우에 대한 방어 수단은 드뭅니다. 레지스트리 잠금은 레지스트리 자체가 사람이 대역 외로 확인하기 전까지 변경을 거부하게 하는데, 5개 도메인에서 나타났습니다. DNSSEC은 리졸버가 위조된 응답을 거부할 수 있게 하며, 20개 도메인에 있습니다. CAA는 해당 이름에 대해 누가 인증서를 발급할 수 있는지 제한하며, 15개 도메인에 있습니다. [레지스트리 잠금과 등록기관 잠금의 비교](https://wardmint.com/ko/registry-lock-vs-registrar-lock/ "Registry lock vs registrar lock")는 차이를 설명하고, [DNSSEC 가이드](https://wardmint.com/ko/guides/enable-dnssec/ "How to enable DNSSEC")는 단계를 설명합니다.

이메일 상황은 더 낫습니다. 50개 중 44개가 DMARC로 스푸핑 메일을 거부하거나 격리합니다. 나머지 6개는 DMARC 레코드가 없거나 p=none에 머물러, 누구든 프로젝트에서 온 것처럼 보이는 메일을 여전히 보낼 수 있습니다.

## 조사는 어떻게 진행했습니까?

**유사 도메인 감사의 공식 도메인 50개를 사용했으며, 이는 2026년 11월 12일 시가총액 기준으로 가장 큰 암호화폐 프로젝트에서 선정했습니다.** 각 도메인에 대해 Cloudflare의 공개 DNS-over-HTTPS 리졸버에 DS 레코드(상위 영역에 있으면 DNSSEC으로 집계), CAA 레코드, SPF용 TXT 레코드, _dmarc의 TXT 레코드(p 태그의 DMARC 정책)를 요청했습니다.

그다음 각 도메인의 레지스트리에서 RDAP 레코드를 읽었습니다. 상태 목록에 clientTransferProhibited가 있으면 등록기관 잠금으로 집계했습니다. serverTransferProhibited, serverUpdateProhibited, serverDeleteProhibited가 함께 있으면 레지스트리 잠금 서명으로 집계했습니다. 이는 레지스트리 잠금 서비스가 설정하는 잠금이지만, 레지스트리는 유료 잠금이 아닌 다른 이유로도 설정할 수 있으므로 증거가 아니라 서명이라고 부릅니다.

DNS 조회 250건과 RDAP 조회 50건에 모두 응답이 있었습니다. 스크립트와 도메인별 응답은 조사와 함께 보관하며, 우리는 합계만 게시합니다.

## 수치가 말하지 않는 것

**레코드가 없다고 해서 침해라는 뜻은 아니며, 레코드가 있다고 해서 보장되는 것도 아닙니다.** 일부 프로젝트는 앱을 다른 도메인에서 제공하거나 CDN에서 보호합니다. DNSSEC은 이를 지원하는 등록기관과 DNS 호스트도 필요합니다. 레지스트리 잠금은 모든 확장자에서 제공되지 않으며, 레지스트리는 유료 잠금이 아닌 이유로도 서버 잠금을 적용할 수 있습니다. 이 조사는 하루 동안의 스냅샷이며, 프로젝트당 도메인 하나만 보았습니다.

## 프로젝트가 이 결과로 할 수 있는 일

**상위 50개 프로젝트 대부분에 아직 없는 네 가지 설정부터 시작하십시오. 확장자가 제공하는 곳에서는 레지스트리 잠금, DNSSEC, CAA, 그리고 사용하지 않는 도메인을 포함한 모든 도메인의 DMARC p=reject입니다.** Wardmint의 2026년 11월 12일 조사에 따르면, 가장 큰 암호화폐 프로젝트 50곳 중 주 도메인에서 네 가지를 모두 갖춘 곳은 3곳뿐이었습니다.

우리의 [암호화폐 프로젝트용 도메인 보안 체크리스트](https://wardmint.com/ko/crypto-project-domain-security-checklist/ "Domain security checklist for a crypto project")는 이를 주변 계정 설정과 함께 우선순위대로 정리합니다. 같은 날 우리의 [유사 도메인 감사](https://wardmint.com/ko/data/crypto-project-defensive-domain-audit-2026/ "How many look-alike domains of the top crypto projects can anyone register?")는 이 프로젝트 이름의 명백한 변형 중 29.6%가 등록 가능한 상태였음을 발견했습니다. Wardmint에서는 각 도메인의 DNSSEC과 CAA를 관리하며, .com은 US$12.49/년입니다.

## 조사에 대한 질문

### 상위 암호화폐 프로젝트 중 DNSSEC을 쓰는 곳은 몇 곳입니까?

가장 큰 50개 프로젝트의 공식 도메인 중 20곳이 2026년 11월 12일 상위 영역에 DS 레코드를 가지고 있었으므로, 40%가 DNSSEC으로 서명되어 있었습니다.

### 레지스트리 잠금을 쓰는 곳은 몇 곳입니까?

50곳 중 5곳이 레지스트리 잠금이 설정하는 세 가지 서버 잠금을 보였습니다. 우리는 이를 서명이라고 부릅니다. 레지스트리가 다른 이유로도 그 잠금을 설정할 수 있기 때문입니다.

### 등록기관 잠금만으로 충분합니까?

아닙니다. 이전은 막지만, 등록기관 계정을 통제하는 사람이 네임서버를 바꾸는 것은 막지 못하며, 대부분의 암호화폐 프론트엔드 탈취가 이 방식으로 일어났습니다.

### 프로젝트 이름은 왜 나열하지 않았습니까?

어떤 프로젝트에 어떤 보호가 없는지 나열하면 공격자가 표적을 고르는 데 도움이 됩니다. 각 프로젝트는 같은 공개 조회로 자신의 도메인을 확인할 수 있습니다.

### 이 조사는 반복할 예정입니까?

예, 분기마다 같은 스크립트로 반복하여 날짜가 있는 시계열을 만들며, 각 업데이트는 업데이트 페이지에 기록합니다.

**요약**

- 가장 큰 50개 암호화폐 프로젝트의 공식 도메인, 공개 DNS와 RDAP 조회일 2026년 11월 12일.
- 등록기관 잠금 94%, DMARC 강제 88%(p=reject 56%), SPF 하드 페일 58%.
- DNSSEC 40%, CAA 30%, 레지스트리 잠금 서명 10%.
- 50곳 중 3곳만 DNSSEC, CAA, 레지스트리 잠금 서명, 강제된 DMARC 정책을 모두 갖추고 있습니다.
- 합계만 제공하며, 프로젝트별 목록은 게시하지 않습니다.

## 출처와 방법

1. [Coins list by market capitalisation (API /coins/markets)](https://www.coingecko.com/en/api) — CoinGecko (2026-11-12 확인)
2. [DNS over HTTPS, JSON API](https://developers.cloudflare.com/1.1.1.1/encryption/dns-over-https/make-api-requests/dns-json/) — Cloudflare (used 2026-11-12)
3. [Bootstrap service registry for domain name space (RDAP)](https://data.iana.org/rdap/dns.json) — IANA (2026-11-12 확인)
4. [EPP 상태 코드: 무엇을 의미합니까](https://www.icann.org/resources/pages/epp-status-codes-2014-06-16-en) — ICANN (2026-11-12 확인)
5. [RFC 8659: DNS Certification Authority Authorization (CAA) Resource Record](https://www.rfc-editor.org/rfc/rfc8659) — IETF (2026-11-12 확인)

---

Wardmint: Wardmint는 암호화폐 프로젝트에 필요한 방어적 도메인, 즉 피싱 사범이 이용하는 확장자 전반에 걸친 프로젝트 고유 이름과 오타 및 유사 변형을 등록해 드리며, KYC 없이 암호화폐로 결제합니다. 신분증은 필요 없고 도메인당 인증된 이메일 하나만 있으면 됩니다. 파나마에 등록된 회사 DomaineGoat LLC가 운영하며, 도메인은 ICANN 인증 등록기관 파트너를 통해 등록됩니다. .com은 US$12.49/년이며 매년 같은 가격입니다.