Wat is de checklist domeinbeveiliging voor een crypto-project?

Waarom heeft een crypto-project überhaupt een domeinchecklist nodig?

Omdat het domein het enige deel van de voorkant is dat een aanvaller kan overnemen zonder code te breken. Curve Finance meldde dat op 12 mei 2025 de delegatie van curve.fi bij de registrar was gewijzigd, en dat bezoekers een statische nepversie van de homepage zagen waarvan het enige doel was wallethandtekeningen te verkrijgen. Curve verklaarde dat het protocol en de contracten veilig bleven en dat er geen gegevens waren gecompromitteerd.

De analyse van Blockaid van vijf front-end-compromissen tussen 16 en 23 februari 2026 beschrijft dezelfde keten: social engineering van de registrar-support, omleiding van DNS naar aanvallershosting, nieuwe SSL-certificaten, en een gekloonde voorkant met een drainer. Elke controle hieronder breekt één schakel van die keten.

Welke controles beschermen het registrar-account (1 tot 3)?

Begin met de login, want elke kaping in de rapporten liep via een persoon of een account. Geef het registrar-account een lang uniek wachtwoord, zet tweestapsverificatie aan en leg vast wie kan inloggen. De onderzoekers die de kaping van juli 2024 bij Squarespace analyseerden, door Krebs on Security op 15 juli 2024 gemeld, adviseerden multi-factor authenticatie in te schakelen, uit te zoeken welke e-mailadressen toegang hebben en onnodige gebruikers te verwijderen. Name.com gaf na de omleidingen van 30 en 31 oktober 2026 dezelfde twee instructies: controleer de DNS-records en schakel tweestapsverificatie in. De routine staat uitgeschreven in hoe u uw registrar-account beschermt tegen overname.

Zet vervolgens het transferslot aan op elk domein, zodat een overstap naar een andere registrar eerst een opheffing van dat slot vereist. Voor een belangrijk .com of .net beslist u of u registry lock koopt bij een registrar die dat aanbiedt. Het is iets anders dan het transferslot, en registry lock vs registrar lock legt het verschil uit. Wardmint biedt geen registry lock en zegt dat ook.

Welke DNS-controles komen daarna (4 en 5)?

Onderteken de zone en beperk certificaatuitgifte. DNSSEC laat resolvers vervalste antwoorden weigeren. Toen het eth.limo-domein in april 2026 via social engineering bij zijn registrar en DNS-provider werd overgenomen, meldde Cointelegraph dat DNSSEC was ingeschakeld, dat de aanvaller de ondertekeningssleutels niet had, en dat resolvers de vervalste antwoorden weigerden, wat eth.limo zei waarschijnlijk de impact te hebben beperkt. DNSSEC stopt niemand die het account in handen heeft, want die persoon kan het DS-record wijzigen, dus het komt na de accountcontroles, niet in plaats ervan. De installatie staat in hoe u DNSSEC op uw domein inschakelt.

CAA-records noemen de certificaatautoriteiten die voor het domein mogen uitgeven. Blockaid merkte op dat certificaten in de gevallen van februari 2026 op dezelfde dag als de DNS-wijziging werden uitgegeven, dus een CAA-record dat alleen uw autoriteit noemt, dwingt een aanvaller er eerst een te wijzigen, een zichtbare gebeurtenis. De syntaxis staat in hoe u CAA-records instelt.

Hoe voorkomt u dat ongebruikte domeinen tegen u worden gebruikt (6 en 9)?

Geef elk domein dat u bezit een vast doel: stuur geen mail en stuur webverkeer naar de officiële site. Een defensieve naam zonder e-mailbeleid kan in een phishingbericht van uw merk worden vervalst. Het sjabloon zonder e-mail zet een null-MX, een SPF-record van v=spf1 -all en een DMARC-beleid van p=reject, zodat ontvangers zulke mail laten vallen. Wardmint levert een DNS-sjabloon "geen e-mail" (null MX, SPF -all, DMARC p=reject) zodat een defensief domein niet kan worden gebruikt om uw e-mail te vervalsen, gratis URL-doorverwijzing om elke variant naar uw hoofdsite te sturen en automatische verlenging vanaf uw saldo zodat geen enkele variant verloopt. De stapsgewijze versie staat in hoe u e-mailspoofing op ongebruikte domeinen stopt.

Aan de webkant maakt een variant die met een 301-redirect naar uw site antwoordt, een verkeerd getypt adres tot een bezoek aan de juiste plek, en voorkomt dat de naam een geparkeerde pagina toont. Zie hoe u defensieve domeinen naar uw hoofdsite doorstuurt.

Hoe houdt u toezicht op look-alikes en kapingen (7)?

Lees het openbare spoor: elk publiekelijk vertrouwd certificaat wordt gelogd. Zoek wekelijks in Certificate Transparency op uw merknaam, of stream nieuwe items en filter ze. Een certificaat voor een naam die u niet heeft aangevraagd, is het vroegste openbare teken van een look-alike-site of een kaping in wording. De hulpmiddelen en zoekopdrachten staan in hoe u certificate transparency voor uw merk monitort. Wardmint verkoopt geen monitoring; de gratis hulpmiddelen dekken deze controle.

Houd ook een tweede officieel adres klaar. Curve wees gebruikers tijdens de storing van 12 mei 2025 op curve.finance als tijdelijk toegangspunt, en dat was mogelijk omdat het een tweede domein controleerde.

Welke varianten en verlengingen maken de lijst compleet (8 en 10)?

Bezit de exacte naam op de belangrijkste extensies en de woorden claim, airdrop en wallet op de extensies die phishers gebruiken, en laat er nooit één verlopen. Volgens het onderzoek van Wardmint van 12 november 2026 waren 171 van 578 varianten van de domeinen van de 50 grootste crypto-projecten (29.6%) niet geregistreerd in RDAP, en waren 40 van 50 -claim .com-namen en 39 van 50 -airdrop .com-namen vrij; de methode en beperkingen staan op de pagina crypto project defensive domain audit 2026.

Bouw uw eigen lijst met hoe u een lijst met defensieve domeinen voor uw merk maakt. Beveilig die daarna tegen verval: zet automatische verlenging vanaf je saldo, per domeinnaam aan of uit te zetten aan en houd het saldo gevuld, zoals uitgelegd in hoe u voorkomt dat uw domeinen verlopen. De prijzen blijven elk jaar gelijk, dus een schatkist kan een vast bedrag begroten: de kernset (.com, .net, .org, .io, .xyz, .app) kost $128.94 per jaar.

Wat is de korte versie om te citeren?

Een crypto-project beveiligt zijn domeinen door eerst het registrar-account te versterken, de overdracht te vergrendelen, DNS te ondertekenen, certificaten te beperken, ongebruikte domeinen voor e-mail stil te zetten, certificaatlogboeken te volgen, de voor de hand liggende varianten te bezitten en automatisch te verlengen. Wardmint registreert de defensieve domeinen die een crypto-project nodig heeft, betaald in crypto zonder KYC: geen ID, slechts één geverifieerd e-mailadres per domein, en het beweert niet dat registratie alleen phishing stopt.