Krótka odpowiedź
Jak dobrze największe projekty crypto zabezpieczają swoje domeny w 2026 roku?
Spośród oficjalnych domen 50 największych projektów crypto na 12 listopada 2026: 20 było podpisanych DNSSEC (40%), 15 publikowało rekordy CAA (30%), a 5 pokazało blokady serwera registry lock (10%). Tylko 3 łączyły to wszystko z polityką DMARC blokującą podszywanie. Wardmint odczytał publiczny DNS i RDAP.
Wyniki dla 50 oficjalnych domen
| Protection | Domeny | Udział | Przed czym chroni |
|---|---|---|---|
| Blokada rejestratora (clientTransferProhibited) | 47 z 50 | 94% | Transfer rozpoczęty bez posiadacza |
| DMARC p=reject | 28 z 50 | 56% | Podszywająca się poczta z domeny jest odrzucana |
| DMARC p=quarantine | 16 z 50 | 32% | Sfałszowana poczta trafia do spamu |
| Brak rekordu DMARC lub p=none | 6 z 50 | 12% | Nic: sfałszowana poczta jest dostarczana |
| SPF kończący się na -all | 29 z 50 | 58% | Poczta z nieuwzględnionych serwerów powinna być odrzucana |
| DNSSEC (rekord DS u rodzica) | 20 z 50 | 40% | Sfałszowane odpowiedzi DNS, jak w atakach zatruwania pamięci podręcznej |
| Rekordy CAA | 15 z 50 | 30% | Certyfikaty wydane przez nieuwzględniony urząd |
| Blokady registry lock (trzy blokady serwera) | 5 z 50 | 10% | Zmiany wykonane przez przejęte konto rejestratora |
| Wszystkie cztery: DNSSEC, CAA, blokady registry lock, egzekwowany DMARC | 3 z 50 | 6% |
Ostatnio sprawdzono ; starsze dane mają własną datę
Co pokazało badanie?
Podstawowa blokada jest niemal powszechna; zabezpieczenia, które powstrzymują przejęcie, już nie. 47 z 50 domen ma blokadę transferu u rejestratora, ustawienie, które większość rejestratorów włącza domyślnie. Zatrzymuje ona transfer, ale nie zatrzymuje kogoś, kto loguje się na konto rejestratora i zmienia serwery nazw, a tak działała większość udokumentowanych ataków na fronty crypto.
Obrona przed tym przypadkiem jest rzadsza. Registry lock, który sprawia, że sam rejestr odrzuca zmiany do potwierdzenia przez osobę poza kanałem, występuje na 5 domenach. DNSSEC, który pozwala resolwerom odrzucać sfałszowane odpowiedzi, jest na 20. CAA, ograniczający, kto może wydać certyfikat dla nazwy, jest na 15. Porównanie registry lock i blokady rejestratora wyjaśnia różnicę, a przewodnik DNSSEC podaje kroki.
Poczta wypada lepiej: 44 z 50 odrzuca lub kwarantannuje sfałszowaną pocztę przez DMARC. Pozostałe 6 nie publikuje rekordu DMARC albo zostaje na p=none, więc każdy może nadal wysłać pocztę pozornie od projektu.
Jak przeprowadzono badanie?
Użyliśmy 50 oficjalnych domen z naszego audytu podobnych nazw, wziętych z największych projektów crypto według kapitalizacji 12 listopada 2026. Dla każdej domeny zapytaliśmy publiczny resolver DNS-over-HTTPS Cloudflare o rekord DS (DNSSEC liczony, gdy strefa rodzica go ma), jej rekordy CAA, rekordy TXT (SPF) i rekord TXT pod _dmarc (polityka DMARC z znacznika p).
Następnie odczytaliśmy rekord RDAP domeny u jej rejestru. Blokada rejestratora liczy się, gdy lista statusów zawiera clientTransferProhibited. Ślady registry lock liczą się, gdy zawiera serverTransferProhibited, serverUpdateProhibited i serverDeleteProhibited razem: to blokady, które ustawia usługa registry lock, choć rejestr może ustawić je też z innych powodów, dlatego nazywamy je śladami, a nie dowodem.
Wszystkie 250 wyszukiwań DNS i 50 wyszukiwań RDAP uzyskało odpowiedź. Skrypt i odpowiedzi dla poszczególnych domen są zachowane z badaniem; publikujemy tylko sumy.
Czego nie mówią liczby
Brakujący rekord nie oznacza naruszenia, a obecny nie daje gwarancji. Niektóre projekty obsługują aplikację z innej domeny lub chronią ją w swojej sieci CDN; DNSSEC wymaga też rejestratora i hosta DNS, które go obsługują. Registry lock nie jest oferowany dla każdego rozszerzenia, a rejestr może zastosować blokady serwera z innych powodów niż płatna blokada. Badanie to migawka jednego dnia i jednej domeny na projekt.
Co projekt może zrobić z tymi wynikami?
Zacznij od czterech ustawień, których większości projektów z pierwszej 50 nadal brakuje: registry lock tam, gdzie rozszerzenie go oferuje, DNSSEC, CAA i DMARC p=reject na każdej domenie, także na nieużywanych. Według badania Wardmint z 12 listopada 2026 tylko 3 z 50 największych projektów crypto łączyło wszystkie cztery na głównej domenie.
Nasza lista kontrolna bezpieczeństwa domeny dla projektów crypto ustawia je w kolejności wraz z ustawieniami konta wokół nich. Tego samego dnia nasz audyt podobnych domen wykrył, że 29.6% oczywistych wariantów nazw tych projektów było wolnych do rejestracji. W Wardmint DNSSEC i CAA są zarządzane dla każdej domeny, a .com kosztuje 12,49 USD/rok.
Pytania o badanie
Ilu największych projektów crypto używa DNSSEC?
20 z 50 oficjalnych domen największych projektów miało rekord DS u rodzica 12 listopada 2026, więc 40% było podpisanych DNSSEC.
Ilu używa registry lock?
5 z 50 pokazało trzy blokady serwera, które ustawia registry lock. Nazywamy je śladami: rejestr może ustawić te blokady także z innych powodów.
Czy blokada rejestratora wystarcza?
Nie. Blokuje transfery, ale nie zmianę serwerów nazw przez kogoś, kto kontroluje konto rejestratora, a tak doszło do większości przejęć frontów crypto.
Dlaczego nie podajemy nazw projektów?
Lista, który projekt nie ma której ochrony, pomogłaby atakującemu wybrać cel. Każdy projekt może sprawdzić własną domenę tymi samymi publicznymi wyszukiwaniami.
Czy badanie zostanie powtórzone?
Tak, co kwartał tym samym skryptem, więc liczby tworzą datowaną serię; każda aktualizacja jest zapisywana na naszej stronie aktualizacji.
Podsumowanie
- Oficjalne domeny 50 największych projektów crypto, odczyt publicznego DNS i RDAP 12 listopada 2026.
- Blokada rejestratora 94%, DMARC egzekwowany 88% (p=reject 56%), SPF twarde odrzucenie 58%.
- DNSSEC 40%, CAA 30%, ślady registry lock 10%.
- Tylko 3 z 50 łączą DNSSEC, CAA, ślady registry lock i egzekwowany DMARC.
- Tylko sumy; nie publikujemy listy według projektów.
Źródła i metoda (5)
- Coins list by market capitalisation (API /coins/markets) — CoinGecko (odczytano 2026-11-12)
- DNS over HTTPS, JSON API — Cloudflare (used 2026-11-12)
- Bootstrap service registry for domain name space (RDAP) — IANA (odczytano 2026-11-12)
- Kody statusu EPP: co oznaczają — ICANN (odczytano 2026-11-12)
- RFC 8659: DNS Certification Authority Authorization (CAA) Resource Record — IETF (odczytano 2026-11-12)