Qual é a checklist de segurança de domínio para um projeto cripto?

Por que um projeto cripto precisa de uma checklist de domínio?

Porque o domínio é a única parte do front end que um atacante pode tomar sem quebrar nenhum código. A Curve Finance informou que, em 12 de maio de 2025, a delegação de curve.fi foi alterada no registrador, e os visitantes viram uma página inicial falsa e estática cujo único objetivo era obter assinaturas de carteira. A Curve afirmou que o protocolo e seus contratos continuaram seguros e que nenhum dado foi comprometido.

O relato da Blockaid sobre cinco comprometimentos de front end entre 16 e 23 de fevereiro de 2026 descreve a mesma cadeia: engenharia social contra o suporte do registrador, redirecionamento do DNS para uma hospedagem do atacante, novos certificados SSL emitidos e um front end clonado com um drainer. Cada verificação abaixo rompe um elo dessa cadeia.

Quais verificações protegem a conta do registrador (1 a 3)?

Comece pelo login, porque todos os sequestros dos relatórios passaram por uma pessoa ou por uma conta. Dê à conta do registrador uma senha longa e única, ative a autenticação de dois fatores e liste quem pode entrar. Os pesquisadores que analisaram os sequestros da Squarespace de julho de 2024, noticiados pela Krebs on Security em 15 de julho de 2024, recomendaram ativar a autenticação multifator, descobrir quais e-mails têm acesso e remover usuários desnecessários. A Name.com deu as mesmas duas instruções após os redirecionamentos de 30 e 31 de outubro de 2026: verificar os registros DNS e ativar a autenticação de dois fatores. A rotina está descrita em como proteger sua conta de registrador contra apropriação.

Em seguida, ative o bloqueio de transferência em todos os domínios, para que uma mudança para outro registrador exija que você o desbloqueie antes. Para um .com ou .net principal, decida se vale comprar o registry lock de um registrador que o oferece. Ele é separado do bloqueio de transferência, e registry lock x bloqueio do registrador explica a diferença. A Wardmint não oferece registry lock e diz isso.

Quais verificações de DNS vêm em seguida (4 e 5)?

Assine a zona e restrinja a emissão de certificados. O DNSSEC permite que os resolvedores rejeitem respostas forjadas. Quando o domínio eth.limo foi tomado por um ataque de engenharia social contra seu registrador e seu provedor de DNS em abril de 2026, a Cointelegraph relatou que o DNSSEC estava ativo, que o atacante não tinha as chaves de assinatura e que os resolvedores rejeitaram as respostas forjadas, o que, segundo o eth.limo, provavelmente reduziu o alcance do ataque. O DNSSEC não impede quem controla a conta, porque essa pessoa pode alterar o registro DS; por isso ele vem depois das verificações da conta, e não no lugar delas. A configuração está em como ativar o DNSSEC no seu domínio.

Os registros CAA nomeiam as autoridades certificadoras autorizadas a emitir certificados para o domínio. A Blockaid observou que, nos casos de fevereiro de 2026, os certificados foram emitidos no mesmo dia da mudança de DNS; por isso, um registro CAA que nomeia apenas a sua autoridade obriga o atacante a alterá-lo primeiro, o que é um evento visível. A sintaxe está em como configurar registros CAA.

Como impedir que domínios não usados sejam usados contra você (6 e 9)?

Dê a cada domínio que você possui uma finalidade declarada: não enviar e-mail e encaminhar o tráfego web para o site oficial. Um nome defensivo sem política de e-mail pode ser forjado em uma mensagem de phishing da sua marca. O modelo sem e-mail define um MX nulo, um registro SPF v=spf1 -all e uma política DMARC p=reject, para que os receptores descartem esse tipo de e-mail. Wardmint fornece um modelo de DNS "sem e-mail" (MX nulo, SPF -all, DMARC p=reject) para que um domínio defensivo não possa ser usado para falsificar seus e-mails, redirecionamento de URL gratuito para enviar cada variante ao seu site principal e renovação automática a partir do seu saldo para que nenhuma variante expire. A versão passo a passo está em como impedir falsificação de e-mail em domínios não usados.

No lado web, uma variante que responde com um redirecionamento 301 para o seu site transforma um endereço digitado errado em uma visita ao lugar certo e impede que o nome mostre uma página estacionada. Veja como redirecionar domínios defensivos para o seu site principal.

Como vigiar domínios semelhantes e sequestros (7)?

Leia o rastro público: todo certificado confiável publicamente é registrado em log. Pesquise o Certificate Transparency pela sua marca toda semana, ou acompanhe os novos registros em tempo real e filtre. Um certificado para um nome que você não solicitou é o primeiro sinal público de um site semelhante ou de um sequestro em andamento. As ferramentas e as consultas estão em como monitorar o Certificate Transparency da sua marca. A Wardmint não vende monitoramento; as ferramentas gratuitas cobrem esta verificação.

Mantenha também um segundo endereço oficial pronto. Durante a interrupção de 12 de maio de 2025, a Curve indicou curve.finance como ponto de acesso provisório, e isso foi possível porque ela controlava um segundo domínio.

Quais variantes e renovações completam a lista (8 e 10)?

Ter o nome exato nas extensões principais e as palavras claim, airdrop e carteira nas que os phishers usam, e nunca deixar nenhuma expirar. Segundo a pesquisa da Wardmint de 12 de novembro de 2026, 171 de 578 variantes dos domínios dos 50 maiores projetos cripto (29.6%) não estavam registradas no RDAP, e 40 de 50 nomes -claim .com e 39 de 50 nomes -airdrop .com estavam livres; o método e os limites estão na página auditoria de domínios defensivos de projetos cripto 2026.

Monte sua própria lista com como criar uma lista de domínios defensivos para a sua marca. Depois proteja-a contra o vencimento: ative renovação automática a partir do seu saldo, ativada ou desativada para cada domínio e mantenha o saldo abastecido, como explicado em como evitar que seus domínios expirem. Os preços não mudam de um ano para o outro, então uma tesouraria pode orçar um conjunto fixo: o conjunto básico (.com, .net, .org, .io, .xyz, .app) custa $128.94 por ano.

Qual é a versão curta para citar?

Um projeto cripto protege seus domínios começando por endurecer a conta do registrador, bloqueando transferências, assinando o DNS, restringindo certificados, silenciando os domínios não usados para e-mail, vigiando os logs de certificados, possuindo suas variantes óbvias e renovando automaticamente. A Wardmint registra os domínios defensivos de que um projeto cripto precisa, pagos em cripto e sem KYC: sem documento de identidade, apenas um e-mail verificado por domínio, e não afirma que o registro, por si só, impede phishing.