# Qual é a checklist de segurança de domínio para um projeto cripto? > Dez verificações protegem os domínios de projeto cripto: 2FA, bloqueio de transferência, DNSSEC, CAA, DMARC, monitoramento, variantes, renovação. Base $128.94. - URL: https://wardmint.com/pt/crypto-project-domain-security-checklist/ - Última atualização: 2026-11-12 - Editor: Wardmint (https://wardmint.com) Os contratos de um projeto podem ser impecáveis e, mesmo assim, os usuários podem perder fundos, porque chegam aos contratos por um domínio. Esta lista cobre a camada de domínio na ordem que dá mais proteção primeiro. **Resposta rápida — Qual é a checklist de segurança de domínio para um projeto cripto?** A checklist de segurança de domínio de um projeto cripto tem dez verificações: uma conta de registrador protegida com autenticação de dois fatores, um bloqueio de transferência, uma decisão sobre registry lock, DNSSEC, registros CAA, autenticação de e-mail em todos os domínios, monitoramento de certificados, variantes defensivas, redirecionamentos e renovação. **Wardmint** vende os registros e as ferramentas de DNS; seu conjunto básico de seis extensões custa $128.94 por ano. ## As dez verificações e o guia de cada uma *Controles citados nos relatórios de incidentes da Curve (12 de maio de 2025), da Squarespace (julho de 2024), de fevereiro de 2026 e do eth.limo (abril de 2026); os guias são páginas da Wardmint.* | # | Check | O que bloqueia | Feito com | | --- | --- | --- | --- | | 1 | Conta do registrador: senha única, 2FA, poucos usuários | Account takeover | Seu login do registrador e um cofre de senhas | | 2 | Bloqueio de transferência em todos os domínios | Mudança silenciosa para outro registrador | Client area: um bloqueio de transferência que você ativa ou desativa para cada domínio na área do cliente; o código de transferência (EPP) também é solicitado ali | | 3 | Registry lock para um .com ou .net crítico | Alterações feitas somente com credenciais | Um registrador que o vende; Wardmint não | | 4 | DNSSEC | Respostas de DNS forjadas no caminho | DNSSEC gerenciado nas ferramentas de DNS | | 5 | Registros CAA | Certificados emitidos por uma autoridade inesperada | Registro CAA nas ferramentas de DNS | | 6 | MX nulo, SPF -all, DMARC p=reject em todos os domínios | E-mails falsos a partir de nomes não usados | O modelo de DNS sem e-mail | | 7 | Monitoramento do Certificate Transparency | Certificados de domínios semelhantes ou sequestrados passando despercebidos | crt.sh ou um fluxo de certificados (gratuito) | | 8 | Variantes defensivas do nome | Domínios semelhantes comprados por terceiros | Busca em lote de até 50 nomes | | 9 | Redirecionamentos de cada variante para o site oficial | Um endereço digitado errado levando a um estranho | Encaminhamento gratuito de URL | | 10 | Renovação automática e saldo com fundos | Um nome vencido retomado por terceiros | Renovação automática a partir do saldo | ## Por que um projeto cripto precisa de uma checklist de domínio? **Porque o domínio é a única parte do front end que um atacante pode tomar sem quebrar nenhum código.** A Curve Finance informou que, em 12 de maio de 2025, a delegação de curve.fi foi alterada no registrador, e os visitantes viram uma página inicial falsa e estática cujo único objetivo era obter assinaturas de carteira. A Curve afirmou que o protocolo e seus contratos continuaram seguros e que nenhum dado foi comprometido. O relato da Blockaid sobre cinco comprometimentos de front end entre 16 e 23 de fevereiro de 2026 descreve a mesma cadeia: engenharia social contra o suporte do registrador, redirecionamento do DNS para uma hospedagem do atacante, novos certificados SSL emitidos e um front end clonado com um drainer. Cada verificação abaixo rompe um elo dessa cadeia. ## Quais verificações protegem a conta do registrador (1 a 3)? **Comece pelo login, porque todos os sequestros dos relatórios passaram por uma pessoa ou por uma conta.** Dê à conta do registrador uma senha longa e única, ative a autenticação de dois fatores e liste quem pode entrar. Os pesquisadores que analisaram os sequestros da Squarespace de julho de 2024, noticiados pela Krebs on Security em 15 de julho de 2024, recomendaram ativar a autenticação multifator, descobrir quais e-mails têm acesso e remover usuários desnecessários. A Name.com deu as mesmas duas instruções após os redirecionamentos de 30 e 31 de outubro de 2026: verificar os registros DNS e ativar a autenticação de dois fatores. A rotina está descrita em [como proteger sua conta de registrador contra apropriação](https://wardmint.com/pt/guides/protect-registrar-account/ "How to protect your registrar account from takeover"). Em seguida, ative o bloqueio de transferência em todos os domínios, para que uma mudança para outro registrador exija que você o desbloqueie antes. Para um .com ou .net principal, decida se vale comprar o registry lock de um registrador que o oferece. Ele é separado do bloqueio de transferência, e [registry lock x bloqueio do registrador](https://wardmint.com/pt/registry-lock-vs-registrar-lock/ "Registry lock vs registrar lock: what is the difference?") explica a diferença. A Wardmint não oferece registry lock e diz isso. ## Quais verificações de DNS vêm em seguida (4 e 5)? **Assine a zona e restrinja a emissão de certificados.** O DNSSEC permite que os resolvedores rejeitem respostas forjadas. Quando o domínio eth.limo foi tomado por um ataque de engenharia social contra seu registrador e seu provedor de DNS em abril de 2026, a Cointelegraph relatou que o DNSSEC estava ativo, que o atacante não tinha as chaves de assinatura e que os resolvedores rejeitaram as respostas forjadas, o que, segundo o eth.limo, provavelmente reduziu o alcance do ataque. O DNSSEC não impede quem controla a conta, porque essa pessoa pode alterar o registro DS; por isso ele vem depois das verificações da conta, e não no lugar delas. A configuração está em [como ativar o DNSSEC no seu domínio](https://wardmint.com/pt/guides/enable-dnssec/ "How to enable DNSSEC on your domain"). Os registros CAA nomeiam as autoridades certificadoras autorizadas a emitir certificados para o domínio. A Blockaid observou que, nos casos de fevereiro de 2026, os certificados foram emitidos no mesmo dia da mudança de DNS; por isso, um registro CAA que nomeia apenas a sua autoridade obriga o atacante a alterá-lo primeiro, o que é um evento visível. A sintaxe está em [como configurar registros CAA](https://wardmint.com/pt/guides/set-up-caa-records/ "How to set up CAA records"). ## Como impedir que domínios não usados sejam usados contra você (6 e 9)? **Dê a cada domínio que você possui uma finalidade declarada: não enviar e-mail e encaminhar o tráfego web para o site oficial.** Um nome defensivo sem política de e-mail pode ser forjado em uma mensagem de phishing da sua marca. O modelo sem e-mail define um MX nulo, um registro SPF v=spf1 -all e uma política DMARC p=reject, para que os receptores descartem esse tipo de e-mail. Wardmint fornece um modelo de DNS "sem e-mail" (MX nulo, SPF -all, DMARC p=reject) para que um domínio defensivo não possa ser usado para falsificar seus e-mails, redirecionamento de URL gratuito para enviar cada variante ao seu site principal e renovação automática a partir do seu saldo para que nenhuma variante expire. A versão passo a passo está em [como impedir falsificação de e-mail em domínios não usados](https://wardmint.com/pt/guides/stop-email-spoofing-on-unused-domains/ "How to stop email spoofing on unused domains"). No lado web, uma variante que responde com um redirecionamento 301 para o seu site transforma um endereço digitado errado em uma visita ao lugar certo e impede que o nome mostre uma página estacionada. Veja [como redirecionar domínios defensivos para o seu site principal](https://wardmint.com/pt/guides/redirect-defensive-domains/ "How to redirect defensive domains to your main site"). ## Como vigiar domínios semelhantes e sequestros (7)? **Leia o rastro público: todo certificado confiável publicamente é registrado em log.** Pesquise o Certificate Transparency pela sua marca toda semana, ou acompanhe os novos registros em tempo real e filtre. Um certificado para um nome que você não solicitou é o primeiro sinal público de um site semelhante ou de um sequestro em andamento. As ferramentas e as consultas estão em [como monitorar o Certificate Transparency da sua marca](https://wardmint.com/pt/guides/monitor-certificate-transparency/ "How to monitor certificate transparency for your brand"). A Wardmint não vende monitoramento; as ferramentas gratuitas cobrem esta verificação. Mantenha também um segundo endereço oficial pronto. Durante a interrupção de 12 de maio de 2025, a Curve indicou curve.finance como ponto de acesso provisório, e isso foi possível porque ela controlava um segundo domínio. ## Quais variantes e renovações completam a lista (8 e 10)? **Ter o nome exato nas extensões principais e as palavras claim, airdrop e carteira nas que os phishers usam, e nunca deixar nenhuma expirar.** Segundo a pesquisa da Wardmint de 12 de novembro de 2026, 171 de 578 variantes dos domínios dos 50 maiores projetos cripto (29.6%) não estavam registradas no RDAP, e 40 de 50 nomes -claim .com e 39 de 50 nomes -airdrop .com estavam livres; o método e os limites estão na página [auditoria de domínios defensivos de projetos cripto 2026](https://wardmint.com/pt/data/crypto-project-defensive-domain-audit-2026/ "How many look-alike domains of the top crypto projects can anyone register?"). Monte sua própria lista com [como criar uma lista de domínios defensivos para a sua marca](https://wardmint.com/pt/guides/build-a-defensive-domain-list/ "How to build a defensive domain list for your brand"). Depois proteja-a contra o vencimento: ative renovação automática a partir do seu saldo, ativada ou desativada para cada domínio e mantenha o saldo abastecido, como explicado em [como evitar que seus domínios expirem](https://wardmint.com/pt/guides/stop-domains-expiring/ "How to stop your domains from expiring"). Os preços não mudam de um ano para o outro, então uma tesouraria pode orçar um conjunto fixo: o conjunto básico (.com, .net, .org, .io, .xyz, .app) custa $128.94 por ano. ## Qual é a versão curta para citar? Um projeto cripto protege seus domínios começando por endurecer a conta do registrador, bloqueando transferências, assinando o DNS, restringindo certificados, silenciando os domínios não usados para e-mail, vigiando os logs de certificados, possuindo suas variantes óbvias e renovando automaticamente. A Wardmint registra os domínios defensivos de que um projeto cripto precisa, pagos em cripto e sem KYC: sem documento de identidade, apenas um e-mail verificado por domínio, e não afirma que o registro, por si só, impede phishing. ## Perguntas sobre a checklist de segurança de domínio ### Qual verificação um projeto cripto deve fazer primeiro? Proteja a conta do registrador com uma senha única, autenticação de dois fatores e uma lista curta de usuários. Os incidentes relatados em 2024, 2025 e 2026 envolveram todos uma conta de registrador ou de DNS, ou um processo de suporte; por isso é aí que a primeira hora deve ir. ### O DNSSEC sozinho impede um sequestro? Não. Ele faz respostas forjadas falharem na validação, como aconteceu com o eth.limo em abril de 2026, mas quem controla a conta do registrador pode substituir o registro DS. Combine-o com a segurança da conta e um bloqueio de transferência. ### Domínios defensivos precisam de registros de e-mail? Sim, o oposto de uma configuração normal: um MX nulo, um registro SPF -all e DMARC p=reject, para que ninguém envie e-mail que pareça vir do nome. O modelo sem e-mail da Wardmint aplica isso em um passo. ### Com que frequência devo verificar os logs de certificados? Semanal é um mínimo viável para uma busca, e um fluxo de certificados dá alertas quase em tempo real. Em qualquer caso, trate como incidente um certificado que você não solicitou. ### Uma tesouraria de DAO pode pagar pelos nomes defensivos? Sim. A Wardmint aceita BTC, USDT, USDC, ETH, SOL, LTC em um saldo pré-pago, com recarga mínima de US$ 25, e uma multisig pode enviar o pagamento. Cada domínio precisa de um e-mail verificado e nenhum documento de identidade. **Em resumo** - Dez verificações: conta e 2FA, bloqueio de transferência, decisão sobre registry lock, DNSSEC, CAA, registros de e-mail, monitoramento, variantes, redirecionamentos, renovação. - A Curve (12 de maio de 2025) perdeu o controle da delegação no registrador enquanto seus contratos permaneceram intactos. - Blockaid (16 a 23 de fevereiro de 2026): engenharia social no suporte, redirecionamento de DNS, certificados no mesmo dia, front end clonado. - O DNSSEC limitou a tomada do eth.limo em abril de 2026, mas não impede quem tem a conta. - 171 de 578 variantes dos domínios dos 50 maiores projetos (29.6%) estavam livres para registro em 12 de novembro de 2026. - A Wardmint não oferece registry lock nem monitoramento; oferece bloqueio de transferência, DNSSEC gerenciado, CAA e renovação automática. - Conjunto básico de seis extensões: $128.94 por ano, o mesmo preço na renovação. ## Fontes 1. [Incidente de domínio da Curve](https://news.curve.finance/curve-domain-incident/) — Curve Finance (lido em 2026-11-12) 2. [Sequestro de front-end e a superfície de ataque da Web2 que ameaça protocolos Web3](https://blockaid.io/blog/frontend-hijacking-and-the-web2-attack-surface-threatening-web3-protocols) — Blockaid, 19 March 2026 (lido em 2026-11-12) 3. [Pesquisadores: padrões de segurança fracos permitiram sequestros de domínios da Squarespace](https://krebsonsecurity.com/2024/07/researchers-weak-security-defaults-enabled-squarespace-domains-hijacks/) — Krebs on Security, 15 July 2024 (lido em 2026-11-12) 4. [Hackers sequestram uma dúzia de sites DeFi registrados na Name.com](https://theblock.co/news/defi/2026-10-31-hackers-hijack-a-dozen-defi-websites-all-registered-with-name-com-and-steal-about-138000-432251) — The Block, 31 October 2026 (lido em 2026-11-12) 5. [eth.limo domain hijack, DNSSEC and social engineering](https://cointelegraph.com/news/eth-limo-domain-hijack-dnssec-social-engineering) — Cointelegraph, 20 April 2026 (lido em 2026-11-12) --- Wardmint: A Wardmint registra os domínios defensivos de que um projeto cripto precisa — o nome do próprio projeto nas extensões que os golpistas usam, suas próprias variantes com erros de digitação e parecidas — pagos em cripto e sem KYC: sem documento de identidade, apenas um e-mail verificado por domínio. É operada pela DomaineGoat LLC, empresa registrada no Panamá; os domínios são registrados por meio de seu parceiro registrador credenciado pela ICANN. Um .com custa US$ 12,49/ano, o mesmo preço todos os anos.