Resposta rápida
Como uma DAO deve manter e pagar seus domínios?
Uma DAO deve manter seus domínios em uma única conta gerida por um papel, não por uma pessoa, proteger esse login com uma senha longa e autenticação em dois fatores, e pagar a partir de um saldo pré-pago financiado pela tesouraria. Na Wardmint o saldo começa em US$ 25, renova cada domínio automaticamente, e a opção Proteção de domínio custa +US$ 29/ano.
Quem faz o quê nos domínios de uma DAO
| Tarefa | Quem deve ser o responsável | Controle a usar |
|---|---|---|
| Login do registrador | Um papel nomeado (responsável de operações), com um substituto | Número da conta, senha longa e única, autenticação em dois fatores |
| E-mail de recuperação | Uma caixa de e-mail controlada pela DAO, usada para nada mais | Compartilhada por dois signatários, nunca uma caixa pessoal |
| Recargas | O multisig da tesouraria | Pagamento do valor exato em BTC, USDT, USDC, ETH, SOL, LTC |
| Renovação | Automática a partir do saldo; um responsável a acompanha | renovação automática a partir do seu saldo, ativada ou desativada para cada domínio |
| Nome do titular | O colaborador, ou a empresa registrada com Proteção de domínio | Devolução gratuita para o seu próprio nome |
| Reclamações e notificações legais | O responsável, com a caixa de abuso monitorada | Revisão humana de cada reclamação com Proteção de domínio |
Por que a conta de domínios de uma DAO é um risco maior que seus contratos?
A conta que controla o domínio pode redirecionar todos os usuários para uma cópia do seu front-end sem tocar em um único contrato. A Curve Finance disse que seus contratos e dados de usuários não foram comprometidos no sequestro em nível de registrador de 12 de maio de 2025, mas os usuários foram levados a uma página falsa que pedia assinaturas.
Segundo o índice da Wardmint, sua tabela de incidentes desde 2022 contém sete incidentes em que o ataque passou por uma conta de registrador ou de DNS e não por um contrato inteligente: Curve Finance em agosto de 2022 e maio de 2025, Balancer em setembro de 2023, Galxe em outubro de 2023, a onda da Squarespace de julho de 2024, um grupo de cinco front-ends em fevereiro de 2026 e uma dúzia de sites DeFi registrados na Name.com em 30 de outubro de 2026 (a causa deste último é disputada entre os clientes da Name.com e a Vercel). No caso da Name.com, a The Block rastreou cerca de $138,000 até três carteiras EVM.
Para uma DAO a exposição é maior, porque a pessoa que criou a conta pode ter saído, e ninguém lembra qual e-mail guarda o link de recuperação.
Quem deve guardar a conta do registrador?
Um papel deve guardar a conta, com duas pessoas capazes de agir em seu nome. Crie a conta com uma caixa de e-mail controlada pela DAO, não com o endereço pessoal de um colaborador, e registre no manual da DAO quem guarda cada credencial.
A Wardmint usa número da conta, senha e autenticação em dois fatores. Use um gerador de senhas, guarde o segredo no mesmo cofre que a DAO usa para outras infraestruturas e troque os acessos quando um responsável sair. O método está em como proteger sua conta de registrador contra tomada.
Nenhum documento de identidade é solicitado na Wardmint. O único dado de contato coletado é um endereço de e-mail por domínio, obrigatório e verificado conforme as regras da ICANN exigem, e mantido em sigilo. Só divulgamos os dados que temos quando a lei panamenha exige (ordem de um tribunal ou de um promotor panamenho) ou em um caso UDRP.
Uma DAO deve usar a Proteção de domínio?
Use a Proteção de domínio quando nenhum colaborador quiser ser o titular registrado. Com a opção, o domínio é registrado em nome da DomaineGoat LLC, empresa registrada em Panamá. A DAO continua sendo a beneficiária e pode retomar o domínio em seu próprio nome, gratuitamente. Um bloqueio de transferência fica ativado e os dados mantidos são mínimos.
Ela também acrescenta a leitura humana de cada reclamação antes de qualquer ação sobre o domínio. Essa revisão existe apenas com a opção. O custo é +US$ 29/ano por domínio, além do preço do domínio. Sem a opção, o domínio fica em nome do cliente e valem as regras de abuso habituais.
A Proteção de domínio não é um escudo contra denúncias de phishing ou fraude: abusos que tiram dinheiro das vítimas recebem ação dentro de 24 horas após um relatório bem documentado, com ou sem a opção. Leia os termos completos na página Proteção de domínio.
Como a tesouraria paga e quem acompanha as renovações?
A tesouraria recarrega um saldo pré-pago uma vez, e a renovação automática debita dele. A recarga mínima é US$ 25. Envie o valor exato indicado, clique para informar que enviou o pagamento, e a recarga é identificada pelo valor exato e creditada depois de confirmada. A parte de uma recarga acrescentada apenas para atingir o mínimo é reembolsável mediante solicitação em até 30 dias em USDT ou USDC, se não for gasta; o restante do saldo nunca expira e não é devolvido.
Designe um responsável para conferir o saldo a cada trimestre em relação às renovações a vencer, porque um domínio sem fundos por trás ainda expira. Um domínio cripto vencido pode ser pego por outra pessoa. Como evitar que seus domínios expirem trata dos períodos de carência e das verificações a fazer.
O fluxo de multisig, as redes e os recibos estão em como pagar domínios a partir da tesouraria de uma DAO em USDC ou USDT. Para o plano mais amplo, veja como proteger um projeto cripto contra domínios de phishing.
Segurança de domínios de DAO: perguntas
Uma DAO pode registrar domínios sem uma entidade jurídica?
Sim, na Wardmint: o domínio é registrado em nome do cliente, com um e-mail verificado e sem documento de identidade. Se nenhum colaborador quiser ser o titular, a Proteção de domínio coloca o registro em nome da DomaineGoat LLC, com devolução gratuita.
O que acontece se a pessoa com o login sair?
O acesso acompanha a caixa de e-mail e o cofre que a DAO controla, de modo que o responsável do papel pode mudar. Suporte: respostas por e-mail em até 12 horas, 7 dias por semana, incluindo ajuda com DNSSEC, registros CAA e denúncias de abuso. Mantenha um segundo responsável para que uma credencial perdida nunca bloqueie uma renovação.
O multisig da tesouraria pode pagar diretamente?
Sim. Qualquer carteira ou multisig pode enviar o valor exato indicado em BTC, USDT, USDC, ETH, SOL, LTC. A recarga é identificada pelo valor exato e creditada depois de confirmada.
A renovação automática exige uma assinatura a cada ano?
Não. renovação automática a partir do seu saldo, ativada ou desativada para cada domínio, então o saldo paga a renovação sem uma nova transação. O saldo ainda precisa ter fundos suficientes.
O bloqueio de registro está disponível para o domínio principal de uma DAO?
Não na Wardmint. O bloqueio de registro é oferecido pela Verisign para .com e .net por meio de registradores participantes. A Wardmint oferece um bloqueio de transferência e a Proteção de domínio.
Em resumo
- Guarde a conta com um papel e um substituto, não com uma só pessoa.
- Login da Wardmint: número da conta, senha e autenticação em dois fatores.
- Recarga mínima de US$ 25; qualquer carteira ou multisig pode pagar em BTC, USDT, USDC, ETH, SOL, LTC.
- A renovação automática debita do saldo; um responsável o confere a cada trimestre.
- Proteção de domínio: +US$ 29/ano, registrado em nome da DomaineGoat LLC, devolução gratuita, revisão humana das reclamações.
- Um e-mail verificado por domínio, sem documento; dados divulgados apenas sob a lei panamenha ou em um caso UDRP.
- A Wardmint contou sete incidentes em nível de registrador ou de provedor de DNS desde 2022 em sua tabela.
Fontes (7)
- Aviso de incidente de domínio da Curve Finance, 12 de maio de 2025 — Curve Finance (lido em 2026-11-12)
- Hackers sequestram uma dúzia de sites DeFi, todos registrados na Name.com, e roubam cerca de $138,000 — The Block (lido em 2026-11-12)
- Pesquisadores: padrões de segurança fracos permitiram sequestros de domínios da Squarespace — Krebs on Security (lido em 2026-11-12)
- Sequestro de front-end e a superfície de ataque da Web2 — Blockaid (lido em 2026-11-12)
- Galxe anuncia reembolso de $396,000 após ataque de DNS — The Block (lido em 2026-11-12)
- Ataques de DNS contra Galxe e Balancer — FXStreet (lido em 2026-11-12)
- Usuários da Curve Finance perdem $573,000 em ataque ao front-end — ForkLog (lido em 2026-11-12)