Quão bem os principais projetos cripto protegem seus domínios em 2026?

O que o estudo encontrou?

O bloqueio básico é quase universal; as proteções que impedem um sequestro, não. 47 dos 50 domínios têm bloqueio de transferência do registrador, a configuração que a maioria dos registradores ativa por padrão. Ele impede uma transferência, mas não impede quem entra na conta do registrador e altera os servidores de nomes, que foi a forma como a maioria dos ataques documentados a front ends cripto funcionou.

As defesas para esse caso são mais raras. O registry lock, que faz o próprio registro recusar alterações até que uma pessoa as confirme por um canal externo, aparece em 5 domínios. O DNSSEC, que permite aos resolvedores rejeitar respostas forjadas, está em 20. O CAA, que limita quem pode emitir certificado para o nome, está em 15. A comparação entre registry lock e bloqueio do registrador explica a diferença, e o guia de DNSSEC mostra os passos.

O e-mail vai melhor: 44 dos 50 recusam ou colocam em quarentena e-mails falsificados com DMARC. Os outros 6 não publicam registro DMARC ou ficam em p=none, então qualquer pessoa ainda pode enviar e-mail que pareça vir do projeto.

Como o estudo foi feito?

Usamos os 50 domínios oficiais da nossa auditoria de domínios semelhantes, tirados dos maiores projetos cripto por capitalização de mercado em 12 de novembro de 2026. Para cada domínio, pedimos ao resolvedor DNS público da Cloudflare, por DNS-over-HTTPS, o registro DS (o DNSSEC é contado quando a zona-pai tem um), os registros CAA, os registros TXT (SPF) e o registro TXT em _dmarc (a política DMARC pela tag p).

Depois lemos o registro RDAP do domínio no seu registro. Um bloqueio do registrador conta quando a lista de status contém clientTransferProhibited. As assinaturas de registry lock contam quando aparecem juntos serverTransferProhibited, serverUpdateProhibited e serverDeleteProhibited: são os bloqueios que um serviço de registry lock define, embora um registro também possa defini-los por outros motivos; por isso os chamamos de assinaturas, não de prova.

Todas as 250 consultas DNS e as 50 consultas RDAP tiveram resposta. O script e as respostas por domínio são guardados com o estudo; publicamos apenas totais.

O que os números não dizem

A ausência de um registro não é uma violação, e a presença de um não é garantia. Alguns projetos servem o app a partir de outro domínio ou o protegem em seu CDN; o DNSSEC também exige um registrador e um host de DNS que o suportem. O registry lock não é oferecido para todas as extensões, e um registro pode aplicar bloqueios de servidor por motivos diferentes de um bloqueio pago. O estudo é um retrato de um dia e de um domínio por projeto.

O que um projeto pode fazer com estes resultados

Comece pelas quatro configurações que a maioria dos projetos entre os 50 maiores ainda não tem: registry lock onde a extensão o oferece, DNSSEC, CAA e DMARC em p=reject em todos os domínios, inclusive os não usados. Segundo a pesquisa da Wardmint de 12 de novembro de 2026, apenas 3 dos 50 maiores projetos cripto combinavam as quatro no seu domínio principal.

Nossa checklist de segurança de domínio para projetos cripto as coloca em ordem, junto com as configurações de conta ao redor. No mesmo dia, nossa auditoria de domínios semelhantes encontrou 29.6% das variantes óbvias dos nomes desses projetos livres para registro. Na Wardmint, DNSSEC e CAA são gerenciados em cada domínio, e um .com custa US$ 12,49/ano.