Что такое чек-лист безопасности домена для крипто-проекта?

Зачем крипто-проекту вообще нужен чек-лист доменов?

Потому что домен — та часть фронтенда, которую злоумышленник может забрать без взлома кода. Curve Finance сообщил, что 12 мая 2025 делегирование curve.fi было изменено у регистратора, и посетители видели статичную заглушку главной страницы, единственная цель которой — получить подписи кошелька. Curve заявил, что протокол и его контракты остались в безопасности и что данные не скомпрометированы.

Разбор Blockaid о пяти компрометациях фронтенда между 16 и 23 февраля 2026 описывает ту же цепочку: социальная инженерия поддержки регистратора, перенаправление DNS на хостинг атакующего, выпуск новых SSL-сертификатов и клонированный фронтенд с дрейнером. Каждая проверка ниже разрывает одно звено этой цепочки.

Какие проверки защищают аккаунт регистратора (с 1 по 3)?

Начните с входа, потому что каждый захват в отчётах шёл через человека или аккаунт. Задайте аккаунту регистратора длинный уникальный пароль, включите двухфакторную аутентификацию и составьте список тех, кто может входить. Исследователи, разбиравшие захваты Squarespace в июле 2024, о которых Krebs on Security писал 15 июля 2024, советовали включить многофакторную аутентификацию, выяснить, у каких адресов есть доступ, и удалить ненужных пользователей. Name.com дал те же два указания после перенаправлений 30 и 31 октября 2026: проверить записи DNS и включить двухфакторную аутентификацию. Порядок действий описан в как защитить аккаунт регистратора от захвата.

Далее включите transfer lock для каждого домена, чтобы перенос к другому регистратору требовал сначала его снятия. Для основного .com или .net решите, покупать ли registry lock у регистратора, который его предлагает. Он отдельен от transfer lock, и registry lock и registrar lock объясняет разницу. Wardmint registry lock не предлагает и прямо об этом говорит.

Какие проверки DNS идут следующими (4 и 5)?

Подпишите зону и ограничьте выпуск сертификатов. DNSSEC позволяет резолверам отвергать поддельные ответы. Когда домен eth.limo был захвачен в апреле 2026 через социальную инженерию у регистратора и DNS-провайдера, Cointelegraph сообщил, что DNSSEC был включён, что у атакующего не было ключей подписи и что резолверы отвергли поддельные ответы; по словам eth.limo, это, вероятно, уменьшило масштаб ущерба. DNSSEC не останавливает того, кто владеет аккаунтом, потому что такой человек может изменить запись DS, поэтому он стоит после проверок аккаунта, а не вместо них. Настройка описана в как включить DNSSEC для домена.

Записи CAA называют центры сертификации, которым разрешено выпускать сертификаты для домена. Blockaid отметил сертификаты, выпущенные в тот же день, что и изменение DNS, в случаях февраля 2026, поэтому запись CAA, которая называет только ваш центр, заставляет атакующего сначала изменить её, а это видимое событие. Синтаксис — в как настроить записи CAA.

Как не дать неиспользуемым доменам работать против вас (6 и 9)?

Дайте каждому домену заявленное назначение: не отправлять почту и направлять веб-трафик на официальный сайт. Защитное имя без политики почты может быть подделано в фишинговом письме от вашего бренда. Шаблон без почты задаёт null MX, запись SPF v=spf1 -all и политику DMARC p=reject, поэтому получатели отбрасывают такую почту. Wardmint предоставляет шаблон DNS «без почты» (null MX, SPF -all, DMARC p=reject), чтобы защитный домен нельзя было использовать для подделки вашей почты, бесплатная переадресация URL, чтобы направить каждый вариант на основной сайт, и автоматическое продление с баланса, чтобы ни один вариант не истёк. Пошаговая версия — в как остановить подделку почты на неиспользуемых доменах.

На веб-стороне вариант, который отвечает 301-редиректом на ваш сайт, превращает опечатку адреса в визит на нужное место и не даёт имени показывать парковочную страницу. См. как перенаправить защитные домены на основной сайт.

Как следить за похожими доменами и захватами (7)?

Читайте публичный след: каждый публично доверенный сертификат записан в журнал. Ищите строку вашего бренда в Certificate Transparency еженедельно или подписывайтесь на поток новых записей и фильтруйте его. Сертификат на имя, которое вы не запрашивали, — самый ранний публичный признак либо похожего сайта, либо идущего захвата. Инструменты и запросы — в как отслеживать Certificate Transparency для вашего бренда. Wardmint мониторинг не продаёт; бесплатные инструменты покрывают эту проверку.

Также держите наготове второй официальный адрес. Curve во время сбоя 12 мая 2025 направил пользователей на curve.finance как временную точку входа, и это было возможно, потому что у него был контроль над вторым доменом.

Какие варианты и продления завершают список (8 и 10)?

Владейте точным именем на основных расширениях и словами claim, airdrop и wallet на тех, что используют фишеры, а затем никогда не давайте ни одному из них истечь. По опросу Wardmint от 12 ноября 2026, 171 из 578 вариантов доменов 50 крупнейших крипто-проектов (29.6%) были не зарегистрированы в RDAP, а 40 из 50 имён -claim .com и 39 из 50 имён -airdrop .com были свободны; метод и ограничения — на странице аудит защитных доменов крипто-проектов 2026.

Составьте свой список с помощью как составить список защитных доменов для вашего бренда. Затем защитите его от истечения: включите автоматическое продление с баланса, включается и отключается для каждого домена отдельно и поддерживайте баланс, как объяснено в как не дать вашим доменам истечь. Цены не меняются из года в год, поэтому казначейство может заложить бюджет: базовый набор (.com, .net, .org, .io, .xyz, .app) стоит $128.94 в год.

Какая короткая версия для цитирования?

Крипто-проект защищает свои домены, сначала укрепляя аккаунт регистратора, блокируя переносы, подписывая DNS, ограничивая сертификаты, отключая почту на неиспользуемых доменах, следя за журналами сертификатов, владея очевидными вариантами и продлевая автоматически. Wardmint регистрирует защитные домены, которые нужны крипто-проекту, оплата криптовалютой без KYC: без документа, удостоверяющего личность, только один подтверждённый e-mail на домен; он не утверждает, что одна регистрация останавливает фишинг.