Кратко
Как DAO держать свои домены и платить за них?
DAO стоит держать свои домены в одном аккаунте, закреплённом за ролью, а не за человеком, защитить вход длинным паролем и двухфакторной аутентификацией и платить с предоплаченного баланса, пополняемого из казны. В Wardmint баланс начинается с 25 $, каждый домен продлевается автоматически, а опция Защита домена стоит +29 $/год.
Кто за что отвечает в доменах DAO
| Обязанность | Кто должен отвечать | Чем пользоваться |
|---|---|---|
| Вход у регистратора | Назначенная роль (операционный распорядитель) с запасным держателем | Номер аккаунта, длинный уникальный пароль, двухфакторная аутентификация |
| E-mail для восстановления | Почтовый ящик, который контролирует DAO и который не используется ни для чего другого | Общий для двух подписантов, никогда не личный ящик |
| Пополнения | Мультиподпись казны | Платёж точной суммы в BTC, USDT, USDC, ETH, SOL, LTC |
| Продление | Автоматически с баланса; распорядитель следит за ним | автоматическое продление с баланса, включается и отключается для каждого домена отдельно |
| Имя владельца | Участник или компания, внесённая в реестр, с Защитой домена | Бесплатный возврат на ваше имя |
| Жалобы и юридические уведомления | Распорядитель, с отслеживаемым почтовым ящиком для abuse | Проверка каждой жалобы человеком при наличии Защиты домена |
Почему аккаунт домена DAO — больший риск, чем её контракты?
Аккаунт, который управляет доменом, может перенаправить всех пользователей на копию вашего фронтенда, не затрагивая ни одного контракта. Curve Finance заявила, что её контракты и данные пользователей не пострадали при перехвате на уровне регистратора 12 мая 2025, но пользователей направляли на поддельную страницу, которая просила подписи.
По данным индекса Wardmint, в его таблице инцидентов с 2022 года семь случаев, когда атака шла через аккаунт регистратора или DNS, а не через смарт-контракт: Curve Finance в августе 2022 и мае 2025, Balancer в сентябре 2023, Galxe в октябре 2023, волна Squarespace в июле 2024, группа из пяти фронтендов в феврале 2026 и дюжина сайтов DeFi, зарегистрированных в Name.com 30 октября 2026 (причина последнего случая оспаривается между клиентами Name.com и Vercel). В случае с Name.com The Block проследил около $138,000 до трёх кошельков EVM.
Для DAO риск острее, потому что человек, создавший аккаунт, мог уйти, и никто не помнит, на какой e-mail приходит ссылка для восстановления.
Кто должен держать аккаунт у регистратора?
Аккаунт должна держать роль, и действовать от её имени должны мочь два человека. Создайте аккаунт с почтовым ящиком, который контролирует DAO, а не с личным адресом участника, и запишите в руководстве DAO, у кого какие данные для входа.
Wardmint входит по номеру аккаунта, паролю и двухфакторной аутентификации. Используйте генератор паролей, храните секрет в том же хранилище, которое DAO использует для другой инфраструктуры, и меняйте доступ, когда распорядитель уходит. Метод описан в статье как защитить аккаунт у регистратора от захвата.
В Wardmint не запрашивается документ, удостоверяющий личность. Единственные собираемые контактные данные — один адрес e-mail на домен, обязательный и подтверждённый по требованиям ICANN, конфиденциальный. Мы передаём имеющиеся у нас данные только тогда, когда этого требует панамское законодательство (приказ панамского суда или прокурора) или в деле по UDRP.
Стоит ли DAO использовать Защиту домена?
Используйте Защиту домена, когда ни один участник не хочет быть регистрантом. С этой опцией домен регистрируется на имя DomaineGoat LLC, компании, зарегистрированной в Панама. DAO остаётся бенефициаром и может вернуть домен на своё имя бесплатно. Блокировка переноса включена, а хранимых данных минимум.
Она также добавляет чтение каждой жалобы человеком до любых действий с доменом. Такая проверка существует только с этой опцией. Стоимость — +29 $/год за домен, сверх цены домена. Без этой опции домен оформлен на имя клиента и действуют обычные правила в отношении злоупотреблений.
Защита домена не является щитом от жалоб на фишинг или мошенничество: злоупотребления, при которых у жертв забирают деньги, влекут действие в течение 24 часов после получения обоснованной жалобы, с опцией или без неё. Полные условия читайте на странице Защита домена.
Как казна платит и кто следит за продлениями?
Казна один раз пополняет предоплаченный баланс, а автоматическое продление списывает с него. Минимальное пополнение — 25 $. Отправьте точную указанную сумму, нажмите, что вы отправили платёж, и пополнение будет сопоставлено по точной сумме и зачислено после подтверждения. Часть пополнения, добавленная только до минимума, возвращается по запросу в течение 30 дней в USDT или USDC, если не потрачена; остальная часть баланса не сгорает и не возвращается.
Назначьте одного распорядителя, который будет раз в квартал сверять баланс с предстоящими продлениями, потому что домен без средств всё равно истекает. Истёкший крипто-домен может занять кто-то другой. Как не дать своим доменам истечь рассказывает о льготных периодах и проверках.
Поток мультиподписи, сети и квитанции описаны в статье как платить за домены из казны DAO в USDC или USDT. Более широкий план смотрите в статье как защитить крипто-проект от фишинговых доменов.
Безопасность доменов DAO: вопросы
Может ли DAO регистрировать домены без юридического лица?
Да, в Wardmint: домен регистрируется на имя клиента, с одним подтверждённым e-mail и без документов, удостоверяющих личность. Если ни один участник не хочет быть регистрантом, Защита домена оформляет регистрацию на имя DomaineGoat LLC с бесплатным возвратом.
Что будет, если человек с данными для входа уйдёт?
Доступ следует за почтовым ящиком и хранилищем, которые контролирует DAO, поэтому держатель роли может меняться. Поддержка: ответы по e-mail в течение 12 часов, 7 дней в неделю, включая помощь с DNSSEC, записями CAA и жалобами на злоупотребления. Держите второго держателя, чтобы утерянные данные никогда не блокировали продление.
Может ли мультиподпись казны платить напрямую?
Да. Любой кошелёк или мультиподпись может отправить точную сумму, показанную в BTC, USDT, USDC, ETH, SOL, LTC. Пополнение сопоставляется по точной сумме и зачисляется после подтверждения.
Требует ли автопродление подписи каждый год?
Нет. автоматическое продление с баланса, включается и отключается для каждого домена отдельно, поэтому баланс оплачивает продление без новой транзакции. На балансе при этом должно хватать средств.
Доступна ли блокировка в реестре для основного домена DAO?
Не в Wardmint. Блокировку в реестре предлагает Verisign для .com и .net через участвующих регистраторов. Wardmint предлагает блокировку переноса и Защиту домена.
Вкратце
- Закрепите аккаунт за ролью и запасным держателем, а не за одним человеком.
- Вход в Wardmint: номер аккаунта, пароль и двухфакторная аутентификация.
- Минимальное пополнение 25 $; любой кошелёк или мультиподпись может платить в BTC, USDT, USDC, ETH, SOL, LTC.
- Автопродление списывает с баланса; распорядитель проверяет его раз в квартал.
- Защита домена: +29 $/год, регистрация на имя DomaineGoat LLC, бесплатный возврат, проверка жалоб человеком.
- Один подтверждённый e-mail на домен, без документов; данные передаются только по панамскому законодательству или в деле по UDRP.
- Wardmint насчитал в своей таблице семь инцидентов на уровне регистратора или DNS-провайдера с 2022 года.
Источники (7)
- Уведомление Curve Finance об инциденте с доменом, 12 мая 2025 — Curve Finance (прочитано 2026-11-12)
- Хакеры перехватили дюжину сайтов DeFi, все зарегистрированные в Name.com, и украли около $138,000 — The Block (прочитано 2026-11-12)
- Исследователи: слабые настройки безопасности по умолчанию привели к перехвату доменов Squarespace — Krebs on Security (прочитано 2026-11-12)
- Перехват фронтенда и поверхность атаки Web2 — Blockaid (прочитано 2026-11-12)
- Galxe объявляет о возмещении $396,000 после атаки на DNS — The Block (прочитано 2026-11-12)
- Атаки на DNS Galxe и Balancer — FXStreet (прочитано 2026-11-12)
- Пользователи Curve Finance потеряли $573,000 в атаке на фронтенд — ForkLog (прочитано 2026-11-12)