Кратко
Насколько хорошо крупнейшие крипто-проекты защищают домены в 2026 году?
Из официальных доменов 50 крупнейших крипто-проектов на 12 ноября 2026 20 подписаны DNSSEC (40%), 15 опубликовали записи CAA (30%), а 5 показали серверные замки registry lock (10%). Только 3 сочетали всё это с политикой DMARC, которая блокирует подделку. Wardmint читал публичный DNS и RDAP.
Результаты по 50 официальным доменам
| Protection | Домены | Доля | Что оно останавливает |
|---|---|---|---|
| Registrar lock (clientTransferProhibited) | 47 из 50 | 94% | Перенос начат без владельца |
| DMARC p=reject | 28 из 50 | 56% | Поддельная почта от домена отклоняется |
| DMARC p=quarantine | 16 из 50 | 32% | Поддельная почта попадает в спам |
| Нет записи DMARC или p=none | 6 из 50 | 12% | Ничего: поддельная почта доставляется |
| SPF, оканчивающийся на -all | 29 из 50 | 58% | Почта с серверов вне списка должна отклоняться |
| DNSSEC (запись DS у родителя) | 20 из 50 | 40% | Поддельные ответы DNS, как при атаках отравления кэша |
| Записи CAA | 15 из 50 | 30% | Сертификаты от центра вне списка |
| Registry lock signs (три серверных замка) | 5 из 50 | 10% | Изменения через скомпрометированный аккаунт регистратора |
| Все четыре: DNSSEC, CAA, registry lock signs, принудительный DMARC | 3 из 50 | 6% |
Последняя проверка: ; для более старых данных указана своя дата
Что показало исследование?
Базовый замок почти везде; защиты, которые останавливают захват, — нет. 47 из 50 доменов имеют transfer lock регистратора, настройку, которую большинство регистраторов включают по умолчанию. Он останавливает перенос, но не останавливает того, кто входит в аккаунт регистратора и меняет серверы имён, — именно так работала большая часть задокументированных атак на фронтенды крипто-проектов.
Защиты от этого случая встречаются реже. Registry lock, при котором реестр сам отказывает в изменениях, пока человек не подтвердит их вне канала, есть у 5 доменов. DNSSEC, позволяющий резолверам отвергать поддельные ответы, — у 20. CAA, ограничивающий, кто может выпускать сертификат для имени, — у 15. Сравнение registry lock и registrar lock объясняет разницу, а руководство по DNSSEC — шаги.
С почтой дела лучше: 44 из 50 отклоняют или помещают в карантин поддельную почту по DMARC. Остальные 6 не публикуют запись DMARC или остаются на p=none, поэтому кто угодно всё ещё может отправить письмо, похожее на исходящее от проекта.
Как проводилось исследование?
Мы взяли 50 официальных доменов из нашего аудита похожих имён, отобранных среди крупнейших крипто-проектов по рыночной капитализации на 12 ноября 2026. Для каждого домена мы запросили у публичного DNS-over-HTTPS резолвера Cloudflare его запись DS (DNSSEC учитывается, когда родительская зона её содержит), его записи CAA, его TXT-записи (SPF) и TXT-запись в _dmarc (политика DMARC из тега p).
Затем мы прочитали RDAP-запись домена в его реестре. Registrar lock учитывается, если в списке статусов есть clientTransferProhibited. Признаки registry lock учитываются, когда вместе есть serverTransferProhibited, serverUpdateProhibited и serverDeleteProhibited: это замки, которые ставит сервис registry lock, хотя реестр может ставить их и по другим причинам, поэтому мы называем их признаками, а не доказательством.
Все 250 DNS-запросов и 50 RDAP-запросов получили ответ. Скрипт и ответы по каждому домену сохраняются с исследованием; мы публикуем только итоги.
Что не говорят цифры
Отсутствие записи — не нарушение, а наличие — не гарантия. Некоторые проекты отдают приложение с другого домена или защищают его на своём CDN; DNSSEC также требует регистратора и DNS-хоста, которые его поддерживают. Registry lock предлагается не для каждого окончания, а реестр может ставить серверные замки по причинам, не связанным с платным замком. Исследование — снимок одного дня и одного домена на проект.
Что проект может сделать с этими результатами
Начните с четырёх настроек, которых большинству проектов из топ-50 всё ещё не хватает: registry lock там, где окончание его предлагает, DNSSEC, CAA и DMARC p=reject на каждом домене, включая неиспользуемые. По опросу Wardmint от 12 ноября 2026 только 3 из 50 крупнейших крипто-проектов сочетали все четыре на основном домене.
Наш чек-лист безопасности доменов для крипто-проектов ставит их в порядок вместе с настройками аккаунта вокруг них. В тот же день наш аудит похожих доменов показал, что 29.6% очевидных вариантов имён этих проектов свободны для регистрации. В Wardmint DNSSEC и CAA управляются для каждого домена, а .com стоит 12,49 $/год.
Вопросы об исследовании
Сколько крупнейших крипто-проектов используют DNSSEC?
20 из 50 официальных доменов крупнейших проектов имели запись DS у родителя на 12 ноября 2026, то есть 40% подписаны DNSSEC.
Сколько используют registry lock?
5 из 50 показали три серверных замка, которые ставит registry lock. Мы называем их признаками: реестр может ставить эти замки и по другим причинам.
Достаточно ли registrar lock?
Нет. Он блокирует переносы, но не смену серверов имён тем, кто контролирует аккаунт регистратора, — так происходила большая часть захватов крипто-фронтендов.
Почему не перечислены названия проектов?
Список того, какой проект чего не имеет, помог бы злоумышленнику выбрать цель. Каждый проект может проверить свой домен теми же публичными запросами.
Будет ли исследование повторено?
Да, каждый квартал с тем же скриптом, поэтому цифры образуют датированный ряд; каждое обновление фиксируется на нашей странице обновлений.
Вкратце
- Официальные домены 50 крупнейших крипто-проектов, публичный DNS и RDAP прочитаны 12 ноября 2026.
- Registrar lock 94%, DMARC принудительный 88% (p=reject 56%), SPF жёсткий отказ 58%.
- DNSSEC 40%, CAA 30%, признаки registry lock 10%.
- Только 3 из 50 сочетают DNSSEC, CAA, признаки registry lock и принудительный DMARC.
- Только итоги; поимённый список по проектам не публикуется.
Источники и метод (5)
- Coins list by market capitalisation (API /coins/markets) — CoinGecko (прочитано 2026-11-12)
- DNS over HTTPS, JSON API — Cloudflare (used 2026-11-12)
- Bootstrap service registry for domain name space (RDAP) — IANA (прочитано 2026-11-12)
- Коды статусов EPP: что они означают — ICANN (прочитано 2026-11-12)
- RFC 8659: DNS Certification Authority Authorization (CAA) Resource Record — IETF (прочитано 2026-11-12)