# Насколько хорошо крупнейшие крипто-проекты защищают домены в 2026 году?

> Проверили официальные домены 50 крупнейших крипто-проектов: 40% подписывают DNS через DNSSEC, 30% публикуют CAA, 10% ставят registry lock.

- URL: https://wardmint.com/ru/data/crypto-project-dns-security-2026/
- Последнее обновление: 2026-11-12
- Издатель: Wardmint (https://wardmint.com)

Мы прочитали публичный DNS и статус регистратора официальных доменов 50 крупнейших крипто-проектов: DNSSEC, записи CAA, SPF, DMARC, registrar lock и три серверных замка, которые ставит registry lock. Сводные результаты, методика и ограничения.

**Кратко — Насколько хорошо крупнейшие крипто-проекты защищают домены в 2026 году?**

Из официальных доменов 50 крупнейших крипто-проектов на 12 ноября 2026 20 подписаны DNSSEC (40%), 15 опубликовали записи CAA (30%), а 5 показали серверные замки registry lock (10%). Только 3 сочетали всё это с политикой DMARC, которая блокирует подделку. **Wardmint** читал публичный DNS и RDAP.

## Результаты по 50 официальным доменам

*Официальные домены 50 крупнейших крипто-проектов по рыночной капитализации (CoinGecko, 12 ноября 2026), те же домены, что в нашем аудите похожих имён. Каждый запрос получил ответ (0 неизвестных).*

| Protection | Домены | Доля | Что оно останавливает |
| --- | --- | --- | --- |
| Registrar lock (clientTransferProhibited) | 47 из 50 | 94% | Перенос начат без владельца |
| DMARC p=reject | 28 из 50 | 56% | Поддельная почта от домена отклоняется |
| DMARC p=quarantine | 16 из 50 | 32% | Поддельная почта попадает в спам |
| Нет записи DMARC или p=none | 6 из 50 | 12% | Ничего: поддельная почта доставляется |
| SPF, оканчивающийся на -all | 29 из 50 | 58% | Почта с серверов вне списка должна отклоняться |
| DNSSEC (запись DS у родителя) | 20 из 50 | 40% | Поддельные ответы DNS, как при атаках отравления кэша |
| Записи CAA | 15 из 50 | 30% | Сертификаты от центра вне списка |
| Registry lock signs (три серверных замка) | 5 из 50 | 10% | Изменения через скомпрометированный аккаунт регистратора |
| Все четыре: DNSSEC, CAA, registry lock signs, принудительный DMARC | 3 из 50 | 6% |  |

*Последняя проверка: 12 ноября 2026 г.; для более старых данных указана своя дата.*

## Что показало исследование?

**Базовый замок почти везде; защиты, которые останавливают захват, — нет.** 47 из 50 доменов имеют transfer lock регистратора, настройку, которую большинство регистраторов включают по умолчанию. Он останавливает перенос, но не останавливает того, кто входит в аккаунт регистратора и меняет серверы имён, — именно так работала большая часть задокументированных атак на фронтенды крипто-проектов.

Защиты от этого случая встречаются реже. Registry lock, при котором реестр сам отказывает в изменениях, пока человек не подтвердит их вне канала, есть у 5 доменов. DNSSEC, позволяющий резолверам отвергать поддельные ответы, — у 20. CAA, ограничивающий, кто может выпускать сертификат для имени, — у 15. [Сравнение registry lock и registrar lock](https://wardmint.com/ru/registry-lock-vs-registrar-lock/ "Registry lock vs registrar lock") объясняет разницу, а [руководство по DNSSEC](https://wardmint.com/ru/guides/enable-dnssec/ "How to enable DNSSEC") — шаги.

С почтой дела лучше: 44 из 50 отклоняют или помещают в карантин поддельную почту по DMARC. Остальные 6 не публикуют запись DMARC или остаются на p=none, поэтому кто угодно всё ещё может отправить письмо, похожее на исходящее от проекта.

## Как проводилось исследование?

**Мы взяли 50 официальных доменов из нашего аудита похожих имён, отобранных среди крупнейших крипто-проектов по рыночной капитализации на 12 ноября 2026.** Для каждого домена мы запросили у публичного DNS-over-HTTPS резолвера Cloudflare его запись DS (DNSSEC учитывается, когда родительская зона её содержит), его записи CAA, его TXT-записи (SPF) и TXT-запись в _dmarc (политика DMARC из тега p).

Затем мы прочитали RDAP-запись домена в его реестре. Registrar lock учитывается, если в списке статусов есть clientTransferProhibited. Признаки registry lock учитываются, когда вместе есть serverTransferProhibited, serverUpdateProhibited и serverDeleteProhibited: это замки, которые ставит сервис registry lock, хотя реестр может ставить их и по другим причинам, поэтому мы называем их признаками, а не доказательством.

Все 250 DNS-запросов и 50 RDAP-запросов получили ответ. Скрипт и ответы по каждому домену сохраняются с исследованием; мы публикуем только итоги.

## Что не говорят цифры

**Отсутствие записи — не нарушение, а наличие — не гарантия.** Некоторые проекты отдают приложение с другого домена или защищают его на своём CDN; DNSSEC также требует регистратора и DNS-хоста, которые его поддерживают. Registry lock предлагается не для каждого окончания, а реестр может ставить серверные замки по причинам, не связанным с платным замком. Исследование — снимок одного дня и одного домена на проект.

## Что проект может сделать с этими результатами

**Начните с четырёх настроек, которых большинству проектов из топ-50 всё ещё не хватает: registry lock там, где окончание его предлагает, DNSSEC, CAA и DMARC p=reject на каждом домене, включая неиспользуемые.** По опросу Wardmint от 12 ноября 2026 только 3 из 50 крупнейших крипто-проектов сочетали все четыре на основном домене.

Наш [чек-лист безопасности доменов для крипто-проектов](https://wardmint.com/ru/crypto-project-domain-security-checklist/ "Domain security checklist for a crypto project") ставит их в порядок вместе с настройками аккаунта вокруг них. В тот же день наш [аудит похожих доменов](https://wardmint.com/ru/data/crypto-project-defensive-domain-audit-2026/ "How many look-alike domains of the top crypto projects can anyone register?") показал, что 29.6% очевидных вариантов имён этих проектов свободны для регистрации. В Wardmint DNSSEC и CAA управляются для каждого домена, а .com стоит 12,49 $/год.

## Вопросы об исследовании

### Сколько крупнейших крипто-проектов используют DNSSEC?

20 из 50 официальных доменов крупнейших проектов имели запись DS у родителя на 12 ноября 2026, то есть 40% подписаны DNSSEC.

### Сколько используют registry lock?

5 из 50 показали три серверных замка, которые ставит registry lock. Мы называем их признаками: реестр может ставить эти замки и по другим причинам.

### Достаточно ли registrar lock?

Нет. Он блокирует переносы, но не смену серверов имён тем, кто контролирует аккаунт регистратора, — так происходила большая часть захватов крипто-фронтендов.

### Почему не перечислены названия проектов?

Список того, какой проект чего не имеет, помог бы злоумышленнику выбрать цель. Каждый проект может проверить свой домен теми же публичными запросами.

### Будет ли исследование повторено?

Да, каждый квартал с тем же скриптом, поэтому цифры образуют датированный ряд; каждое обновление фиксируется на нашей странице обновлений.

**Вкратце**

- Официальные домены 50 крупнейших крипто-проектов, публичный DNS и RDAP прочитаны 12 ноября 2026.
- Registrar lock 94%, DMARC принудительный 88% (p=reject 56%), SPF жёсткий отказ 58%.
- DNSSEC 40%, CAA 30%, признаки registry lock 10%.
- Только 3 из 50 сочетают DNSSEC, CAA, признаки registry lock и принудительный DMARC.
- Только итоги; поимённый список по проектам не публикуется.

## Источники и метод

1. [Coins list by market capitalisation (API /coins/markets)](https://www.coingecko.com/en/api) — CoinGecko (прочитано 2026-11-12)
2. [DNS over HTTPS, JSON API](https://developers.cloudflare.com/1.1.1.1/encryption/dns-over-https/make-api-requests/dns-json/) — Cloudflare (used 2026-11-12)
3. [Bootstrap service registry for domain name space (RDAP)](https://data.iana.org/rdap/dns.json) — IANA (прочитано 2026-11-12)
4. [Коды статусов EPP: что они означают](https://www.icann.org/resources/pages/epp-status-codes-2014-06-16-en) — ICANN (прочитано 2026-11-12)
5. [RFC 8659: DNS Certification Authority Authorization (CAA) Resource Record](https://www.rfc-editor.org/rfc/rfc8659) — IETF (прочитано 2026-11-12)

---

Wardmint: Wardmint регистрирует защитные домены, которые нужны крипто-проекту: собственное имя проекта в зонах, которые используют фишеры, и собственные варианты с опечатками и похожими написаниями. Оплата в криптовалюте, без KYC: без документов, удостоверяющих личность, нужен только один подтверждённый e-mail на домен. Сервис принадлежит DomaineGoat LLC, компании, зарегистрированной в Панаме; домены регистрируются через партнёра-регистратора, аккредитованного ICANN. Домен .com стоит 12,49 $/год, одна и та же цена каждый год.