Как защитить домены NFT-проекта?

Что идёт не так в день минта?

Атакующие заимствуют голос проекта, а затем дают пользователям ссылку. Отчёт The Block от 17 марта 2022 года сообщил, что атакующий использовал аккаунт модератора Discord коллекции Rare Bears, чтобы объявить о 1 000 дополнительных редких NFT по 0.1 ETH, примерно $280 по тогдашнему курсу. Ссылка вела на сайт со вредоносным смарт-контрактом, который дал атакующему контроль над активами жертв. Атакующий забрал около $790,000 в NFT и другой криптовалюте, переведённой в 286 ETH через продажи, и было украдено 179 NFT. Rare Bears сообщил участникам, что Discord был скомпрометирован.

Этот шаблон сохраняется. Отчёт Check Point Research от 7 мая 2025 года описывает кампанию в Discord, впервые замеченную в январе 2025 года, в которой атакующие захватывали истёкшие «красивые» ссылки-приглашения крипто-проектов, поэтому пользователи, сохранившие старую ссылку, попадали на сервер с фальшивым ботом проверки, затем на фишинговую копию и подписывали вредоносный запрос. Он насчитывает более 30 000 новых жертв между сентябрём 2024 и мартом 2025 года и не менее $9 000 000 убытков за шесть месяцев для этого дрейнера. Годовой отчёт ScamSniffer от 3 января 2026 года оценивает фишинг с дрейнерами кошельков EVM в $83.85M по 106 106 жертвам в 2025 году, что на 83% меньше, чем $494M в 2024 году, то есть угроза велика, но не постоянна.

Какие домены должен регистрировать NFT-проект?

Точное название коллекции на основных окончаниях, слова минта и заявки рядом с ним и опечатки. Сгруппируйте их в три слоя:

• Основа (.com, .net, .org, .io, .xyz, .app): $128.94 в год. Это точное название, которое большинство пользователей попробует первым.
• Окончания фишеров (.xyz, .pro, .info, .shop, .online, .icu, .click, .live, .support): $212.41 в год. Данные Interisle за период с 1 мая 2025 по 30 апреля 2026 года насчитывают 130 945 фишинговых доменов в .pro, 99 602 в .info, 93 987 в .xyz и 79 625 в .shop.
• Слова события: mint, claim, drop и whitelist, присоединённые к названию, в .com и .xyz. Выбирайте слова, которые вы действительно будете использовать в объявлениях, потому что именно их скопирует подделка.

Два набора пересекаются по .xyz, поэтому реальный итог меньше их суммы. Wardmint регистрирует собственные варианты проекта для этого проекта, никогда не похожие имена другой коллекции, и имеет массовый поиск до 50 имён сразу, затем одна корзина и один платёж за все. Методику ранжирования имён по риску см. в как составить список защитных доменов для своего бренда.

Какие шаги от allowlist до минта?

Считайте от даты минта назад и завершите работу с доменами за неделю до неё.

1. За четыре недели: выберите один домен для минта и страницу с официальными ссылками. Зарегистрируйте базовый набор и опечатки названия коллекции.
2. За три недели: добавьте окончания фишеров и слова события. Включите блокировку переноса и автоматическое продление для каждого имени, оба включены: блокировка переноса, которую вы включаете или отключаете для каждого домена в личном кабинете; код переноса (EPP) тоже запрашивается там; автоматическое продление с баланса, включается и отключается для каждого домена отдельно.
3. За две недели: защитите аккаунт регистратора длинным уникальным паролем и двухфакторной аутентификацией, закреплённой за ролевым почтовым ящиком. Метод описан в как защитить аккаунт регистратора от захвата.
4. За неделю: перенаправьте каждое защитное имя на официальный сайт, примените шаблон без почты к неиспользуемым именам и подпишите зону основного домена. бесплатный DNS-хостинг с записями A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV и CAA, управляемый DNSSEC и собственные серверы имён по желанию (от 2 до 13).
5. День минта: закрепите один адрес во всех подтверждённых каналах и заявите, что ни один сотрудник не отправит ссылку на минт в личных сообщениях.
6. После: сохраняйте имена. Истёкший домен может зарегистрировать кто угодно, поэтому оставьте автоматическое продление включённым и поддерживайте баланс.

Более длинный график для токенного события — в какие домены регистрировать до запуска токена, а шаблоны поддельных страниц заявок описаны в как работают поддельные сайты заявок на аирдроп и фишинговые домены.

Как команда с псевдонимами оплачивает имена?

Предоплаченным балансом, пополненным криптовалютой, без удостоверений личности. Wardmint принимает BTC, USDT, USDC, ETH, SOL, LTC, с минимальным пополнением 25 $, а оплату может отправить мультисиг. Единственные контактные данные — один e-mail на домен, который по правилам ICANN должен быть подтверждён и остаётся приватным. Домен регистрируется на имя клиента; необязательная «Защита домена» регистрирует его на имя DomaineGoat LLC, при этом клиент остаётся бенефициаром, за +29 $ в год.

По опросу Wardmint от 12 ноября 2026 года, .xyz стоит 14,99 $, что на 30% ниже обычной цены продления у Namecheap, составляющей $21.48, и цена при продлении не меняется. Мы не утверждаем, что мы самые дешёвые. Краткий вывод: команда NFT, которая владеет своим именем, его словами для минта и опечатками до минта, оставляет атакующим только те домены, о которых она не подумала.