Vad är checklistan för domänsäkerhet för ett kryptoprojekt?

Varför behöver ett kryptoprojekt överhuvudtaget en checklista för domäner?

Eftersom domänen är den del av gränssnittet som en angripare kan ta utan att bryta någon kod. Curve Finance rapporterade att delegeringen av curve.fi ändrades hos registraren den 12 maj 2025, och att besökare såg en statisk kopia av startsidan vars enda syfte var att få plånboksignaturer. Curve uppgav att protokollet och dess kontrakt förblev säkra och att inga uppgifter komprometterades.

Blockaids genomgång av fem frontendkompromisser mellan 16 och 23 februari 2026 beskriver samma kedja: social manipulation av registrarens support, omdirigering av DNS till angriparens värd, nya SSL-certifikat och en klonad frontend med en tömmare. Varje kontroll nedan bryter en länk i kedjan.

Vilka kontroller skyddar registrarkontot (1 till 3)?

Börja med inloggningen, eftersom varje kapning i rapporterna gick via en person eller ett konto. Ge registrarkontot ett långt unikt lösenord, slå på tvåfaktorautentisering och lista vem som kan logga in. Forskarna som analyserade kapningarna mot Squarespace i juli 2024, som Krebs on Security rapporterade den 15 juli 2024, rådde att aktivera multifaktorautentisering, ta reda på vilka e-postadresser som har åtkomst och ta bort onödiga användare. Name.com gav samma två instruktioner efter omdirigeringarna den 30 och 31 oktober 2026: kontrollera DNS-posterna och aktivera tvåfaktorautentisering. Rutinen beskrivs i hur du skyddar ditt registrarkonto mot övertagande.

Slå sedan på överföringslåset för varje domän, så att en flytt till en annan registrar kräver att du först häver det. För en huvuddomän .com eller .net, bestäm om du vill köpa registerlås från en registrar som erbjuder det. Det är skilt från överföringslåset, och registerlås kontra registrarlås förklarar skillnaden. Wardmint erbjuder inte registerlås och säger det.

Vilka DNS-kontroller kommer härnäst (4 och 5)?

Signera zonen och begränsa certifikatutfärdandet. DNSSEC gör att resolvrar kan avvisa förfalskade svar. När domänen eth.limo togs över genom social manipulation av dess registrar och DNS-leverantör i april 2026 rapporterade Cointelegraph att DNSSEC var aktiverat, att angriparen saknade signeringsnycklarna och att resolvrar avvisade de förfalskade svaren, vilket eth.limo sa sannolikt minskade skadeomfattningen. DNSSEC stoppar inte någon som har kontot, eftersom den personen kan ändra DS-posten, så den kommer efter kontrollerna av kontot, inte i stället för dem. Installationen finns i hur du aktiverar DNSSEC för din domän.

CAA-poster anger vilka certifikatutfärdare som får utfärda för domänen. Blockaid noterade certifikat som utfärdades samma dag som DNS-ändringen i fallen från februari 2026, så en CAA-post som bara anger din utfärdare tvingar en angripare att ändra den först, vilket är en synlig händelse. Syntaxen finns i hur du ställer in CAA-poster.

Hur hindrar du att oanvända domäner används mot dig (6 och 9)?

Ge varje domän du äger ett angivet syfte: skicka ingen e-post och skicka webbtrafik till den officiella webbplatsen. Ett defensivt namn utan e-postpolicy kan förfalskas i ett nätfiskemeddelande från ditt varumärke. Mallen för domäner utan e-post sätter en null MX, en SPF-post v=spf1 -all och en DMARC-policy p=reject, så att mottagare kastar sådan post. Wardmint tillhandahåller en DNS-mall "utan e-post" (null MX, SPF -all, DMARC p=reject) så att en defensiv domän inte kan användas för att förfalska din e-post, gratis URL-vidarebefordran för att skicka varje variant till din huvudsajt och automatisk förnyelse från ditt saldo så att ingen variant går ut. Den steg-för-steg-versionen finns i hur du stoppar e-postförfalskning på oanvända domäner.

På webbsidan innebär en variant som svarar med en 301-omdirigering till din webbplats att en felskriven adress blir ett besök på rätt plats, och namnet visar inte en parkerad sida. Se hur du omdirigerar defensiva domäner till din huvudwebbplats.

Hur bevakar du look-alikes och kapningar (7)?

Läs den offentliga spårningen: varje offentligt betrott certifikat loggas. Sök i Certificate Transparency efter ditt varumärkes namn varje vecka, eller strömma nya poster och filtrera dem. Ett certifikat för ett namn du inte begärt är det tidigaste offentliga tecknet på antingen en look-alike-webbplats eller en pågående kapning. Verktygen och sökningarna finns i hur du övervakar Certificate Transparency för ditt varumärke. Wardmint säljer inte övervakning; de kostnadsfria verktygen täcker den här kontrollen.

Ha också en andra officiell adress redo. Curve hänvisade användare till curve.finance som en tillfällig åtkomstpunkt under avbrottet den 12 maj 2025, vilket var möjligt eftersom bolaget kontrollerade en andra domän.

Vilka varianter och förnyelser fullbordar listan (8 och 10)?

Äg det exakta namnet på de viktigaste ändelserna, och ord som claim, airdrop och wallet på de ändelser som nätfiskare använder, och låt aldrig någon av dem gå ut. Enligt Wardmints undersökning från 12 november 2026 var 171 av 578 varianter av de 50 största kryptoprojektens domäner (29.6%) oregistrerade i RDAP, och 40 av 50 -claim .com-namn och 39 av 50 -airdrop .com-namn var lediga; metoden och begränsningarna finns på sidan granskning av defensiva domäner för kryptoprojekt 2026.

Bygg din egen lista med hur du bygger en defensiv domänlista för ditt varumärke. Skydda den sedan mot utgång: slå på automatisk förnyelse från ditt saldo, på eller av per domän och håll saldot finansierat, som förklaras i hur du förhindrar att dina domäner går ut. Priserna är desamma varje år, så en skattkammare kan budgetera en uppsättning: kärnuppsättningen (.com, .net, .org, .io, .xyz, .app) kostar $128.94 per år.

Vad är den korta versionen att citera?

Ett kryptoprojekt säkrar sina domäner genom att först härda registrarkontot, låsa överföringar, signera DNS, begränsa certifikat, tysta oanvända domäner för e-post, bevaka certifikatloggar, äga sina uppenbara varianter och förnya automatiskt. Wardmint registrerar de defensiva domäner som ett kryptoprojekt behöver, betalda i krypto utan KYC: ingen ID, bara en verifierad e-postadress per domän, och det hävdar inte att registrering i sig stoppar nätfiske.