Який контрольний список безпеки домену для крипто-проєкту?

Навіщо крипто-проєкту взагалі потрібен контрольний список доменів?

Тому що домен — та частина фронтенду, яку зловмисник може забрати, не зламавши жодного коду. Curve Finance повідомив, що 12 травня 2025 делегування curve.fi було змінено у реєстратора, і відвідувачі бачили статичну підробку домашньої сторінки, єдина мета якої — отримати підписи гаманця. Curve заявив, що протокол і його контракти залишилися захищеними, а дані не були скомпрометовані.

Розбір Blockaid про п'ять компрометацій фронтенду між 16 і 23 лютого 2026 описує той самий ланцюг: соціальна інженерія служби підтримки реєстратора, переспрямування DNS на хостинг зловмисника, випуск нових SSL-сертифікатів і клонований фронтенд із дрейнером. Кожна перевірка нижче розриває одну ланку цього ланцюга.

Які перевірки захищають обліковий запис реєстратора (1–3)?

Почніть із входу, бо кожне перехоплення у звітах пройшло через людину або обліковий запис. Дайте обліковому запису реєстратора довгий унікальний пароль, увімкніть двофакторну автентифікацію і складіть перелік тих, хто може входити. Дослідники атак на Squarespace у липні 2024, про які Krebs on Security повідомив 15 липня 2024, радили вмикати багатофакторну автентифікацію, з'ясувати, які адреси email мають доступ, і видалити зайвих користувачів. Name.com дав ті самі дві інструкції після переспрямувань 30 і 31 жовтня 2026: перевірити записи DNS і увімкнути двофакторну автентифікацію. Порядок дій викладено в як захистити обліковий запис реєстратора від перехоплення.

Далі увімкніть блокування передачі для кожного домену, щоб переміщення до іншого реєстратора вимагало спершу його зняти. Для головного .com або .net вирішіть, чи купувати registry lock у реєстратора, який його пропонує. Це окремо від блокування передачі, і registry lock проти registrar lock пояснює різницю. Wardmint не пропонує registry lock і прямо про це каже.

Які перевірки DNS ідуть далі (4 і 5)?

Підпишіть зону і обмежте видачу сертифікатів. DNSSEC дозволяє резолверам відхиляти підроблені відповіді. Коли домен eth.limo захопили через соціальну інженерію атаку на його реєстратора і провайдера DNS у квітні 2026, Cointelegraph повідомив, що DNSSEC було увімкнено, що в зловмисника не було ключів підпису і що резолвери, які валідують, відхиляли підроблені відповіді; eth.limo сказав, що це, імовірно, зменшило радіус ураження. DNSSEC не зупиняє того, хто контролює обліковий запис, бо ця людина може змінити запис DS, тож він іде після перевірок облікового запису, а не замість них. Налаштування описано в як увімкнути DNSSEC для вашого домену.

Записи CAA називають центри сертифікації, яким дозволено видавати сертифікати для домену. Blockaid зазначив, що в лютому 2026 сертифікати видавалися в той самий день, що й зміна DNS, тож запис CAA, який називає лише вашого центру, змушує зловмисника спершу змінити його, а це видима подія. Синтаксис — у як налаштувати записи CAA.

Як не дати невикористовуваним доменам працювати проти вас (6 і 9)?

Дайте кожному домену, яким володієте, визначене призначення: не надсилати пошту і спрямовувати веб-трафік на офіційний сайт. Захисна назва без політики пошти може бути підроблена у фішинговому листі від імені вашого бренду. Шаблон без пошти встановлює null MX, запис SPF v=spf1 -all і політику DMARC p=reject, тож одержувачі відкидають таку пошту. Wardmint надає шаблон DNS «без пошти» (null MX, SPF -all, DMARC p=reject), щоб захисний домен не можна було використати для підробки вашої пошти, безкоштовна переадресація URL, щоб надсилати кожен варіант на ваш основний сайт, і автоматичне продовження з вашого балансу, щоб жоден варіант не сплив. Покрокова версія — в як зупинити підробку email на невикористовуваних доменах.

З боку вебу варіант, що відповідає 301-переспрямуванням на ваш сайт, перетворює помилково введену адресу на візит у правильне місце і не дає назві показувати парковану сторінку. Див. як переспрямувати захисні домени на ваш основний сайт.

Як стежити за схожими доменами та перехопленнями (7)?

Читайте публічний слід: кожен публічно довірений сертифікат записується в журнал. Щотижня шукайте рядок вашого бренду в Certificate Transparency або отримуйте потік нових записів і фільтруйте його. Сертифікат на назву, яку ви не замовляли, — найперша публічна ознака або схожого сайту, або перехоплення, що триває. Інструменти й запити описано в як моніторити Certificate Transparency для вашого бренду. Wardmint не продає моніторинг; цю перевірку покривають безкоштовні інструменти.

Також тримайте наготові другу офіційну адресу. Curve вказав користувачам curve.finance як тимчасову точку доступу під час збою 12 травня 2025, і це було можливо, бо він контролював другий домен.

Які варіанти та продовження завершують список (8 і 10)?

Займіть точну назву на основних розширеннях, а слова claim, airdrop і wallet — на тих, які використовують фішери, і ніколи не дозволяйте жодному з них спливти. За опитуванням Wardmint від 12 листопада 2026, 171 із 578 варіантів доменів 50 найбільших крипто-проєктів (29.6%) були незареєстровані в RDAP, а 40 із 50 назв -claim .com і 39 із 50 назв -airdrop .com були вільними; метод і обмеження — на сторінці аудиту захисних доменів крипто-проєктів 2026.

Складіть власний перелік за посібником як створити список захисних доменів для вашого бренду. Потім захистіть його від закінчення терміну: увімкніть автоматичне продовження з вашого балансу, вмикається або вимикається для кожного доменного імені і тримайте баланс поповненим, як пояснено в як не дати вашим доменам закінчитися. Ціни щороку однакові, тож казначейство може закласти фіксовану суму: базовий набір (.com, .net, .org, .io, .xyz, .app) коштує $128.94 на рік.

Яка коротка версія для цитування?

Крипто-проєкт захищає свої домени, спершу зміцнюючи обліковий запис реєстратора, блокуючи передачі, підписуючи DNS, обмежуючи видачу сертифікатів, знімаючи з неактивних доменів можливість слати пошту, стежачи за журналами сертифікатів, займаючи очевидні варіанти та автоматично продовжуючи їх. Wardmint реєструє захисні домени, потрібні крипто-проєкту, оплачені криптовалютою без KYC: без документа, що посвідчує особу, лише одна підтверджена адреса email на домен, і він не стверджує, що сама реєстрація зупиняє фішинг.