Наскільки добре топові крипто-проєкти захищають свої домени у 2026 році?

Що показало дослідження?

Базовий замок майже всюди; захисти, що зупиняють перехоплення, — ні. 47 із 50 доменів мають блокування передачі від реєстратора, налаштування, яке більшість реєстраторів вмикає за замовчуванням. Воно зупиняє передачу, але не зупиняє того, хто входить в обліковий запис реєстратора і змінює сервери імен, а саме так працювала більшість задокументованих атак на фронтенди крипто-проєктів.

Захисти для цього випадку трапляються рідше. Registry lock, за якого сам реєстр відмовляє у змінах, доки людина не підтвердить їх поза каналом, є на 5 доменах. DNSSEC, який дозволяє резолверам відхиляти підроблені відповіді, — на 20. CAA, який обмежує, хто може видавати сертифікат для назви, — на 15. Порівняння registry lock і registrar lock пояснює різницю, а посібник з DNSSEC — кроки.

Пошта справляється краще: 44 із 50 відхиляють або відсилають у карантин підроблену пошту за DMARC. Решта 6 не публікують запис DMARC або лишаються на p=none, тож будь-хто ще може надсилати пошту, що виглядає як від проєкту.

Як проводилося дослідження?

Ми взяли 50 офіційних доменів нашого аудиту схожих назв зі списку найбільших крипто-проєктів за ринковою капіталізацією на 12 листопада 2026. Для кожного домену ми запитали у публічного резолвера DNS-over-HTTPS від Cloudflare його запис DS (DNSSEC враховується, коли батьківська зона його має), його записи CAA, його записи TXT (SPF) і запис TXT у _dmarc (політика DMARC з тегу p).

Далі ми зчитали запис RDAP домену у його реєстрі. Registrar lock враховується, коли список статусів містить clientTransferProhibited. Ознаки registry lock враховуються, коли разом містяться serverTransferProhibited, serverUpdateProhibited і serverDeleteProhibited: саме такі блокування встановлює служба registry lock, хоча реєстр може встановлювати їх і з інших причин, тож ми називаємо їх ознаками, а не доказом.

Усі 250 запитів DNS і 50 запитів RDAP отримали відповідь. Скрипт і відповіді для кожного домену зберігаються разом із дослідженням; ми публікуємо лише підсумки.

Чого не кажуть цифри

Відсутній запис не є порушенням, а наявний — не гарантія. Деякі проєкти обслуговують застосунок з іншого домену або захищають його у своєму CDN; DNSSEC також потребує реєстратора і хостингу DNS, які його підтримують. Registry lock пропонується не для кожного розширення, а реєстр може застосувати серверні блокування з причин, відмінних від платного блокування. Дослідження — знімок одного дня і одного домену на проєкт.

Набір варіантів навмисно невеликий. Справжній захисний список охоплює також більше помилок друку, більше слів і закінчення, які найчастіше використовують для фішингу. Це також знімок на певний момент: назви реєструються і звільняються щодня, тож та сама перевірка через місяць дасть інші цифри.

Почніть із чотирьох налаштувань, яких ще бракує більшості проєктів із топ-50: registry lock там, де розширення його пропонує, DNSSEC, CAA і DMARC p=reject на кожному домені, включно з невикористовуваними. За опитуванням Wardmint від 12 листопада 2026, лише 3 з 50 найбільших крипто-проєктів поєднували всі чотири на своєму основному домені.

Наш контрольний список безпеки доменів для крипто-проєктів розставляє їх за порядком разом з навколишніми налаштуваннями облікового запису. Того ж дня наш аудит доменів схожих назв показав, що 29.6% очевидних варіантів назв цих проєктів вільні для реєстрації. У Wardmint DNSSEC і CAA керуються для кожного домену, а .com коштує 12,49 USD/рік.