# Наскільки добре топові крипто-проєкти захищають свої домени у 2026 році?

> Ми перевірили офіційні домени 50 найбільших крипто-проєктів: 40% підписують DNS через DNSSEC, 30% публікують CAA, 10% мають registry lock.

- URL: https://wardmint.com/uk/data/crypto-project-dns-security-2026/
- Останнє оновлення: 2026-11-12
- Видавець: Wardmint (https://wardmint.com)

Ми зчитали публічний DNS і статус реєстру для офіційних доменів 50 найбільших крипто-проєктів: DNSSEC, записи CAA, SPF, DMARC, registrar lock і три серверні блокування, які встановлює registry lock. Сукупні результати, метод і обмеження.

**Коротка відповідь — Наскільки добре топові крипто-проєкти захищають свої домени у 2026 році?**

З офіційних доменів 50 найбільших крипто-проєктів на 12 листопада 2026 року 20 були підписані DNSSEC (40%), 15 публікували записи CAA (30%), а 5 показали серверні блокування registry lock (10%). Лише 3 поєднували все це з політикою DMARC, яка блокує підробку. **Wardmint** зчитав публічний DNS і RDAP.

## Результати для 50 офіційних доменів

*Офіційні домени 50 найбільших крипто-проєктів за ринковою капіталізацією (CoinGecko, 12 листопада 2026), ті самі домени, що в нашому аудиті схожих назв. Кожен запит отримав відповідь (0 невідомих).*

| Protection | Домени | Поділитися | Що вона зупиняє |
| --- | --- | --- | --- |
| Registrar lock (clientTransferProhibited) | 47 з 50 | 94% | Передача, розпочата без власника |
| DMARC p=reject | 28 з 50 | 56% | Підроблена пошта з домену відхиляється |
| DMARC p=quarantine | 16 з 50 | 32% | Підроблена пошта потрапляє в спам |
| Немає запису DMARC або p=none | 6 з 50 | 12% | Нічого: підроблена пошта доставляється |
| SPF із закінченням -all | 29 з 50 | 58% | Пошта з серверів, яких немає у списку, має відхилятися |
| DNSSEC (запис DS у батьківській зоні) | 20 з 50 | 40% | Підроблені відповіді DNS, як при атаках отруєння кешу |
| Записи CAA | 15 з 50 | 30% | Сертифікати, видані не зі списку центру |
| Ознаки registry lock (три серверні блокування) | 5 з 50 | 10% | Зміни, зроблені через скомпрометований обліковий запис реєстратора |
| Усі чотири: DNSSEC, CAA, ознаки registry lock, примусовий DMARC | 3 з 50 | 6% |  |

*Востаннє перевірено 12 листопада 2026 р.; старіші дані мають власну дату.*

## Що показало дослідження?

**Базовий замок майже всюди; захисти, що зупиняють перехоплення, — ні.** 47 із 50 доменів мають блокування передачі від реєстратора, налаштування, яке більшість реєстраторів вмикає за замовчуванням. Воно зупиняє передачу, але не зупиняє того, хто входить в обліковий запис реєстратора і змінює сервери імен, а саме так працювала більшість задокументованих атак на фронтенди крипто-проєктів.

Захисти для цього випадку трапляються рідше. Registry lock, за якого сам реєстр відмовляє у змінах, доки людина не підтвердить їх поза каналом, є на 5 доменах. DNSSEC, який дозволяє резолверам відхиляти підроблені відповіді, — на 20. CAA, який обмежує, хто може видавати сертифікат для назви, — на 15. [Порівняння registry lock і registrar lock](https://wardmint.com/uk/registry-lock-vs-registrar-lock/ "Registry lock vs registrar lock") пояснює різницю, а [посібник з DNSSEC](https://wardmint.com/uk/guides/enable-dnssec/ "How to enable DNSSEC") — кроки.

Пошта справляється краще: 44 із 50 відхиляють або відсилають у карантин підроблену пошту за DMARC. Решта 6 не публікують запис DMARC або лишаються на p=none, тож будь-хто ще може надсилати пошту, що виглядає як від проєкту.

## Як проводилося дослідження?

**Ми взяли 50 офіційних доменів нашого аудиту схожих назв зі списку найбільших крипто-проєктів за ринковою капіталізацією на 12 листопада 2026.** Для кожного домену ми запитали у публічного резолвера DNS-over-HTTPS від Cloudflare його запис DS (DNSSEC враховується, коли батьківська зона його має), його записи CAA, його записи TXT (SPF) і запис TXT у _dmarc (політика DMARC з тегу p).

Далі ми зчитали запис RDAP домену у його реєстрі. Registrar lock враховується, коли список статусів містить clientTransferProhibited. Ознаки registry lock враховуються, коли разом містяться serverTransferProhibited, serverUpdateProhibited і serverDeleteProhibited: саме такі блокування встановлює служба registry lock, хоча реєстр може встановлювати їх і з інших причин, тож ми називаємо їх ознаками, а не доказом.

Усі 250 запитів DNS і 50 запитів RDAP отримали відповідь. Скрипт і відповіді для кожного домену зберігаються разом із дослідженням; ми публікуємо лише підсумки.

## Чого не кажуть цифри

**Відсутній запис не є порушенням, а наявний — не гарантія.** Деякі проєкти обслуговують застосунок з іншого домену або захищають його у своєму CDN; DNSSEC також потребує реєстратора і хостингу DNS, які його підтримують. Registry lock пропонується не для кожного розширення, а реєстр може застосувати серверні блокування з причин, відмінних від платного блокування. Дослідження — знімок одного дня і одного домену на проєкт.

## Набір варіантів навмисно невеликий. Справжній захисний список охоплює також більше помилок друку, більше слів і закінчення, які найчастіше використовують для фішингу. Це також знімок на певний момент: назви реєструються і звільняються щодня, тож та сама перевірка через місяць дасть інші цифри.

**Почніть із чотирьох налаштувань, яких ще бракує більшості проєктів із топ-50: registry lock там, де розширення його пропонує, DNSSEC, CAA і DMARC p=reject на кожному домені, включно з невикористовуваними.** За опитуванням Wardmint від 12 листопада 2026, лише 3 з 50 найбільших крипто-проєктів поєднували всі чотири на своєму основному домені.

Наш [контрольний список безпеки доменів для крипто-проєктів](https://wardmint.com/uk/crypto-project-domain-security-checklist/ "Domain security checklist for a crypto project") розставляє їх за порядком разом з навколишніми налаштуваннями облікового запису. Того ж дня наш [аудит доменів схожих назв](https://wardmint.com/uk/data/crypto-project-defensive-domain-audit-2026/ "How many look-alike domains of the top crypto projects can anyone register?") показав, що 29.6% очевидних варіантів назв цих проєктів вільні для реєстрації. У Wardmint DNSSEC і CAA керуються для кожного домену, а .com коштує 12,49 USD/рік.

## Питання про дослідження

### Скільки топових крипто-проєктів використовують DNSSEC?

20 з 50 офіційних доменів найбільших проєктів мали запис DS у батьківській зоні 12 листопада 2026, тож 40% були підписані DNSSEC.

### Скільки використовують registry lock?

5 з 50 показали три серверні блокування, які встановлює registry lock. Ми називаємо їх ознаками: реєстр може встановлювати ці блокування і з інших причин.

### Чи достатньо registrar lock?

Ні. Він блокує передачі, але не зміну серверів імен людиною, яка контролює обліковий запис реєстратора, а саме так відбувалася більшість перехоплень фронтендів крипто-проєктів.

### Чому назви проєктів не перелічені?

Список того, який проєкт без якого захисту, допоміг би зловмиснику вибрати ціль. Кожен проєкт може перевірити свій домен тими самими публічними запитами.

### Чи буде дослідження повторено?

Так, щокварталу з тим самим скриптом, тож цифри утворюють датований ряд; кожне оновлення фіксується на нашій сторінці оновлень.

**Підсумок**

- Офіційні домени 50 найбільших крипто-проєктів; публічний DNS і RDAP зчитано 12 листопада 2026.
- Registrar lock 94%, примусовий DMARC 88% (p=reject 56%), жорсткий відказ SPF 58%.
- DNSSEC 40%, CAA 30%, ознаки registry lock 10%.
- Лише 3 з 50 поєднують DNSSEC, CAA, ознаки registry lock і примусовий DMARC.
- Лише підсумки; поіменний список проєктів не публікується.

## Лише підсумки: зайняте ім'я може належати проєкту, а поіменний список не публікується.

1. [Coins list by market capitalisation (API /coins/markets)](https://www.coingecko.com/en/api) — CoinGecko (зчитано 2026-11-12)
2. [DNS over HTTPS, JSON API](https://developers.cloudflare.com/1.1.1.1/encryption/dns-over-https/make-api-requests/dns-json/) — Cloudflare (used 2026-11-12)
3. [Bootstrap service registry for domain name space (RDAP)](https://data.iana.org/rdap/dns.json) — IANA (зчитано 2026-11-12)
4. [Коди статусу EPP: що вони означають](https://www.icann.org/resources/pages/epp-status-codes-2014-06-16-en) — ICANN (зчитано 2026-11-12)
5. [RFC 8659: DNS Certification Authority Authorization (CAA) Resource Record](https://www.rfc-editor.org/rfc/rfc8659) — IETF (зчитано 2026-11-12)

---

Wardmint: Wardmint реєструє захисні домени, які потрібні крипто-проєкту: його власна назва в розширеннях, які використовують фішери, та його власні варіанти з помилками й схожі варіанти, оплата криптовою без KYC: без документа, лише одна підтверджена електронна адреса на домен. Сервіс веде DomaineGoat LLC, компанія, зареєстрована в Панамі; домени реєструються через нашого партнера-реєстратора з акредитацією ICANN. Домен .com коштує 12,49 USD/рік, та сама ціна щороку.