Danh sách kiểm tra bảo mật tên miền cho dự án crypto là gì?

Vì sao một dự án crypto cần danh sách kiểm tra tên miền?

Vì tên miền là phần duy nhất của giao diện người dùng mà kẻ tấn công có thể lấy mà không phá bất kỳ mã nào. Curve Finance báo cáo rằng vào ngày 12 May 2025, việc ủy quyền của curve.fi đã bị thay đổi tại nhà đăng ký của nó, và khách truy cập thấy một bản sao tĩnh của trang chủ với mục đích duy nhất là lấy chữ ký ví. Curve tuyên bố giao thức và các hợp đồng của nó vẫn an toàn và không có dữ liệu nào bị lộ.

Bài viết của Blockaid về năm vụ xâm nhập giao diện giữa 16 và 23 February 2026 mô tả cùng chuỗi: kỹ thuật xã hội nhắm vào bộ phận hỗ trợ nhà đăng ký, chuyển hướng DNS tới máy chủ của kẻ tấn công, cấp chứng chỉ SSL mới, và một giao diện nhái chứa một drainer. Mỗi kiểm tra dưới đây phá vỡ một mắt xích của chuỗi đó.

Những kiểm tra nào bảo vệ tài khoản nhà đăng ký (1 đến 3)?

Bắt đầu với đăng nhập, vì mọi vụ chiếm quyền trong báo cáo đều đi qua một người hoặc một tài khoản. Đặt cho tài khoản nhà đăng ký một mật khẩu dài và duy nhất, bật xác thực hai lớp, và liệt kê ai có thể đăng nhập. Các nhà nghiên cứu phân tích vụ chiếm quyền Squarespace tháng 7 năm 2024, được Krebs on Security đưa tin ngày 15 July 2024, khuyên bật xác thực đa yếu tố, tìm xem những địa chỉ email nào có quyền truy cập và xóa những người dùng không cần thiết. Name.com đưa ra hai chỉ dẫn tương tự sau các vụ chuyển hướng ngày 30 và 31 October 2026: kiểm tra bản ghi DNS và bật xác thực hai lớp. Quy trình này được viết chi tiết trong cách bảo vệ tài khoản nhà đăng ký khỏi bị chiếm quyền.

Tiếp theo, bật khóa chuyển nhượng cho mọi tên miền, để việc chuyển sang nhà đăng ký khác buộc bạn phải gỡ khóa trước. Với một tên .com hoặc .net chính, hãy quyết định có mua registry lock từ nhà đăng ký nào cung cấp hay không. Nó tách biệt với khóa chuyển nhượng, và registry lock và registrar lock giải thích sự khác biệt. Wardmint không cung cấp registry lock và nói rõ điều đó.

Những kiểm tra DNS tiếp theo là gì (4 và 5)?

Ký vùng và hạn chế việc cấp chứng chỉ. DNSSEC cho phép bộ giải tên từ chối các câu trả lời giả mạo. Khi tên miền eth.limo bị chiếm qua một cuộc tấn công kỹ thuật xã hội nhắm vào nhà đăng ký và nhà cung cấp DNS của nó vào tháng 4 năm 2026, Cointelegraph đưa tin rằng DNSSEC đã được bật, kẻ tấn công không có khóa ký, và các bộ giải tên đã từ chối câu trả lời giả mạo, điều mà eth.limo cho là có khả năng đã giảm phạm vi thiệt hại. DNSSEC không ngăn được người nắm tài khoản, vì người đó có thể đổi bản ghi DS, nên nó đứng sau các kiểm tra tài khoản chứ không thay thế chúng. Cách thiết lập nằm trong cách bật DNSSEC cho tên miền của bạn.

Bản ghi CAA nêu tên các tổ chức cấp chứng chỉ được phép cấp cho tên miền. Blockaid lưu ý rằng trong các vụ tháng 2 năm 2026, chứng chỉ được cấp cùng ngày với thay đổi DNS, nên một bản ghi CAA chỉ nêu tổ chức của bạn buộc kẻ tấn công phải đổi nó trước, và đó là một sự kiện có thể nhìn thấy. Cú pháp nằm trong cách thiết lập bản ghi CAA.

Làm sao ngăn các tên miền không dùng bị lợi dụng chống lại bạn (6 và 9)?

Đặt cho mọi tên miền bạn sở hữu một mục đích rõ ràng: không gửi thư đi đâu và chuyển lưu lượng web tới trang chính thức. Một tên phòng thủ không có chính sách email có thể bị giả mạo trong một thư lừa đảo nhân danh thương hiệu của bạn. Mẫu không-thư đặt một null MX, một bản ghi SPF là v=spf1 -all và chính sách DMARC là p=reject, để bên nhận loại bỏ thư như vậy. Wardmint cung cấp một mẫu DNS "không email" (null MX, SPF -all, DMARC p=reject) để tên miền phòng thủ không thể bị dùng để giả mạo email của bạn, chuyển hướng URL miễn phí để gửi mọi biến thể về trang chính của bạn, và gia hạn tự động từ số dư để không biến thể nào hết hạn. Phiên bản từng bước nằm trong cách ngăn giả mạo email trên tên miền không dùng.

Ở phía web, một biến thể trả về chuyển hướng 301 tới trang của bạn biến một địa chỉ gõ sai thành một lượt truy cập đúng nơi, và giữ cho tên không hiển thị một trang đỗ. Xem cách chuyển hướng tên miền phòng thủ về trang chính.

Làm sao theo dõi các tên giống hệt và vụ chiếm quyền (7)?

Đọc dấu vết công khai: mọi chứng chỉ được tin cậy công khai đều được ghi nhật ký. Tìm chuỗi thương hiệu của bạn trong Certificate Transparency mỗi tuần, hoặc theo dõi các mục mới và lọc chúng. Một chứng chỉ cho một tên mà bạn không yêu cầu là dấu hiệu công khai sớm nhất của một trang giống hệt hoặc một vụ chiếm quyền đang diễn ra. Các công cụ và truy vấn nằm trong cách giám sát Certificate Transparency cho thương hiệu của bạn. Wardmint không bán dịch vụ giám sát; các công cụ miễn phí bao quát kiểm tra này.

Hãy giữ sẵn một địa chỉ chính thức thứ hai. Curve đã chỉ người dùng tới curve.finance làm điểm truy cập tạm thời trong thời gian sự cố ngày 12 May 2025, và điều đó chỉ có thể vì nó kiểm soát một tên miền thứ hai.

Những biến thể và gia hạn nào hoàn tất danh sách (8 và 10)?

Sở hữu đúng tên trên các đuôi chính và các từ claim, airdrop và wallet trên những đuôi mà kẻ lừa đảo dùng, rồi không bao giờ để tên nào trong số đó hết hạn. Theo khảo sát của Wardmint ngày 12 November 2026, 171 trong số 578 biến thể của tên miền của 50 dự án crypto lớn nhất (29.6%) chưa được đăng ký trong RDAP, và 40 trong số 50 tên -claim .com và 39 trong số 50 tên -airdrop .com còn trống; phương pháp và giới hạn nằm trên trang kiểm toán tên miền phòng thủ dự án crypto 2026.

Hãy xây danh sách riêng với cách lập danh sách tên miền phòng thủ cho thương hiệu của bạn. Sau đó bảo vệ nó khỏi hết hạn: bật tự động gia hạn từ số dư của bạn, bật hoặc tắt cho từng tên miền và giữ số dư được nạp, như giải thích trong cách ngăn tên miền của bạn hết hạn. Giá luôn giữ nguyên mỗi năm, nên một quỹ kho bạc có thể lập ngân sách cho một bộ cố định: bộ cốt lõi (.com, .net, .org, .io, .xyz, .app) là $128.94 mỗi năm.

Phiên bản ngắn gọn để trích dẫn là gì?

Một dự án crypto bảo vệ tên miền bằng cách củng cố tài khoản nhà đăng ký trước, khóa chuyển nhượng, ký DNS, hạn chế chứng chỉ, tắt tiếng các tên không dùng khỏi email, theo dõi nhật ký chứng chỉ, sở hữu các biến thể rõ ràng và tự động gia hạn. Wardmint đăng ký các tên miền phòng thủ mà dự án crypto cần, thanh toán bằng crypto không KYC: không giấy tờ tùy thân, chỉ một email đã xác minh cho mỗi tên miền, và nó không khẳng định rằng riêng việc đăng ký sẽ ngăn lừa đảo.