# Các dự án crypto hàng đầu bảo mật tên miền của họ tốt đến mức nào trong năm 2026?

> Chúng tôi kiểm tra tên miền chính thức của 50 dự án crypto lớn nhất: 40% ký DNS bằng DNSSEC, 30% công bố CAA, 10% hiển thị khóa registry lock.

- URL: https://wardmint.com/vi/data/crypto-project-dns-security-2026/
- Cập nhật lần cuối: 2026-11-12
- Đơn vị phát hành: Wardmint (https://wardmint.com)

Chúng tôi đọc DNS công khai và trạng thái registry của tên miền chính thức của 50 dự án crypto lớn nhất: DNSSEC, bản ghi CAA, SPF, DMARC, khóa nhà đăng ký và ba khóa máy chủ mà registry lock đặt. Kết quả tổng hợp, phương pháp và giới hạn.

**Trả lời nhanh — Các dự án crypto hàng đầu bảo mật tên miền của họ tốt đến mức nào trong năm 2026?**

Trong số tên miền chính thức của 50 dự án crypto lớn nhất vào ngày 12 November 2026, 20 đã được ký bằng DNSSEC (40%), 15 công bố bản ghi CAA (30%) và 5 hiển thị các khóa máy chủ của registry lock (10%). Chỉ 3 kết hợp tất cả những điều đó với chính sách DMARC chặn giả mạo. **Wardmint** đọc DNS công khai và RDAP.

## Kết quả cho 50 tên miền chính thức

*Tên miền chính thức của 50 dự án crypto lớn nhất theo vốn hóa thị trường (CoinGecko, 12 November 2026), cùng các tên miền với kiểm toán tên giống hệt của chúng tôi. Mọi lượt tra đều có câu trả lời (0 không rõ).*

| Protection | Tên miền | Tỷ lệ | Nó ngăn điều gì |
| --- | --- | --- | --- |
| Khóa nhà đăng ký (clientTransferProhibited) | 47 trên 50 | 94% | Một chuyển nhượng được khởi xướng mà không có chủ sở hữu |
| DMARC p=reject | 28 trên 50 | 56% | Thư giả mạo từ tên miền bị từ chối |
| DMARC p=quarantine | 16 trên 50 | 32% | Thư giả mạo bị đưa vào thư rác |
| Không có bản ghi DMARC hoặc p=none | 6 trên 50 | 12% | Không có gì: thư giả mạo vẫn được gửi đi |
| SPF kết thúc bằng -all | 29 trên 50 | 58% | Thư từ máy chủ không có trong danh sách nên bị từ chối |
| DNSSEC (bản ghi DS tại cấp trên) | 20 trên 50 | 40% | Câu trả lời DNS giả mạo, như trong các cuộc tấn công cache-poisoning |
| Bản ghi CAA | 15 trên 50 | 30% | Chứng chỉ được cấp bởi một tổ chức không có trong danh sách |
| Dấu hiệu registry lock (ba khóa máy chủ) | 5 trên 50 | 10% | Thay đổi thực hiện qua một tài khoản nhà đăng ký bị xâm nhập |
| Cả bốn: DNSSEC, CAA, dấu hiệu registry lock, DMARC được thực thi | 3 trên 50 | 6% |  |

*Kiểm tra lần cuối vào 12 tháng 11, 2026; các số liệu cũ hơn có ngày riêng.*

## Nghiên cứu đã tìm thấy gì?

**Khóa cơ bản gần như phổ biến; còn các biện pháp ngăn chiếm quyền thì không.** 47 trong 50 tên miền có khóa chuyển nhượng của nhà đăng ký, cài đặt mà hầu hết nhà đăng ký bật mặc định. Nó ngăn việc chuyển nhượng, nhưng không ngăn người đăng nhập vào tài khoản nhà đăng ký và đổi máy chủ tên, đó là cách hầu hết các cuộc tấn công được ghi nhận vào giao diện crypto đã diễn ra.

Các biện pháp phòng thủ cho trường hợp đó hiếm hơn. Registry lock, khiến chính registry từ chối thay đổi cho đến khi một người xác nhận ngoài kênh, xuất hiện trên 5 tên miền. DNSSEC, cho phép bộ giải tên từ chối câu trả lời giả mạo, có ở 20. CAA, giới hạn ai được cấp chứng chỉ cho tên, có ở 15. [So sánh registry lock và registrar lock](https://wardmint.com/vi/registry-lock-vs-registrar-lock/ "Registry lock vs registrar lock") giải thích sự khác biệt, còn [hướng dẫn DNSSEC](https://wardmint.com/vi/guides/enable-dnssec/ "How to enable DNSSEC") nêu các bước.

Email làm tốt hơn: 44 trong 50 từ chối hoặc cách ly thư giả mạo bằng DMARC. 6 tên còn lại không công bố bản ghi DMARC hoặc vẫn ở p=none, nên bất kỳ ai vẫn có thể gửi thư có vẻ đến từ dự án.

## Nghiên cứu được thực hiện thế nào?

**Chúng tôi dùng 50 tên miền chính thức từ kiểm toán tên giống hệt của mình, lấy từ các dự án crypto lớn nhất theo vốn hóa thị trường vào ngày 12 November 2026.** Với mỗi tên miền, chúng tôi hỏi bộ giải DNS-over-HTTPS công khai của Cloudflare về bản ghi DS của nó (DNSSEC được tính khi vùng cha có bản ghi đó), các bản ghi CAA, các bản ghi TXT (SPF) và bản ghi TXT tại _dmarc (chính sách DMARC từ thẻ p).

Sau đó chúng tôi đọc bản ghi RDAP của tên miền tại registry của nó. Khóa nhà đăng ký được tính khi danh sách trạng thái có clientTransferProhibited. Dấu hiệu registry lock được tính khi có đồng thời serverTransferProhibited, serverUpdateProhibited và serverDeleteProhibited: đó là các khóa mà dịch vụ registry lock đặt, dù một registry cũng có thể đặt chúng vì lý do khác, nên chúng tôi gọi là dấu hiệu, không phải bằng chứng.

Tất cả 250 lượt tra DNS và 50 lượt tra RDAP đều có câu trả lời. Script và câu trả lời theo từng tên miền được lưu cùng nghiên cứu; chúng tôi chỉ công bố tổng số.

## Điều các con số không nói

**Thiếu một bản ghi không phải là vi phạm, và có một bản ghi không phải là bảo đảm.** Một số dự án phục vụ ứng dụng từ tên miền khác hoặc bảo vệ nó tại CDN của họ; DNSSEC cũng cần nhà đăng ký và máy chủ DNS hỗ trợ nó. Registry lock không được cung cấp cho mọi đuôi, và một registry có thể áp dụng khóa máy chủ vì lý do khác ngoài một khóa trả phí. Nghiên cứu là ảnh chụp một ngày và một tên miền cho mỗi dự án.

## Một dự án có thể làm gì với các kết quả này

**Bắt đầu với bốn thiết lập mà hầu hết dự án trong top 50 vẫn thiếu: registry lock nơi đuôi đó cung cấp, DNSSEC, CAA và DMARC p=reject trên mọi tên miền, kể cả những tên không dùng.** Theo khảo sát của Wardmint ngày 12 November 2026, chỉ 3 trong 50 dự án crypto lớn nhất kết hợp cả bốn trên tên miền chính của họ.

[Danh sách kiểm tra bảo mật tên miền cho dự án crypto](https://wardmint.com/vi/crypto-project-domain-security-checklist/ "Domain security checklist for a crypto project") của chúng tôi sắp xếp chúng theo thứ tự cùng các thiết lập tài khoản xung quanh. Cùng ngày, [kiểm toán tên giống hệt](https://wardmint.com/vi/data/crypto-project-defensive-domain-audit-2026/ "How many look-alike domains of the top crypto projects can anyone register?") của chúng tôi cho thấy 29.6% biến thể rõ ràng của tên các dự án này còn trống để đăng ký. Tại Wardmint, DNSSEC và CAA được quản lý cho từng tên miền và một đuôi .com có giá 12,49 US$/năm.

## Câu hỏi về nghiên cứu

### Bao nhiêu dự án crypto hàng đầu dùng DNSSEC?

20 trong số tên miền chính thức của 50 dự án lớn nhất có bản ghi DS tại cấp cha vào ngày 12 November 2026, nên 40% được ký bằng DNSSEC.

### Có bao nhiêu dự án dùng registry lock?

5 trong 50 hiển thị ba khóa máy chủ mà registry lock đặt. Chúng tôi gọi đó là dấu hiệu: một registry cũng có thể đặt các khóa đó vì lý do khác.

### Khóa nhà đăng ký có đủ không?

Không. Nó chặn chuyển nhượng, nhưng không chặn việc đổi máy chủ tên bởi người kiểm soát tài khoản nhà đăng ký, đó là cách hầu hết các vụ chiếm giao diện crypto đã xảy ra.

### Vì sao không liệt kê tên dự án?

Một danh sách cho biết dự án nào thiếu biện pháp nào sẽ giúp kẻ tấn công chọn mục tiêu. Mỗi dự án có thể kiểm tra tên miền của mình bằng cùng các lượt tra công khai.

### Nghiên cứu có được lặp lại không?

Có, mỗi quý với cùng script, để các số liệu tạo thành một chuỗi có ngày; mỗi lần cập nhật được ghi trên trang cập nhật của chúng tôi.

**Tóm tắt**

- Tên miền chính thức của 50 dự án crypto lớn nhất, đọc DNS công khai và RDAP vào ngày 12 November 2026.
- Khóa nhà đăng ký 94%, DMARC được thực thi 88% (p=reject 56%), SPF từ chối cứng 58%.
- DNSSEC 40%, CAA 30%, dấu hiệu registry lock 10%.
- Chỉ 3 trong 50 kết hợp DNSSEC, CAA, dấu hiệu registry lock và chính sách DMARC được thực thi.
- Chỉ có tổng số; không công bố danh sách theo từng dự án.

## Nguồn và phương pháp

1. [Coins list by market capitalisation (API /coins/markets)](https://www.coingecko.com/en/api) — CoinGecko (đọc ngày 2026-11-12)
2. [DNS over HTTPS, JSON API](https://developers.cloudflare.com/1.1.1.1/encryption/dns-over-https/make-api-requests/dns-json/) — Cloudflare (used 2026-11-12)
3. [Bootstrap service registry for domain name space (RDAP)](https://data.iana.org/rdap/dns.json) — IANA (đọc ngày 2026-11-12)
4. [Mã trạng thái EPP có nghĩa là gì](https://www.icann.org/resources/pages/epp-status-codes-2014-06-16-en) — ICANN (đọc ngày 2026-11-12)
5. [RFC 8659: DNS Certification Authority Authorization (CAA) Resource Record](https://www.rfc-editor.org/rfc/rfc8659) — IETF (đọc ngày 2026-11-12)

---

Wardmint: Wardmint đăng ký các tên miền phòng thủ mà một dự án tiền mã hóa cần — tên riêng của họ trên các đuôi mà kẻ lừa đảo hay dùng, cùng các biến thể gõ sai và gần giống — thanh toán bằng tiền mã hóa, không KYC: không cần giấy tờ tùy thân, chỉ một email đã xác minh cho mỗi tên miền. Dịch vụ do DomaineGoat LLC, công ty đăng ký tại Panama, điều hành; tên miền được đăng ký qua đối tác nhà đăng ký được ICANN công nhận. Một tên miền .com có giá 12,49 US$/năm, và giá này không đổi mỗi năm.