快速回答
2026 年，顶级加密项目的域名安全做得如何？
2026 年 11 月 12 日，50 个最大加密项目的官方域名中，有 20 个启用了 DNSSEC（40%），15 个发布了 CAA 记录（30%），5 个显示了注册局锁定的服务器锁（10%）。只有 3 个同时具备上述全部措施以及可阻止伪造的 DMARC 策略。Wardmint 读取了公开的 DNS 和 RDAP。
50 个官方域名的结果
| Protection | 域名 | 分享 | 它阻止什么 |
|---|---|---|---|
| 注册商锁定（clientTransferProhibited） | 50 中的 47 | 94% | 未经持有人同意发起的转移 |
| DMARC p=reject | 50 中的 28 | 56% | 伪造的邮件从该域名发出时被拒绝 |
| DMARC p=quarantine | 50 中的 16 | 32% | 伪造的邮件进入垃圾邮件箱 |
| 没有 DMARC 记录或 p=none | 50 中的 6 | 12% | 无：伪造的邮件仍会被投递 |
| 以 -all 结尾的 SPF | 50 中的 29 | 58% | 来自未列出服务器的邮件应被拒绝 |
| DNSSEC（父区域中的 DS 记录） | 50 中的 20 | 40% | 伪造的 DNS 应答，如缓存投毒攻击 |
| CAA 记录 | 50 中的 15 | 30% | 来自未列出机构的证书 |
| 注册局锁定签名（三项服务器锁） | 50 中的 5 | 10% | 通过被攻陷的注册商账户所做的更改 |
| 全部四项：DNSSEC、CAA、注册局锁定签名、强制执行的 DMARC | 50 中的 3 | 6% |
最后核查于 ；较早的数据各自标注其日期
研究发现了什么？
基础锁定几乎普遍存在；而能阻止劫持的防护却并不普遍。 50 个域名中有 47 个设置了注册商转移锁定，这是大多数注册商默认开启的设置。它能阻止转移，但无法阻止登录注册商账户并更改名称服务器的人，而这正是大多数已记录的加密前端攻击的方式。
针对该情形的防御措施较为少见。注册局锁定使注册局在某人通过带外方式确认之前拒绝任何更改，它在 5 个域名上可见。DNSSEC 使解析器能够拒绝伪造的应答，在 20 个域名上启用。CAA 限制可为该名称签发证书的机构，在 15 个域名上设置。注册局锁定与注册商锁定的对比解释了二者的区别，DNSSEC 指南则给出了具体步骤。
邮件方面的情况较好：50 个域名中有 44 个通过 DMARC 拒绝或隔离伪造的邮件。其余 6 个未发布 DMARC 记录，或停留在 p=none，因此任何人仍可发送看似来自该项目的邮件。
研究是如何进行的？
我们使用了仿冒域名审计中的 50 个官方域名，它们选自 2026 年 11 月 12 日按市值排名的最大加密项目。 对于每个域名，我们向 Cloudflare 的公共 DNS-over-HTTPS 解析器查询其 DS 记录（若父区域存在 DS 记录，则计为启用 DNSSEC）、其 CAA 记录、其 TXT 记录（SPF），以及 _dmarc 处的 TXT 记录（DMARC 策略取自 p 标签）。
随后，我们在注册局读取该域名的 RDAP 记录。当状态列表中包含 clientTransferProhibited 时，计为注册商锁定。当同时包含 serverTransferProhibited、serverUpdateProhibited 和 serverDeleteProhibited 时，计为注册局锁定签名：这些正是注册局锁定服务所设置的锁，但注册局也可能出于其他原因设置它们，因此我们称之为签名，而非证明。
全部 250 次 DNS 查询和 50 次 RDAP 查询均已得到应答。脚本及各域名的答复与本研究一并保存；我们只发布总数。
研究未说明的内容
缺失记录并不意味着遭到入侵，存在的记录也并非保证。 部分项目将应用托管在其他域名上，或由 CDN 进行保护；DNSSEC 还需要注册商和 DNS 托管商的支持。并非每种扩展名都提供注册局锁定，注册局也可能因注册局锁定服务以外的原因设置服务器锁。本研究是某一天、每个项目一个域名的快照。
项目可以如何利用这些结果
请先从前 50 名中多数项目仍缺少的四项设置入手：在扩展名支持的情况下启用注册局锁定、启用 DNSSEC、设置 CAA，并在每个域名（包括闲置域名）上将 DMARC 设为 p=reject。 根据 Wardmint 2026 年 11 月 12 日的调查，50 个最大加密项目中只有 3 个在其主域名上同时具备全部四项。
我们的加密项目域名安全清单按顺序列出了这些设置，并包括与之相关的账户设置。同日，我们的仿冒域名审计发现，这些项目名称的显而易见变体中有 29.6% 可供注册。在 Wardmint，DNSSEC 和 CAA 由系统为每个域名托管，.com 的费用为 US$12.49/年。
关于研究的问题
前 50 名加密项目中有多少使用 DNSSEC？
2026 年 11 月 12 日，50 个最大项目的官方域名中有 20 个在父区域设有 DS 记录，即 40% 启用了 DNSSEC。
有多少项目使用注册局锁定？
50 个中有 5 个显示了注册局锁定所设置的三项服务器锁。我们称之为签名：注册局也可能出于其他原因设置这些锁。
仅有注册商锁定是否足够？
不够。它能阻止转移，但无法阻止控制注册商账户的人更改名称服务器，而大多数加密前端劫持正是如此发生的。
为什么没有列出项目名称？
列出哪个项目缺少哪项防护，会帮助攻击者选择目标。每个项目都可以用相同的公开查询检查自己的域名。
研究会重复进行吗？
会，每季度以相同的脚本进行，因此这些数据构成一个带日期的系列；每次更新都记录在我们的更新页面上。
小结
- 50 个最大加密项目的官方域名，公开 DNS 与 RDAP 读取于 2026 年 11 月 12 日。
- 注册商锁定 94%，强制执行的 DMARC 88%（p=reject 为 56%），SPF 硬失败 58%。
- DNSSEC 40%，CAA 30%，注册局锁定签名 10%。
- 50 个中只有 3 个同时具备 DNSSEC、CAA、注册局锁定签名和强制执行的 DMARC 策略。
- 仅公布总数；不公布按项目划分的列表。
来源与方法 (5)
- Coins list by market capitalisation (API /coins/markets) — CoinGecko (读取于 2026-11-12)
- DNS over HTTPS, JSON API — Cloudflare (used 2026-11-12)
- Bootstrap service registry for domain name space (RDAP) — IANA (读取于 2026-11-12)
- EPP 状态码：它们是什么意思 — ICANN (读取于 2026-11-12)
- RFC 8659：DNS 证书颁发机构授权（CAA）资源记录 — IETF (读取于 2026-11-12)