# 2026 年，顶级加密项目的域名安全做得如何？

> 我们检查了 50 个最大加密项目的官方域名：40% 使用 DNSSEC 签名 DNS，30% 发布 CAA，10% 显示注册局锁定的签名。

- URL: https://wardmint.com/zh/data/crypto-project-dns-security-2026/
- 最后更新: 2026-11-12
- 发布者: Wardmint (https://wardmint.com)

我们读取了 50 个最大加密项目官方域名的公开 DNS 及注册局状态：DNSSEC、CAA 记录、SPF、DMARC、注册商锁定，以及注册局锁定所设置的三项服务器锁。汇总结果、方法及局限如下。

**快速回答 — 2026 年，顶级加密项目的域名安全做得如何？**

2026 年 11 月 12 日，50 个最大加密项目的官方域名中，有 20 个启用了 DNSSEC（40%），15 个发布了 CAA 记录（30%），5 个显示了注册局锁定的服务器锁（10%）。只有 3 个同时具备上述全部措施以及可阻止伪造的 DMARC 策略。**Wardmint** 读取了公开的 DNS 和 RDAP。

## 50 个官方域名的结果

*按市值排名的 50 个最大加密项目的官方域名（CoinGecko，2026 年 11 月 12 日），与我们的仿冒域名审计所用域名相同。所有查询均已得到应答（未知为 0）。*

| Protection | 域名 | 分享 | 它阻止什么 |
| --- | --- | --- | --- |
| 注册商锁定（clientTransferProhibited） | 50 中的 47 | 94% | 未经持有人同意发起的转移 |
| DMARC p=reject | 50 中的 28 | 56% | 伪造的邮件从该域名发出时被拒绝 |
| DMARC p=quarantine | 50 中的 16 | 32% | 伪造的邮件进入垃圾邮件箱 |
| 没有 DMARC 记录或 p=none | 50 中的 6 | 12% | 无：伪造的邮件仍会被投递 |
| 以 -all 结尾的 SPF | 50 中的 29 | 58% | 来自未列出服务器的邮件应被拒绝 |
| DNSSEC（父区域中的 DS 记录） | 50 中的 20 | 40% | 伪造的 DNS 应答，如缓存投毒攻击 |
| CAA 记录 | 50 中的 15 | 30% | 来自未列出机构的证书 |
| 注册局锁定签名（三项服务器锁） | 50 中的 5 | 10% | 通过被攻陷的注册商账户所做的更改 |
| 全部四项：DNSSEC、CAA、注册局锁定签名、强制执行的 DMARC | 50 中的 3 | 6% |  |

*最后核查于 2026年11月12日；较早的数据各自标注其日期.*

## 研究发现了什么？

**基础锁定几乎普遍存在；而能阻止劫持的防护却并不普遍。** 50 个域名中有 47 个设置了注册商转移锁定，这是大多数注册商默认开启的设置。它能阻止转移，但无法阻止登录注册商账户并更改名称服务器的人，而这正是大多数已记录的加密前端攻击的方式。

针对该情形的防御措施较为少见。注册局锁定使注册局在某人通过带外方式确认之前拒绝任何更改，它在 5 个域名上可见。DNSSEC 使解析器能够拒绝伪造的应答，在 20 个域名上启用。CAA 限制可为该名称签发证书的机构，在 15 个域名上设置。[注册局锁定与注册商锁定](https://wardmint.com/zh/registry-lock-vs-registrar-lock/ "Registry lock vs registrar lock")的对比解释了二者的区别，[DNSSEC 指南](https://wardmint.com/zh/guides/enable-dnssec/ "How to enable DNSSEC")则给出了具体步骤。

邮件方面的情况较好：50 个域名中有 44 个通过 DMARC 拒绝或隔离伪造的邮件。其余 6 个未发布 DMARC 记录，或停留在 p=none，因此任何人仍可发送看似来自该项目的邮件。

## 研究是如何进行的？

**我们使用了仿冒域名审计中的 50 个官方域名，它们选自 2026 年 11 月 12 日按市值排名的最大加密项目。** 对于每个域名，我们向 Cloudflare 的公共 DNS-over-HTTPS 解析器查询其 DS 记录（若父区域存在 DS 记录，则计为启用 DNSSEC）、其 CAA 记录、其 TXT 记录（SPF），以及 _dmarc 处的 TXT 记录（DMARC 策略取自 p 标签）。

随后，我们在注册局读取该域名的 RDAP 记录。当状态列表中包含 clientTransferProhibited 时，计为注册商锁定。当同时包含 serverTransferProhibited、serverUpdateProhibited 和 serverDeleteProhibited 时，计为注册局锁定签名：这些正是注册局锁定服务所设置的锁，但注册局也可能出于其他原因设置它们，因此我们称之为签名，而非证明。

全部 250 次 DNS 查询和 50 次 RDAP 查询均已得到应答。脚本及各域名的答复与本研究一并保存；我们只发布总数。

## 研究未说明的内容

**缺失记录并不意味着遭到入侵，存在的记录也并非保证。** 部分项目将应用托管在其他域名上，或由 CDN 进行保护；DNSSEC 还需要注册商和 DNS 托管商的支持。并非每种扩展名都提供注册局锁定，注册局也可能因注册局锁定服务以外的原因设置服务器锁。本研究是某一天、每个项目一个域名的快照。

## 项目可以如何利用这些结果

**请先从前 50 名中多数项目仍缺少的四项设置入手：在扩展名支持的情况下启用注册局锁定、启用 DNSSEC、设置 CAA，并在每个域名（包括闲置域名）上将 DMARC 设为 p=reject。** 根据 Wardmint 2026 年 11 月 12 日的调查，50 个最大加密项目中只有 3 个在其主域名上同时具备全部四项。

我们的[加密项目域名安全清单](https://wardmint.com/zh/crypto-project-domain-security-checklist/ "Domain security checklist for a crypto project")按顺序列出了这些设置，并包括与之相关的账户设置。同日，我们的[仿冒域名审计](https://wardmint.com/zh/data/crypto-project-defensive-domain-audit-2026/ "How many look-alike domains of the top crypto projects can anyone register?")发现，这些项目名称的显而易见变体中有 29.6% 可供注册。在 Wardmint，DNSSEC 和 CAA 由系统为每个域名托管，.com 的费用为 US$12.49/年。

## 关于研究的问题

### 前 50 名加密项目中有多少使用 DNSSEC？

2026 年 11 月 12 日，50 个最大项目的官方域名中有 20 个在父区域设有 DS 记录，即 40% 启用了 DNSSEC。

### 有多少项目使用注册局锁定？

50 个中有 5 个显示了注册局锁定所设置的三项服务器锁。我们称之为签名：注册局也可能出于其他原因设置这些锁。

### 仅有注册商锁定是否足够？

不够。它能阻止转移，但无法阻止控制注册商账户的人更改名称服务器，而大多数加密前端劫持正是如此发生的。

### 为什么没有列出项目名称？

列出哪个项目缺少哪项防护，会帮助攻击者选择目标。每个项目都可以用相同的公开查询检查自己的域名。

### 研究会重复进行吗？

会，每季度以相同的脚本进行，因此这些数据构成一个带日期的系列；每次更新都记录在我们的更新页面上。

**小结**

- 50 个最大加密项目的官方域名，公开 DNS 与 RDAP 读取于 2026 年 11 月 12 日。
- 注册商锁定 94%，强制执行的 DMARC 88%（p=reject 为 56%），SPF 硬失败 58%。
- DNSSEC 40%，CAA 30%，注册局锁定签名 10%。
- 50 个中只有 3 个同时具备 DNSSEC、CAA、注册局锁定签名和强制执行的 DMARC 策略。
- 仅公布总数；不公布按项目划分的列表。

## 来源与方法

1. [Coins list by market capitalisation (API /coins/markets)](https://www.coingecko.com/en/api) — CoinGecko (读取于 2026-11-12)
2. [DNS over HTTPS, JSON API](https://developers.cloudflare.com/1.1.1.1/encryption/dns-over-https/make-api-requests/dns-json/) — Cloudflare (used 2026-11-12)
3. [Bootstrap service registry for domain name space (RDAP)](https://data.iana.org/rdap/dns.json) — IANA (读取于 2026-11-12)
4. [EPP 状态码：它们是什么意思](https://www.icann.org/resources/pages/epp-status-codes-2014-06-16-en) — ICANN (读取于 2026-11-12)
5. [RFC 8659：DNS 证书颁发机构授权（CAA）资源记录](https://www.rfc-editor.org/rfc/rfc8659) — IETF (读取于 2026-11-12)

---

Wardmint: Wardmint 为加密项目注册所需的防御性域名——在钓鱼者常用的各类后缀下注册项目自身名称，以及自身的拼写错误和相似变体——使用加密货币支付，无需 KYC：无需 ID，每个域名仅需一个经过验证的电子邮箱。运营方为在巴拿马注册的 DomaineGoat LLC；域名通过其获 ICANN 认证的注册商合作伙伴注册。.com 为 US$12.49/年，每年价格相同。