Je serais curieux de savoir ce que ça donne pour un domaine sans record A (seulement AAAA), et visible dans les logs certificate transparency. Sans arriver au niveau d'IPv4, j'imagine qu'on aurait quand même beaucoup plus de trafic IPv6 que sur un service mixte IPv4/IPv6.
J'ai quelques services en v6-only avec des certs letsencrypt (donc dans les CT logs). Je ne vois pas vraiment plus d'attaques en v6 que sur des serveurs dual-stack.
De manière générale, énormément de bots/crawlers sont v4-only, ou ne savent pas exploiter leur connectivité v6.
Par contre, les scanners comme shodan ou autres dont le user agent s'identifie comme appartenant à des universités (pour de la recherche, je suppose) savent faire du v6.
Ils ne sont pas nombreux et très peu agressifs (peut-être un scan de quelques ports/jour et par scanner), mais ils sont capables de trouver l'IPv6 d'un serveur fraîchement installé en quelques heures, même si celui-ci n'a pas d'entrée dans le DNS ou de cert letsencrypt. Je crois qu'ils ont des serveurs NTP dans le pool ntp.org et qu'ils logguent les IP des clients, mais je n'ai pas vérifié en détail. Ils tapent peut-être aussi dans les logs des mirroirs debian.
IPv6