快速回答
如何保护您的注册商账户免遭接管？
用不在别处使用的长随机密码、双重验证、尽量少的用户，以及无法通过客服电话绕过的恢复途径来保护注册商账户。Wardmint 统计，其表中有两起事件（2024 年 7 月和 2026 年 2 月），薄弱环节是注册商或平台的登录或客服流程，而不是 DNS 记录。
账户控制措施及其所应对的事件
| 控制措施 | 它能防止什么 | 它所应对的公开案例 |
|---|---|---|
| 亲自认领每个已迁移域名的账户 | 攻击者抢先创建账户 | Squarespace 迁移，2024 年 7 月 9 日至 12 日（OAuth 弱点） |
| 客服电话规则：不接受语音请求的变更 | 对客服人员的社会工程 | Avantis，2026 年 2 月（在客服电话后账户被接管） |
| 账户上的双重验证 | 使用被盗密码登录 | Name.com 在 2026 年 10 月 30 日至 31 日重定向事件后的建议 |
| 保管库中的唯一长密码 | 凭证重用和猜测 | 通用做法 |
| 指定少数用户，离职时移除 | 内部人员和前成员的访问 | DAO 和贡献者的人员更替 |
| 加入书签的登录地址 | 对注册商登录的钓鱼 | 通用做法 |
注册商账户为什么成为目标？
因为它可以更改域名服务器、DS 记录和所有者，而您链上的任何代码都无法撤销这一点。以您身份登录的劫持者可以把域名指向任何他们想要的地方，然后为新的目的地申请证书。
公开记录显示了这种模式。Krebs on Security 在 2024 年 7 月报道称，从 Google Domains 迁移到 Squarespace 的域名容易遭到攻击者攻击：攻击者抢在所有者之前，用与某个域名关联的邮箱创建账户；Squarespace 将此归因于与 OAuth 登录相关的一个弱点。Blockaid 在 2026 年 2 月写道，Avantis 是因为在客服电话中账单信息被套取，导致其 Squarespace 账户被接管而被入侵。2026 年 10 月 30 日和 31 日，在同一注册商注册的十几个 DeFi 网站的域名被重定向；注册商已将其恢复，并敦促检查 DNS 和使用双重验证。
根据 Wardmint 于 2026 年 11 月 12 日的统计，其表中七起事件里有两起（2024 年 7 月的浪潮和 2026 年 2 月的 Avantis 案例）的关键点是注册商或平台的登录或客服流程。完整清单见哪些加密项目因 DNS 劫持而损失了用户。
应该使用什么样的密码和登录设置？
使用至少 20 个字符的随机密码，由密码管理器生成和保存，并且绝不重复使用。共享的聊天消息或电子表格不是保管库。如果有不止一个人需要访问，请使用带有审计记录的团队保管库，并记录谁看过该密钥。
为账户开启双重验证。硬件安全密钥是最强的常见第二因素，因为它不会把验证码交给钓鱼页面。验证器应用是次选；通过短信发送的验证码最弱。将恢复码离线保存在两个地方，并写下谁可以取用。
在 Wardmint，您使用账户编号和密码登录，并可在客户区开启双重验证；每周 7 天、12 小时内回复邮件，包括 DNSSEC、CAA 记录和滥用举报方面的协助。由于注册本身每个域名只需要一个经过验证的邮箱，请把账户邮箱放在您掌控的邮箱上，并像保护账户一样严格地保护该邮箱。
谁应该拥有访问权限，如何处理客服电话？
指定一名所有者和一名备用人，记录两者，并制定规则：不依据一通电话进行任何变更。Avantis 案例说明了原因。如果客服可以在一通电话后更改账户，那么您的密码强度就不再重要了。
对于 DAO 或基金会，请事先确定谁持有凭证、资金库如何为余额充值，以及贡献者离开时访问权限如何变更。共同保管的做法见DAO 应如何持有并支付其域名。有人离开团队的当天就移除其访问权限，并更改共享密码。
对于最重要的域名，可考虑每个域名每年 +US$29 的域名保护：域名以 DomaineGoat LLC 的名义注册，您仍是受益人并可免费交还到自己名下，转移锁保持开启，并且每项投诉在采取任何行动之前都由专人阅读。该选项在什么是域名保护中有介绍。它减少了账户所持有的内容，但不能取代强有力的登录保护。
七步保护注册商账户
盘点每个账户和域名
列出每个注册商账户、其中的域名以及可以登录的人员。包括因迁移而继承的账户。
认领已迁移的账户
如果某个注册商吸收了您原来的注册商，请登录并确认每个域名的账户由您而不是陌生人持有。
更换密码
在保管库中生成 20 个字符或更长的随机密码，仅用于此账户。
开启双重验证
首选硬件密钥，其次是验证器应用。将恢复码离线保存在两个地方。
减少并记录访问权限
指定一名所有者和一名备用人，移除其他所有人，并记下每次变更的日期和原因。
制定客服电话规则
约定任何人都不得依据电话或聊天来更改 DNS、所有者或联系方式，并告知您的团队。
将登录页面加入书签并警惕钓鱼
只从您的书签打开注册商网站。把任何要求您登录注册商的邮件都视为可能的钓鱼企图。
如何识别复制您注册商的钓鱼页面？
输入任何内容之前先检查地址，并且绝不要点击邮件中的登录链接。注册商钓鱼利用的是紧迫感：消息称域名即将到期或有投诉。请从您的书签打开注册商网站，并在账户中查找同样的通知。
使用仅在精确保存的地址上填充凭证的密码管理器，这样相似的登录页面什么也得不到。硬件密钥为第二因素提供同样的保护。如果您曾在可疑页面上输入过密码，请立即更改，结束所有会话，并检查 DNS 记录和联系邮箱。
第二层是到期。失效的域名任何人都可以抢注，续费职责在如何防止您的域名过期中有介绍。更全面的加固计划见如何保护您的域名免受 DNS 劫持。
关于注册商账户安全的问题
双重验证就够了吗？
它是必要的，但单独使用不够。Avantis 案例就是经由一通客服电话发生的。请加上“不依据电话变更”的规则和尽量少的用户。
转移锁能保护账户吗？
不能。它阻止转移到另一家注册商。它不能阻止持有登录凭证的人更改域名服务器或记录。
账户应使用共享的团队邮箱吗？
使用团队掌控、并以双重验证保护的邮箱，而不是某位成员的个人地址。每个域名的注册还需要一个经过验证的邮箱。
如果有访问权限的贡献者离开了怎么办？
更改密码，移除其访问权限，轮换恢复码并检查 DNS 记录，全部在当天完成。
域名保护能取代强有力的登录保护吗？
不能。它把域名放在公司名下，并增加对投诉的人工审阅，而账户仍然需要强有力的登录保护。
小结
- 注册商账户可以更改域名服务器、DS 记录和所有者。
- 2024 年和 2026 年的公开劫持事件都经由登录弱点或客服电话发生。
- 使用 20 个字符或更长的随机密码，存放在保管库中，且不在别处使用。
- 开启双因素认证，最好使用硬件密钥。
- 指定一名所有者和一名备用人；离职者当天移除。
- 制定规则：仅凭一通电话不进行任何变更。
- 域名保护每年 +US$29，不能取代强有力的登录保护。
来源 (3)
- 研究人员：薄弱的安全默认设置使 Squarespace 域名被劫持 — Krebs on Security (读取于 2026-11-12)
- 前端劫持与威胁 Web3 协议的 Web2 攻击面 — Blockaid (读取于 2026-11-12)
- 黑客劫持十几个在 Name.com 注册的 DeFi 网站 — The Block (读取于 2026-11-12)