域名被盗通常不是域名系统被攻破，而是注册商账号被拿走。找回靠的是尽快让注册商冻结、拿证据证明身份，以及事后把防线补上。

要偷一个域名，不需要攻破根服务器。最省事的路径是拿到持有人注册商账号的登录权限：邮箱被攻破、密码在多处重复使用、点进了仿冒的登录页，都是常见入口。第 124 期讲过的域名劫持，多数起点也在这里。

发现异常之后，第一步是立刻联系注册商，要求锁定域名、暂停任何转移。域名一旦被转到另一家注册商，追回会麻烦得多；第 48 期讲过的锁定期和转移流程，这个时候反而成了阻力。

取证是关键。注册商要确认你是谁，通常会要求身份证明、当初的注册记录、付款凭证。如果域名已经被转走，还要联系接收方的注册商，说明这是被盗转移，请对方配合冻结。

盗用者往往不会配合，这时可以走争议程序。第 39 期讲过的统一域名争议解决政策，可以针对恶意注册和使用提出投诉；如果账号入侵有报警记录，报案材料也会成为证据的一部分。

找回之后要补的防线很具体：账号开双因素认证、邮箱独立且专用、开启域名锁定、收窄不必要的转移权限。这些做法第 168 期讲监测时提过——监测能更早发现异常，但前提是账号本身没有被端掉。