2026 年 10 月 30 日晚至 31 日，域名注册商 Name.com 发生一起解析劫持事件，15 个客户域名的 DNS 记录被未授权修改，访问者被重定向至攻击者控制的页面。Vercel 的安全公告显示，其中 10 个域名与其平台相关；安全公司 Blockaid 统计，被波及的 DeFi 与代币发行平台前端至少 12 个。

与常见的网站入侵不同，这批站点的服务器、代码与智能合约均未被攻破。攻击发生在域名解析层。域名未过期、网址未被仿冒、用户输入的地址完全正确，但请求被导向了别处。

本文梳理事件经过与攻击路径，说明注册商这一层为何长期处于防护盲区，并给出可执行的加固与处置清单。

一、事件经过

发现与处置：10 月 30 日晚，Name.com 发现平台存在未授权活动，随即介入处置。公司公开确认共有 15 个客户域名被不当重定向，目前全部已恢复，并建议客户检查 DNS 设置、启用两步验证。

影响范围：Vercel 在安全公告中说明，受影响域名中有 10 个与其平台相关，公司正配合调查。Blockaid 识别出的受害前端至少 12 个，包括 pickle.finance、echelon.market、origami.finance、fluxbeam.xyz 等项目。

攻击载荷：被重定向的页面挂载了名为 Step Drainer 的脚本，通过伪造钱包连接请求，诱导访客签署其未预期的交易或代币授权，从而转移钱包资产。部分项目通过将名称服务器迁移至 Vercel 或 Cloudflare 控制了损失。

损失估计：公开数据存在两个版本。一家区块链分析给出的估算约为 13.8 万美元，另一份基于 32 个钱包的统计约为 20.2 万美元。两者均非官方口径，量级一致。

域名状态：处置期间，受影响域名一度被置为 clientHold（暂停解析）。至 11 月 1 日上午，锁定解除，解析恢复，多数域名追加了禁止转移的锁定状态。

根因状态：尚未确定。Name.com 在给一家受影响项目的说明中表示，问题不在自身一侧，而在第三方签发方。具体入口与责任归属仍待调查结论。

二、同期关联案例：第三方脚本供应商的解析被篡改

10 月 29 日，预测市场平台 Polymarket 的前端被注入恶意脚本。攻击者替换了一个第三方性能监控（RUM）脚本，利用访客已有的登录会话执行操作，造成约 270 万美元损失；叠加暂停交易产生的补偿，总赔付约 390 万美元，涉及 726 个钱包，其中约 95% 在事件后两日内完成全额退还。

该供应商 DebugBear 在后续初步说明中表示，其 DNS 记录是通过域名注册商被篡改的，调查仍在进行。

这起案例与 Name.com 事件构成一组对照：攻击者不必攻破目标系统，只要拿到其依赖环节的解析控制权即可。前者利用的是注册商层的变更权限，后者利用的是第三方脚本供应商的同类权限，最终都作用于目标站点的前端。

三、为什么这一层长期处于防护盲区

域名解析的可篡改点至少有三处：

注册商账号：由持有账号凭据的人员修改，常见失陷方式是撞库、钓鱼与客服社会工程。

注册局侧 NS 记录：由注册商或注册局修改，常见失陷方式是违规变更、接口或内部权限滥用。

DNS 托管平台记录：由平台账号持有人修改，常见失陷方式是账号失陷与 API 密钥泄露。

企业的安全投入通常集中在服务器加固、代码审计、WAF 规则与 DDoS 防护，这些措施都位于解析之后。注册商账号往往只有一组长期未更换的密码和邮箱验证，且权限分散在运营、外包与建站服务商手中，缺少定期回收机制。

后果的特殊之处在于受害者结构。网站被挂马，损失主要由站点承担；解析被劫持，损失由访问者承担。用户访问的是正确域名，界面与交互与平时一致，钱包弹窗是真实的签名请求。整条链路上没有任何环节会提示异常。

还有一个常见误判：DNSSEC 不能自动覆盖这类风险。DNSSEC 校验的是解析结果在传输与递归过程中的完整性，用于抵御缓存投毒与中间人篡改。如果攻击者取得的是注册商或 DNS 平台层的变更权限，且能够同步更新签名链上的记录，验签仍会通过。它防不了「源头被合法修改」。

四、加固清单：按投入产出排序

第一，注册商账号启用双重验证，优先硬件密钥。短信验证码存在被拦截与转移的风险，邮箱验证可被钓鱼绕过。硬件安全密钥是当前强度最高、成本可控的一档。

第二，收敛可修改 DNS 的账号范围。梳理当前拥有解析权限的账号，包括运营人员、外包团队与建站服务商，按最小必要原则收回。人员变动时的权限交接应纳入流程。

第三，启用域名锁，高价值域名叠加注册局锁。clientTransferProhibited 阻止未授权转移，但对解析修改不构成限制。注册局锁要求变更前完成带外核验，为关键操作增加一道独立确认，适用于品牌主域名与核心业务域名。

第四，配置 CAA 记录。CAA 限定可为域名签发证书的 CA 列表。攻击者取得解析控制权后，常见动作之一是同步申请 DV 证书以维持页面的合法性外观，CAA 可收窄这一路径。作为域名与证书服务商，时代互联在给企业客户的加固建议中，通常将 CAA 与证书监控一并列入。

第五，将变更转为告警，而非依赖人工巡检。注册商后台通常支持变更通知，应至少覆盖 NS 记录与 DNS 记录。外部可叠加两层监控：多地域节点定期解析比对，证书透明度（CT）日志监测新签发证书。这类攻击中，发现时间与损失规模高度相关。

第六，前端降低外部脚本依赖。第三方脚本运行于页面上下文，权限与自有代码等同。可固定版本并启用完整性校验（SRI），可自托管的优先自托管，无法自托管的纳入变更监控与应急下线机制。

第七，把域名资产纳入定期审计。每季度核对一次域名清单、到期时间、DNS 服务商、注册商账号持有人与双重验证状态。域名作为长期资产，其管理状态通常比服务器更容易失控，因为日常运维不会触及这一层。

五、解析被改后的处置顺序

第一步：冻结。在注册商侧锁定域名并暂停解析，阻断继续引流。解析仍然生效时开展排查，等于让攻击持续。

第二步：取证。导出当前 DNS 记录、变更历史、登录与操作日志，截图留档。恢复解析后再回溯，多数记录已不可得。

第三步：凭据重置。修改注册商账号密码并强制下线全部会话。同邮箱注册的 DNS 托管、CDN、云平台账号一并处理， “已被读取”标准处置。

第四步：用户告知。受害主体是访客，公告应尽早发出，明确提示撤销异常代币授权，而非等待调查结论。

第五步：恢复后复核。逐项核对 DS、NS、CAA 记录与域名锁状态，确认无残留异常条目，再切回正常解析。

六、常见问答

注册商被入侵，域名持有人有责任吗？
法律责任取决于服务协议与具体情形，但风险责任是明确的：域名是持有人的资产，其账号安全与配置状态由持有人负责维护。即便根因在注册商一侧，损失首先落在业务与用户身上。

域名锁能防止解析被改吗？
不能。客户端转移锁（clientTransferProhibited）只阻止未授权的转移与过户，不限制 DNS 记录的修改。防解析篡改需要注册局锁、账号双重验证与变更告警共同作用。

已经部署 DNSSEC，还需要做这些吗？
需要。DNSSEC 保护解析结果的完整性，不覆盖注册商账号失陷导致的源头变更。两者是不同层面的防护。

中小企业没有安全团队，最低限度该做什么？
三件事：注册商账号开启双重验证、开启变更通知、每季度核对一次域名与解析状态。这三项几乎零成本，能覆盖大部分常见路径。

怎么判断自己的域名是否已被劫持？
三个信号：多地解析结果不一致、CT 日志中出现非本人申请的新证书、注册商后台出现未操作的变更记录。任一出现都应立即核查。

相关服务

域名注册（https://www.now.cn/domain/）：实名认证、转移锁与解析管理，支持企业域名资产的集中维护
SSL 证书（https://www.now.cn/ssl/）：配合 CAA 记录完成签发范围收敛，并支持证书到期与异常签发监控