整個事件其實(shí)我們打算晚點(diǎn)在發(fā)布的，但既然有大佬在推特上發(fā)表了一部分，所以我們也不算等了，直接公布這個事情。

試煉篇

2023 年 9 月 14 日，用戶 David（@dvcrn）在推特上發(fā)文說 “Whelp, someone just tried to (successfully) take-over my http://d.pn domain by inpersonating me towards the registrar. Noticed this email in my inbox, together with whois + dns records no longer pointing to my details” 意思是有人試圖盜走他的域名 “d.pn”，并配上了一些圖片，上面清晰的可以看到試圖盜走域名人的完整信息，記住關(guān)鍵詞 “JianFei Wang”，該條推文目前仍然可以查看：https://twitter.com/dvcrn/status/1702217365575078152

2023 年 9 月 19 日，JianFei Wang 在微信群里公開稱自己持有了 x.st

而從網(wǎng)頁的歷史快照（https://web.archive.org）中我們不難發(fā)現(xiàn)，該域名的原持有人一直是 harold（https://twitter.com/hrldcpr），而域名的 NS 和持有人被改為 JianFei Wang 的相關(guān)信息，起初我們就抱有一絲懷疑態(tài)度，是原持有人一直未變，可見他對這個域名的喜愛；第二是即便是要出售，價格顯然不是 JianFei Wang 所能承擔(dān)得起的，果不其然，該域名在 2023-11-21 被原持有人成功拿回了。

2023 年 9 月 23 日，JianFei Wang 在微信群里再次公開說自己買了個新域名：interesti.ng

此時再次引起我們的注意，隨后我們發(fā)現(xiàn)不止這一個域名，包括 “eveni.ng、exciti.ng、interesti.ng、lovi.ng、morni.ng”，而這些域名原本應(yīng)該都屬于 Mark Kychma，然而后來都變成了他的 whois 信息，當(dāng)然，目前域名也被原持有人成功拿回了，而這些域名僅僅只是他的 “測試”。

2023 年 11 月 4 日 “f.cd” 被更改了 whois，然而沒過多久在 2023 年 11 月 24 日被注冊局重新鎖定了，這顯然是注冊局被發(fā)現(xiàn)了，但 WHOIS 信息仍然顯示的是 JianFei Wang 的，由于單字符的.cd 域名基本都是不允許注冊的，但他仍然試圖獲得這個域名，當(dāng)然，對于這個域名我們也沒辦法判斷是如何獲取到的，但被重新鎖定，顯然是不符合注冊局規(guī)定的，這個域名姑且不做深入探討。

2023 年 12 月 10 日 JianFei Wang 再次在微信群里爆出自己獲得了 “x.ke”

該域名曾今出現(xiàn)在.ke 的拍賣會上，后來被人買走了，所以我們對這個域名的來歷也表示深刻的懷疑，直到后來與 Max（Nam.es）的聊天中才得知，x.ke 是掛在 https://1-single-letter-domains.com 出售的，只是從售價上來說，也不是 JianFei Wang 舍得花錢并且買得起的域名，不過目前沒有太多證據(jù)表明該域名是被盜的，直至今日，該域名仍然在他手里。

狂煉篇

2024 年 1 月 11 入，我們無意中發(fā)現(xiàn)域名 wm.mw 的持有人變了，這是 2023 年 8 月時候的 whois 信息：

在 2023 年 11 月 15 日變成了：

而在 2024 年 1 月 11 日又變成了：

而我們突然聯(lián)想到近期在查看域名 ho.st 的 whois 信息的時候也發(fā)現(xiàn)過這個 “[email protected]” 的郵箱

而 ho.st 屬于 Host.io 的，Host.io 是一個域名數(shù)據(jù)提供商，同時也是由 IPinfo.io 團(tuán)隊(duì)創(chuàng)建的，撿漏王很清楚，ho.st 一直作為跳轉(zhuǎn)域名，所以也不可能輕易單獨(dú)出售，而這里的各種郵箱均變成了 “[email protected]” 這顯然也不正常，但我們也很容易發(fā)現(xiàn) “[email protected]” 和 “[email protected]” 肯定有關(guān)系。

2024 年 1 月 15 日，我們突然在搜索中發(fā)現(xiàn) “gov.cx” 這個域名的狀態(tài)竟然出現(xiàn)了 “pendingTransfer”，而這一域名屬于圣誕島zf的，出現(xiàn)這一情況顯然很異常：

然后我們嘗試著搜索其他值錢域名的時候，驚奇的發(fā)現(xiàn)大量單字符域名在幾乎同時均出現(xiàn)了 “pendingTransfer”，而且他們都有一個共同點(diǎn)：隸屬于 CoCCA 管理的域名，這些域名包括：e.hn、h.hn、o.hn、p.hn、whois.hn、i.sb、technolo.gy、ener.gy、x.cx、t.cx 等

這么多單字符域名同時出現(xiàn) “pendingTransfer”，并且都來自不一樣的持有人，顯示是不正常的，但當(dāng)我們得知這一情況后，并沒有急于向 CoCCA 報(bào)告這一情況，而是耐心的等待看看到底這一批域名最終會被誰持有，而域名又會被轉(zhuǎn)移到哪個注冊商，而等待的這幾天，我們繼續(xù)發(fā)現(xiàn)有更多域名出現(xiàn)了 “pendingTransfer” 的狀態(tài)，包括 4.gs、f.sb、k.hn 等，而最終我們等到了與我們猜想一樣的結(jié)果。

其中 “4.gs” 被成功轉(zhuǎn)移到名為 “InterCat Ltd” 的注冊商，接著他馬上把域名又轉(zhuǎn)移到 “West263 International Limited”。他在轉(zhuǎn)移到 “West263 International Limited” 也能看得到 “4.gs” 的 whois 信息已經(jīng)更新為他的：

而緊接著 “f.sb” 和 “k.hn” 也成功的轉(zhuǎn)入注冊商 “InterCat Ltd”：

而名為 “InterCat Ltd”（https://intercat.org）的注冊商，我們查詢后發(fā)現(xiàn)實(shí)際上就是 JianFei Wang 自己申請的注冊商，其信息如下：

在其網(wǎng)站上底部也標(biāo)注了他的聯(lián)系方式，甚至還放上了 ICANN 的 logo，而他顯然不可能具備 ICANN 的資格：

事已至此，證據(jù)已經(jīng)足以表明這一系列盜竊域名的行為都是 “JianFei Wang” 所為。

與此同時，在他獲得了 “4.gs” 以及 “f.sb” 和 “k.hn” 后，他立刻在論壇里（dalao.net）發(fā)布了 “域名出售” 的帖子，同時在 “West263 International Limited” 中上架一口價域名 “4.gs”，同時也在 Dan.com 網(wǎng)站中上架一口價域名，而價格遠(yuǎn)低于市場價，試圖希望馬上銷贓變現(xiàn)：

見此情況，為了防止有人購買 “臟物” 而導(dǎo)致的錢財(cái)損失，為了防止域名被再次 “轉(zhuǎn)手”，我們覺得沒有必要在等待下去了，便迅速聯(lián)系了 CoCCA 負(fù)責(zé)人以及 ho.st 的持有人 Ben Dowling（https://twitter.com/coderholic），把我們知道的情況向他們匯報(bào)，而在 CoCCA 獲知這一情況后也立即與我們進(jìn)行了交流，同時阻止了絕大部分域名的轉(zhuǎn)移，并且 CoCCA 向我們展示了哪些域名出現(xiàn)了異常轉(zhuǎn)移的情況，基本與我們發(fā)現(xiàn)的相符：

而已經(jīng)轉(zhuǎn)入成功的域名，由于我們并不是原持有人，所以 CoCCA 也希望我們幫忙能夠聯(lián)系原持有人，由他們向原注冊商或者 CoCCA 投訴，他們會以此對域名進(jìn)行 “鎖定”。

而在我們的努力下，我們成功聯(lián)系到了 “k.hn” 的原持有人，并且剛好是一位中國人，我們表明了來意，他在知道情況后，他登陸注冊商的網(wǎng)站后發(fā)現(xiàn)域名果然不再他的賬戶中，并且還在他的郵件中發(fā)現(xiàn)了一封注冊商的回復(fù)郵件，里面同樣出現(xiàn)了 “[email protected]” 這個郵箱：

從郵件中我們不難發(fā)現(xiàn)，JianFei Wang 采用偽造原持有人郵件的方式向域名原注冊商 / 注冊局發(fā)送轉(zhuǎn)移請求的郵件，并抄送郵件內(nèi)容給 “[email protected]”，試圖先把域名轉(zhuǎn)移到同一個注冊商中自己的帳戶里，再通過自己的帳戶獲取轉(zhuǎn)移碼進(jìn)行 “盜竊”，而持有人因?yàn)槊τ诠ぷ鳎瑳]有及時看到注冊商的回復(fù)，注冊商也誤以為是原持有人發(fā)來的郵件，便同意了這個行為。目前 “k.hn” 的原持有人表示該域名對他非常重要，如果不能拿回，他會選擇報(bào)警：

與此同時，我建議他向原注冊商和 CoCCA 投訴，在發(fā)出郵件后當(dāng)天晚上，“4.gs”“f.sb” 和 “k.hn” 的域名已經(jīng)被鎖定，并且顯示為 “Registrar: Registry Hold - Suspicious Activity”，域名在調(diào)查清楚之前由 CoCCA 暫時接管了。

與此同時，我們也聯(lián)想到在微信群中，曾有朋友也收到來自注冊局的域名 whois 信息變更郵件，其 “www.sl” 域名在不知情的情況下，也被更改了信息，還好他及時發(fā)現(xiàn)并且阻止了，而 whois 信息中我們又看到了熟悉的 “frank”，并且該域名 whois 信息均為虛假的，也許只是一次 “測試”：

而接下來，我們繼續(xù)挖掘信息的過程中，還發(fā)現(xiàn) “InterCat Ltd”（@InterCatLtd）和 “JianFei Wang”（@meetfeifei）甚至還在推特中高調(diào)且大膽的展示過他 “偷” 來的域名（目前這 2 個賬號中已經(jīng)清空了有關(guān)的內(nèi)容，但我們保留了證據(jù)），其中更可笑的是 “InterCat Ltd” 曾今發(fā)過這樣一條推文：

殊不知，自己就是那只偷東西的 “老鼠”。

事已至此，但事情尚未完結(jié)，整個事件其實(shí)我們打算下個月再曝光出來的，但看到 Max 的域名也被 JianFei Wang 動了，并且提前曝光了一些，我們猜想 JianFei Wang 看到后會清空自己的推文，并且會矢口否認(rèn)此事，所以我們也決定現(xiàn)在就把事情完整的曝光出來，維護(hù)一個安全、干凈的域名環(huán)境。

同時，我們也會與此事件的受害者溝通交流，此事件造成的域名估值較大，網(wǎng)絡(luò)不是法外之地，這行為已經(jīng)觸犯了法律，要知道即便是人在國外也能報(bào)警，只要他們想。

最后，JianFei Wang 還在推特上聲稱 “這個事情與自己無關(guān)，是黑客朋友干的”，而所有的證據(jù)都指向他，還能狡辯？

最后最后，大家保護(hù)好自己的域名吧。