2023年10月，反域一个名为“Poly Network”的名劫跨链协议遭到域名系统劫持攻击。攻击者并未攻破任何加密算法，反域而是名劫直接篡改了项目的DNS记录，将用户访问的反域官网指向了钓鱼页面。数小时内，名劫价值数亿美元的反域加密货币被洗劫一空。事后调查显示，名劫攻击的反域源头仅仅是项目方在域名注册商处留下的邮箱被入侵了。

域名劫持就是名劫这么荒唐且致命。它不跟你玩代码层面的反域高深博弈，而是名劫直接偷你的“门牌号”。你辛辛苦苦输入一串网址，反域浏览器背后却悄悄把你带去了一个仿冒的名劫假站点。你以为自己在登录银行，反域其实你的账号密码正被发送给某个不知名的黑客。

这事儿比你想的更普遍。2019年，美国海军的域名系统被篡改，访问海军官网的用户被重定向到第三方服务器。2021年，一个叫“Crypto.com”的交易平台遭遇类似攻击，用户界面被替换，部分用户被诱导授权了恶意合约。每次出事，受害方都一脸无辜——我的服务器没被黑，我的代码没被改，怎么就出事了？

问题恰恰出在“入口”上。域名系统是互联网的寻址机制，相当于电话簿。你拨号前先得查电话簿，如果电话簿被人换了，你打给谁都不奇怪。而域名系统本身由分散在全球的服务器组成，权限分散，更新频繁，很多管理员对它的重视程度远低于对业务服务器的防护。

更讽刺的是，很多劫持事件的根源不是技术漏洞，而是“人”的疏忽。管理员密码设得太简单、邮箱没有两步验证、域名注册信息长期不更新——这些看似无关紧要的小细节，才是攻击者最爱的突破口。他们不需要破解你的防火墙，只需要拿到你的账户密码，然后去域名注册商那里轻点几下鼠标。

防护手段其实没那么玄乎。最基础的一招是启用域名锁（Registry Lock），这相当于给域名加一道物理锁，任何修改都需要人工二次确认。第二招是强制开启两步验证，尤其是对注册商账户和邮箱账户——别嫌麻烦，这一步能挡掉90%的弱智攻击。第三招是定期检查DNS记录，看有没有多余的A记录或CNAME指向陌生IP。

但说实话，这些措施只能提高门槛，不能根治问题。因为域名系统的信任模型本身就建立在“注册商是可信的”这一假设上——而注册商自己也会被钓鱼，也会被内部人员出卖，甚至可能直接倒闭跑路。2021年，一家名为“Epik”的域名注册商被黑，大量客户数据泄露，许多网站的域名管理权限被篡改。

所以，更务实的思路是“不把域名当唯一入口”。比如，关键业务采用IP直连或内部域名解析，减少对公共DNS的依赖。或者部署DNSSEC（域名系统安全扩展），给DNS记录加上数字签名，让假冒记录无法通过验证。但DNSSEC部署率至今不足三成，原因很简单——配置复杂，出了问题容易把自己锁在门外。

这事儿没完美解法，只有取舍。你愿意多花半小时配置防护，还是愿意赌自己不会成为下一个被劫持的倒霉蛋？实话讲，多数人都在赌后者。直到某天发现自己网站被挂上了赌博广告，或者用户数据被拖走，才想起当初为什么没做那点基础防护。

域名劫持就像撬锁入户。你装再厚的防盗门，也架不住钥匙被人偷走。而钥匙，往往就攥在你自己的手里——只是你从来没当回事。