验证码给出去的那一秒，你的域名就不是你的了

这条我要说得重一点。

因为这一条是所有坑里最狠的。前面所有的坑，你至少还有个东西在手里。这一条，你连东西都没了。

一个验证码能做什么

我先把技术上的事说清楚，不绕。

你的域名注册商账号，登录需要密码，转移域名需要验证码或者转移密码。

这两样东西，构成了你对该域名的全部控制权。

现在，假设有人拿到了这两样。

他能做的事：登录你的账号，把域名转移到另一个注册商，改掉所有联系信息，设置转移锁。

整个过程，快的十几分钟。

等你想起来去查，域名已经在一个你不认识的账户里了。你去申诉，注册商问你要身份证明、注册信息、历史缴费记录。你都能提供，但对方也能提供一份更完整的——因为他现在持有这个域名，所有的 WhoIs 信息都写着他的名字。

你打这个官司，赢面有多大？不好说。成本有多高？肯定比你那个域名贵。

所以别让它发生。

他们是怎么拿到验证码的

我见过的方式，说白了就那么几种，但每一种都设计过。

最常见的，伪装成平台客服。

他给你打电话或者发消息，说你的域名存在风险，需要配合验证。然后"帮你操作"的过程中，让你报一个验证码。

这个验证码，其实是登录验证码，或者转移确认码。

他会给你一个听起来很急的理由：系统检测到异常、有人试图转移你的域名、需要你马上配合冻结。

人在"我的东西要没了"这个念头下面，是没有判断力的。你会做他让你做的任何事，而且会做得很快。

再一种是伪装成买家。

"我想买你这个域名，走平台交易。你在平台注册个账号，我发个链接给你。"

你点了链接，进了假的页面，填了手机号，收到验证码，填进去。

这个验证码进了他的手里。他拿去登录你的真实注册商账号。

因为很多人的注册商账号，就是手机号登录的。验证码就是密码。

还有一种最笨也最有效——直接要。

"我们平台要做实名核验，需要你提供一个验证码确认身份。"

"我这边操作到一半卡住了，显示需要你的验证码。"

就是这么直接。你可能会觉得这么蠢的招谁会上当。

上当的人比你想象的多。

因为他说这话的时机，是你们已经聊了三天、谈好了价格、你满脑子都是"这单要成了"的时候。

还有一样东西，叫转移密码

验证码之外，还有个更直接的东西。

域名转移密码，业内叫授权码、Auth Code、转移码。

这串码的作用，是把域名从一个注册商挪到另一个注册商。有了它，不需要你的账号密码，直接就能发起转移。

很多人不知道这串码的分量。

以为它就是个普通的操作码，跟修改 DNS 差不多。

不是。它等于房本。

有买家跟你谈的时候，会问你要转移码，理由是"我先看看域名能不能正常转"。

给他。就等于给了他。

正规的做法是：走担保交易，钱进平台托管，然后你在平台里提交转移码，平台完成转移，放款。

转移码只在担保流程里给。私下给，没有任何一种情况是安全的。

那些"我没给过"的人

我听过最多的一句话是：我记得我没给过啊。

你给了。只是你当时不知道你给的是什么。

这正是这套设计的可怕之处。它不需要你"上当"，它只需要你"没注意"。

你以为你在验证身份，实际上你在授权登录。

你以为你在确认订单，实际上你在确认转移。

你以为你在配合核验，实际上你在把房本递出去。

所以不要靠"我会注意"来防这个。要靠规则。

我的规矩，就三条

验证码不给任何人。

没有例外。不管对方说是客服、平台、买家、还是警察。

真客服不会跟你要验证码。这一条在任何一个正规平台的用户协议里都写着，而且是加粗的。

只要有人跟你要验证码，他就是骗子。这一句话可以覆盖百分之百的情况。

我再说一遍：百分之百。

任何操作，我自己进。

对方发过来的链接，一律不点。要操作，我自己打开 App，自己进账户，自己看。

真有一笔交易在等你，它在你的账户里一定查得到。查不到，就是没有。

注册商账号开二次验证。

用验证器 App，别用短信。短信能被劫持，能被伪基站，能被人拿到你的手机号之后重置。

验证器 App 生成的码，只有你手机上那个 App 知道。

这一层加下去，前面所有的招都失效了。

而且开启之后，账号有任何异常登录，你能第一时间收到提醒。

说个让我很生气的事

有个读者，六十多岁，早年注册了一堆域名。

有人加他微信，说要收购他的一个域名，出价两万八。老人家很高兴，聊了几天。然后对方说平台要核验，让他提供验证码。

他给了。第二天，他名下十一个域名全没了。

不是一个。十一个。

他以为那个验证码是用来验证那一个域名的。

实际上那个验证码是用来登录他账号的。登录进去了，账号里所有东西都是人家的。

我帮他查了一圈，最后也没找回来。那十一个域名里，有两个现在挂着博彩站。

他后来跟我说了一句话，我到现在想起还堵得慌。

他说：我一辈子没骗过人，怎么就这么容易被人骗。

这不是你的问题

我特别想对所有卖域名的人说一句。

被骗不是因为你蠢。是因为对方是专业的。

这些人天天干这个，话术打磨过几百遍，链接做得比真的还真，时机的把握精确到你在什么情绪下最容易松口。

你一年卖一次域名，他一天谈二十个人。

这个对决本身就不对等。

所以别靠临场反应。靠规则。规则是你在冷静的时候定下来的，它不会在对方催你的时候失效。

我自己的习惯是：域名要处理之前，先去收域通 11273.com 域名回收平台报个价，把该走的流程走完。平台交易的好处不是价格高，是你不用跟任何人交换验证码。

你把域名交给平台，平台把钱给你。中间没有任何一个环节需要你向一个陌生人提供任何东西。

这一条，值多少钱我不知道。

但那十一个域名，如果当时是这样走的，现在还在他手里。