Sex.com 大劫案：一封伪造信件如何盗走互联网最有价值的域名
1995年，一个名叫斯蒂芬·科恩的骗子仅凭一封伪造信件发给 Network Solutions，便从合法所有者加里·克雷门手中盗走了 sex.com。追回域名的漫长斗争最终以6500万美元的判决、一名逃亡墨西哥的逃犯，以及一项确立域名为财产的里程碑式裁决画上句号。
- domains
- security
- dns
- domain-security
1995年，互联网上最有价值的地址因一张纸而易主。
没有闯入，没有勒索，没有复杂的技术手段。一个骗子打出一封信，署上一个并非自己的名字，发了一张传真给弗吉尼亚州的一家域名注册商。注册商读了信，信以为真，就把 sex.com 拱手相让——这个域名后来据报道撑起了一个价值2.5亿美元的生意——而收域名的那个人根本没有任何权利。合法所有者事后才知道发生了什么，随后花了将近十年的时间与之抗争。
这是有史以来第一起重大域名劫案，也是每一位域名持有人都该思考的问题的最清晰答案：究竟是什么阻止了别人直接拿走我的域名？ 1995年，答案是：几乎什么都没有。
欢迎来到 Domain Mayday / 域名浩劫 ——深入剖析那些改变了我们对在线持名认知的安全事件。第02集：盗走 sex.com 的那封伪造信件。
sex.com 的价值
1994年初，企业家加里·克雷门（Gary Kremen，同时也是 Match.com 的创始人）打量着刚刚面向商业开放的互联网，看到了显而易见的机会。法院记录精确记载了注册日期：加里·克雷门于1994年5月9日在 Network Solutions, Inc. 注册了域名 sex.com。彼时域名免费，发封电子邮件即可注册，几乎没有人意识到它们未来会有多大价值。第九巡回上诉法院后来在本案意见书的开篇引用了那句贯穿整个传奇的笑话："互联网上的色情？"所有人都说，"那永远赚不了钱。"
它赚了钱。域名被盗后，窃贼将其打造成一台印钞机：一个广告满满的网站，每天最多吸引2500万次点击，据报道每月进账5万至50万美元。据部分估计，这个被盗域名在非法占据期间，为窃贼缔造了一个2.5亿美元的生意。正如业界一位观察人士所言，按某些估算，它的价值可能超过迄今任何一笔域名成交记录。
如此珍贵的名字，置于1990年代注册商的安保之下，不过是一只装了纸锁的宝箱。
盗窃经过：一封伪造信件
撬开这把纸锁的人叫斯蒂芬·迈克尔·科恩（Stephen Michael Cohen），他绝非初犯。第九巡回上诉法院和维基百科都记载，他刚出狱就盯上了 sex.com：斯蒂芬·M·科恩，最近刚刑满释放，此前因欺诈罪被定罪入狱。他和克雷门看到了同样的东西——一笔巨财——只是他决定直接拿走。
手段简单得令人咋舌。科恩用一封来自克雷门公司 Online Classifieds 一名子虚乌有的高管的假信件哄骗了 Network Solutions，信中声称授权将 Sex.com 转让给科恩。同一来源直截了当地说：科恩向域名注册商 Network Solutions 提交了一封伪造的转让信并附有伪造签名，就这样盗走了加里·克雷门的域名 sex.com。
1995年10月18日，Network Solutions 未经授权，将该域名转让给了斯蒂芬·M·科恩——维基百科记载，此人通过虚假陈述、电话、电子邮件和伪造信件，一直试图夺取该域名的控制权。互联网最有价值的名字有了新的"所有者"，而真正的主人浑然不知。
伪造的"Dimmick 信件"
这份伪造文件本身值得细细端详，因为它远不是杰作，只是一封潦草的传真。
根据地区法院的记录，在一封落款1995年10月15日的信中，署名 Sharon Dimmick 的人以 Online Classified 的名义告知斯蒂芬·科恩，Online Classified 已"决定放弃域名 sex.com"。信的写作者面临一个棘手的问题：一家公司如何"放弃"一个域名，好让陌生人得手？科恩给出的答案在上诉意见书中有所引用，信中解释说由于我们没有直接连接互联网，我们请求您代我们通知互联网注册机构，删除我们的域名 sex.com。一家经营网站的公司，声称无法连接互联网——而 Network Solutions 对此毫不质疑。
信中出现的"Sharon Dimmick"确有其人，但她与放弃任何域名毫无关系。据《环球邮报》报道，Network Solutions 收到了一封1995年底的信件，签名者表面上是沙林·狄米克（Sharyn Dimmick），当时是克雷门的室友。科恩借用了克雷门室友的名字，假冒克雷门自己的公司行事。
而且他还把名字拼错了。某一案件摘要平静地记录道：科恩在伪造信件中拼错了 Dimmick 的签名。后来写了一本关于此案的书的记者措辞更为辛辣，称这份文件是据称发件人连自己名字都不会拼写；信头看起来像是一个不识字的幼儿园学生用 John Bull 家用印刷机制作的。
这正是让这个故事令人揪心的细节。保护互联网最有价值域名的那把锁如此脆弱，连"署名人"自己都不会拼写名字的一份伪造文件就能撬开——而注册商竟然照单全收，拱手让出了控制权。
旷日持久的追回之路
盗走 sex.com 只用了一封信。追回它却耗费了数年诉讼，克雷门不得不同时在两条战线上作战：一边对付科恩，一边对付那家随手把他的域名拱手相让的注册商。
在对付科恩方面，事实证据确凿，科恩自己也清楚。他以骗子惯用的方式回应——伪造更多文件。他伪造文件，声称自己一直是该域名的所有者，并拥有 sex.com 的商标，编造了一段虚假历史来为盗窃行为辩护。法院没有上当。法官詹姆斯·韦尔（James Ware）裁定转让无效：地区法院裁定科恩构成欺诈，并认定其对 sex.com 的所有权无效，因为他是通过伪造信件取得该域名的。MoreLaw 的判决记录简洁地写道——判决原告胜诉，并命令将 sex.com 归还原告。法官裁定为 sex.com 真正所有者的克雷门，终于拿回了自己的域名。
更艰难的一战是针对 Network Solutions，而这恰恰是对所有人都意义深远的部分。克雷门主张注册商应为侵占其财产承担责任——即随意转让他的域名。Network Solutions 则辩称域名根本不是"财产"，只是其提供的一项服务，下级法院最初也支持这一观点。上诉时，法官科津斯基（Kozinski）持不同意见，将域名明确纳入财产法的范畴：克雷门的域名受加利福尼亚州侵权转换法的保护。他的类比一针见血——将域名基于伪造信件转让给错误的人，他写道，与公司在相同情形下转让他人股份而承担责任并无二致。此案随后和解，但这一原则被确立下来：域名是可以持有、失去、并为之提起诉讼的财产。
6500万美元的判决——以及科恩的出逃
与盗窃相关的赔偿数字在当时堪称天文。法院认定科恩须为欺诈和伪造承担赔偿责任：补偿性损害赔偿4000万美元，惩罚性赔偿2500万美元——第九巡回上诉法院在意见书中将其总结为判给补偿性损害赔偿4000万美元，另加2500万美元惩罚性赔偿。《The Register》直截了当地记录了最终结果：这场争斗在2001年4月以克雷门收回域名并获判6500万美元告终。
执行判决则是另一回事。科恩无意付款。他无视法庭命令，将大笔资金转移至海外账户，迫使法官按照意见书自述的说法"撂下手套"：他宣布科恩为在逃犯罪嫌疑人，签发逮捕令，并派遣美国法警追捕。那时科恩已经逃之夭夭。逮捕令签发后，科恩出逃墨西哥，成为《环球邮报》所称的互联网首位域名在逃犯，同时被美国和墨西哥警方通缉。他宣布个人破产并潜逃墨西哥，在那里躲避追捕数年，直至2005年因违反移民法规被墨西哥当局驱逐出境。
克雷门赢得了域名和判决，却始终未能追回全部6500万美元。这一教训残酷却至关重要：纸面上的判决，其价值取决于你是否有能力向一个决意逃亡的人执行。
1990年代的注册商为何让这一切发生
人们很容易把这个故事解读为一家注册商的失职、一次偶然事件。但事实并非如此。这是1995年域名所有权运作方式的必然结果。
在那个年代，证明你拥有一个域名的"凭证"，不过是注册商数据库中的一条记录和一个管理员联系人——而变更这些信息的方式就是开口要求，通常是一封信或一份传真。没有加密签名，没有双重验证，没有在转让生效前向现有所有者发出自动通知。整个系统建立在信任之上，默认没有人会无中生有地撒谎。面对科恩的信件，Network Solutions没有尝试联系克雷门，正如维基百科所总结的，对科恩的伪造信件照单全收，既未核查科恩声明中的漏洞，也未联系克雷门确认他是否真的放弃了该域名。
两个结构性缺陷在此叠加：
- 以冒名顶替实现授权。 注册商验证的是一份文件，而不是一个人。任何能伪造一封看上去可信的"公司"信件的人，都能转移一个域名。身份不过是一件戏服。
- 没有通知真正的所有者。 本可从根本上阻止这一切的唯一控制措施——在采取行动前告知克雷门"有人试图转移你的域名"——根本不存在。受害者是最后一个知道的人。
这些不是科恩的过失，而是一个将世界上最有价值的名字当作图书馆借书证来管理的系统的失败。
这对域名所有权的启示
sex.com 劫案已过去三十年，但其教训历久弥新，因为域名所有权的底层架构变化远比人们以为的要少。
- 你的域名是财产——财产会被盗。 Kremen v. Cohen 最持久的遗产，是裁定域名是受侵权转换法保护的财产。这是好消息（你有权利），也是警示（有价值、有主人的东西值得被人惦记）。
- 最薄弱的环节是转让流程，不是密码。 科恩从未猜过密码。他攻击的是行政路径——变更域名归属的人工流程。大多数域名劫持至今仍针对这个缝隙：注册商客服、转让授权、联系记录变更。
- 纸面信任不是安全。 "看起来很官方"——就这样，地球上最有价值的域名走出了大门。一个签名、一个信头、一个听起来合理的故事——这些都无法证明谁真正获得授权。
- 通知与核实不可或缺。 本可阻止整起劫案的单一控制措施，是在采取行动前向真正的所有者确认请求。任何可以在没有你可证明参与的情况下转移你的域名的系统，就是一个可能让你失去域名的系统。
- 判决不等于找回。 克雷门赢得了6500万美元，实际追回的却远不及此。预防永远胜过诉讼，因为你无法通过诉讼拿回一个已被逃犯变现、而法院又无从寻获的域名。
Namefi 的视角
撇开出逃墨西哥和色情帝国的营收不谈，sex.com 劫案归根结底是一个关于缺失的故事：没有防篡改的、由所有者掌控的所有权记录来证明谁拥有这个名字。所有权存在于一个私有数据库中，任何能用一封拼错了名字的伪造信件欺骗工作人员的人，都可以改写它。
Namefi 从截然相反的前提出发。当一个域名被代币化后，所有权锚定在你掌控的密码学密钥上，每一次转让都是一个链上操作——经过授权、可见、可审计——而非某人"照单全收"的一份传真。没有工作人员可以欺骗，没有行政后门可让一封似是而非的信件凌驾于真正所有者之上，也没有所有者数月后才察觉的静默转让。控制权可证明，转让需所有者签名，审计记录对所有人公开——同时与互联网其他部分所依赖的 DNS 保持兼容。
科恩的伪造信件之所以奏效，是因为他与 sex.com 之间唯一的屏障，是别人是否愿意相信一张纸。可验证的、防篡改的所有权的意义，正是让这种攻击从根本上无从施展：你无法像伪造签名那样伪造私钥。互联网有史以来第一起重大域名盗窃案留给我们最宝贵的教训是：这个名字归谁所有，应当是一个可以证明的事实——而不是一个陌生人能够讲述的故事。
来源与延伸阅读
- Wikipedia — Sex.com
- Wikipedia — Kremen v. Cohen
- U.S. Court of Appeals, Ninth Circuit — Kremen v. Cohen / Online Classifieds v. Network Solutions, 325 F.3d 1035（完整意见书，PDF）
- MoreLaw — Gary Kremen v. Stephen Michael Cohen, et al.（案件记录）
- CircleID — Domain Name Theft, Fraud And Regulations
- The Globe and Mail — The fugitive, the Cupid and sex.com
- The Register — Sex.com: read it if you dare（Kieren McCarthy 著作书评）
- Studicata — Kremen v. Cohen — Case Brief Summary
- Kieren McCarthy — The lowdown on the Sex.com case
- CircleID — Book Review: Sex.com by Kieren McCarthy
关于作者
相关指南
- 12美元的那一分钟：有人悄悄买下了 google.com2015年9月，一位前谷歌员工通过 Google Domains 以12美元买下了 google.com，并对全球最具价值的域名拥有了约一分钟的管理控制权。这是 Sanmay Ved 的故事，6006.13美元的漏洞奖励，以及这一分钟的所有权所揭示的：究竟谁真正控制着一个域名。
- 域名紧急事件 EP03：2020年Twitter比特币账户劫持事件2020年7月15日，攻击者通过电话诈骗入侵Twitter，劫持了奥巴马、拜登、马斯克、盖茨、苹果和Uber等认证账户，实施比特币翻倍骗局——最终骗取约11.8万美元。深度解析网络身份是如何被盗取的，以及这一事件对"拥有一个名字"的启示。
- 域名危机 EP05：2024年 Squarespace DeFi 域名大规模劫持事件2024年7月，Google Domains 向 Squarespace 的注册商迁移，将薄弱的默认身份验证变成了大规模攻击面。攻击者劫持了 Compound Finance、Celer Network、Pendle、Unstoppable Domains 等加密货币和 DeFi 项目的域名，将其指向钱包耗尽型钓鱼网站。本文揭示"无缝"迁移如何创造了数百扇敞开的大门，以及这一事件对注册商安全和多因素认证的深刻启示。
- BadgerDAO 前端攻击事件：一段注入脚本让 1.2 亿美元不翼而飞2021 年 12 月，攻击者入侵了 BadgerDAO 的 Cloudflare 账户，并向其网站前端注入了一段恶意脚本。经过审计的智能合约从未被触动——然而约 1.2 亿美元的资产通过用户在毫不知情的情况下签署的钱包授权悄然流失。深度解析：为何网站本身也是你的安全防线的一部分。