Прошу помощи, пытаются угнать домен

Друзья, за много лет подобная ситуация происходит впервые, прошу вашей помощи.

Домен в международной зоне.

Сегодня на почту приходит письмо от регистратора (resellerclub.com) с требованием подтвердить почтовый адрес по ссылке в письме, в противном случае через 15 суток домен будет деактивирован.

Запрос на подтверждение пришел не просто так, причина:

«Это уведомление отправляется в связи с регистрацией, передачей или изменением информации WHOIS в вашем домен»

Полный текст письма:

ResellerClub Sales Team

automail@resellerclub.com

Dear Customer,

Your email address, [почта], has been set as the Registrant contact for 1 domain names registered through ResellerClub-EST. Please click on the following link to verify your email address. By clicking on the following link you are agreeing to Terms of Services.

[ссылка]

This notice is being sent due to the registration, transfer, or change to the WHOIS information on your domain(s). Please note that failure to verify the Registrant contact email address will lead to deactivation of the respective domain name(s) if not completed within 15 days from the date of that action. Once deactivated, the domain names will not function until the email address is verified.

Следом через 5 мин приходит еще одно письмо:(в двух словах регистратор получил запрос на изменение данных в whois домена, и нужно подтверждение по ссылке)

Do Not Reply

do_not_reply@myorderbox.com

Dear Registrant,

ResellerClub-EST has received a request on 2020-**-** to update the Registrant contact information for the domain name [url]. In an effort to maintain valid records and avert fraudulent activity, ICANN requires that we verify the new information before submitting it to the registry.

The registrant information is to be updated from:

Current Registrant Information
Name: ***
Company: ***
Email: [наша почта]

To:

New Registrant Information
Name: ***
Company: ***
Email: [левая почта мошенника]

To approve or decline these changes, please click on the link below:

[ссылка]

Please note that, if you do not respond by 2020-**-**, the request to update registrant information will be canceled and the registrant contact information will not be changed.

IMPORTANT: Both parties must approve the changes before we can submit the new record to the registry. If the email address did not change, you will receive both emails.

Не могу понять, каким образом была мошенниками инициирована смена WHOIS информации? Логи почты проверили - каких-либо входов с левых ip не было. Аналогично с кабинетом регистратора. 

Как правильно поступить, чтобы ничего не упустить и не потерять домен? Благодарю и надеюсь на помощь, спасибо!