acredito que o erro maior foi dos usuários, quem entra nesse mundo vive sendo avisado para tomar precauções
De certo que boa parte da culpa é deles, mas isso não isenta outros culpados também. Em verdade, os mais errados nessa história toda são os próprios hackers

Partimos desse ponto então: A Google faz KYC? Provavelmente não(ou faz de forma ineficiente), caso contrário era fácil encontrar os hackers e então punir os verdadeiros culpados.
Visto que a Google não tem esse cuidado, ao meu ponto de vista a empresa é cúmplice dos hackers

edit: acredito que esse ponto do KYC valha também para os vendedores de domínios.