Код создаёт текущий регистратор, а хранится он в реестре. Чтобы перенести домен, вы получаете код у текущего регистратора и передаёте новому, а новый регистратор предъявляет его реестру вместе с запросом на перенос. Если код совпадает, перенос может продолжаться.
Для gTLD регистраторы обязаны выдать код в течение пяти календарных дней после запроса регистранта и не вправе ставить выдачу в зависимость от чего-либо, кроме проверки личности. Некоторые ccTLD используют для той же идеи другой механизм или другое название.
Обращайтесь с кодом как с паролем: любой, у кого он есть и кто обнаружит домен незаблокированным, может начать перенос. Простая защита — держать блокировку регистратора (clientTransferProhibited) включённой, поскольку заблокированный домен нельзя перенести даже с правильным кодом.