No DigitalOcean, você pode fazer o login como root no console DO (e não precisa compartilhar o acesso a ele). Caso contrário, você também pode destruir o droplet e reconstruir um de seus backups não hospedados no DO (porque você tem estes, é claro :)) ou dos snapshots DO (se você pagou por isso), ou uma mistura dos dois (snapshots são feito semanalmente) (*). Se você tiver um domínio, também poderá alterar o domínio para apontar para uma máquina completamente diferente.
Sim, no caso geral, quando você é hackeado, a única maneira de ter uma confiança completa no sistema é reconstruí-lo do zero, mas também depende de para que você o usa, de como ele é crítico e de quem hackeado você. O seqüestrador é um caso bastante "benigno" porque faz tudo à vista. O verdadeiro vilão é aquele que hackeia seu sistema e o usa para seus próprios propósitos atrás de você.
(*) tudo isso presume que você mantenha os backups dos últimos dias / semanas, caso contrário, seu único backup será a versão criptografada ...