交易所账户安全设置清单：开户当天就该配好的几件事

两步验证：先把短信那一条换掉

两步验证要开，但别停在短信那一档。验证器 App 生成的动态码不经过运营商，也就绕开了短信这条路上最脆弱的一环。

短信验证码的问题不在于加密强度，在于它依赖你的手机号，而手机号并不完全归你控制。补卡欺诈是很成熟的手法：对方拿着你的姓名、证件号和几条能查到的信息，去营业厅或客服那里说手机丢了要补一张卡，成功之后你的号码就转到他手上，你的手机会突然没信号，而验证码短信全都进了对方的设备。海外华人还有一层额外的暴露面：号码换得频繁、有的号停用一段时间会被回收后重新放号，接手的人就能收到你的验证短信。

验证器 App 的原理是你和平台共享一个种子，双方各自按时间算出同一串六位数，中间不传输任何东西。装一个主流的验证器，扫码绑定，之后每次登录和提币都从 App 里读码。关于两步验证的机制说明，Binance Academy 的中文教程区里有更基础的介绍。

分清验证器密钥与备用登录码

绑定验证器时可能提供设置密钥，可用于重建动态码；有些服务另给一次性备用登录码，它不能等同于验证器密钥。按页面说明保存实际提供的信息，并确认其用途。

存的方式建议避开这几种：截图放在手机相册里（相册往往同步到云端，云账号一旦被进就全暴露）、发给自己的聊天软件、存在和交易所同一个邮箱的草稿箱里。比较稳的做法是抄在纸上收进你放证件的地方，或者存进一个独立的、开了两步验证的密码管理器。抄纸的时候注意字迹，0 和 O、1 和 l 分不清的话，恢复那天会很痛苦。

无法通过现有验证方式或恢复信息恢复时，应使用平台官方重置流程：通常要重新做人脸验证，通过后账户会有一段提币冻结期，长度以平台当期规则为准。这段时间里如果正好有笔钱要出，只能等。

防钓鱼码：认出假邮件最省力的办法

防钓鱼码是你自己设定的一串字符，设好之后，应留意平台相关邮件中是否显示它，并核对适用说明。缺码或码不符时先停止操作，自己打开官方 App 或官网核实；码正确也不能代替核对发件域名与消息要求。

它解决的是一个很实际的困难：假邮件做得越来越像。发件人显示名可以伪造，域名可以用相似字符替换（把 rn 拼成看着像 m 那种），邮件里的排版、logo、按钮样式都能整套复制。普通人在手机上瞄一眼，很难分辨。防钓鱼码把这道题从「你要认出假的」变成了「核对自己设置的标记，但仍要检查消息来源与请求内容」，判断成本一下就降下来了。

设置入口一般在账户的安全设置里，写着「防钓鱼码」或者「反钓鱼码」。设的时候：

• 用你一眼能认出的字符组合，长度取页面允许的上限。
• 不要用生日、手机尾号、常用昵称这些别人查得到的信息。
• 不要和你任何一个密码有重合，它会明文出现在官方邮件和部分地区的官方短信里。
• 设完之后自己触发一封通知邮件（比如改一次某项设置），确认码确实显示出来了。

提币白名单和延迟，是留给自己的后悔时间

白名单的意思是：这个账户只能把币提到你事先登记过的地址。提币延迟的意思是：新加一个地址之后，要过一段时间才能用它提币。这两条组合起来，等于给自己装了一道时间闸。

为什么时间这么重要？因为账户被入侵之后，对方的动作是分钟级的——登录、加一个自己的地址、提走。而你察觉这件事，通常要等到看见异常登录邮件或者下次打开 App，那可能是几小时之后。延迟期把这个顺序倒了过来：对方加地址的那一刻你就收到通知，而他还得等，等的这段时间就是你冻结账户、改密码、联系客服的窗口。

配置上有两件事要注意。第一，保存地址与启用「仅允许提币到白名单地址」的限制要分清；开关名称随平台不同，确认当前页面确实限制了白名单之外的提币。第二，加地址的时候把网络也一并选对——同一串地址在不同链上是不同的收款目标，加错了照样提丢。网络怎么选写在提币网络怎么选里。

另外值得顺手打开的是提币前的二次确认：每笔提币都要邮箱码加验证器码。有些人嫌麻烦关掉了，省下的是几秒钟，让出的是最后一道闸。

先保护好邮箱，它是找回账户的入口

这一条排在这里不是因为它不重要，恰恰相反：邮箱可能参与找回和安全确认，具体恢复条件由账户设置和平台流程决定。邮箱如果没有得到同样的保护，你在交易所那边做的加固就可能被绕过。

密码重置、验证方式更改或提币确认可能涉及邮箱，也可能要求其他验证，不能假定单凭邮箱就能完成。谁能登录你的邮箱，谁就有机会接管这些找回和确认流程。所以邮箱至少要用和交易所账户同等、甚至更强的保护。

要做的事很短：给邮箱本身开两步验证，同样用验证器而不是短信；检查邮箱的账户恢复选项，把里面早就不用的旧手机号、旧备用邮箱删掉（那些是攻击者最喜欢的入口）；看一眼邮箱的转发规则和过滤器，有没有你不认识的规则把某类邮件自动转出去或者直接归档——这是账户被入侵后常见的后手，目的是让你收不到安全通知。

密码这一层

交易所密码不要和任何其他站点重复。撞库是最省力的攻击方式：某个不相干的论坛数据泄露了，攻击者拿着那批邮箱密码组合去各大交易所挨个试，重复用密码的人就中招了。用密码管理器给每个站点生成不同的长密码，你只需要记住一个主密码，并给管理器本身开两步验证。

还有一个习惯要改：保护密码存放的设备。无论使用浏览器内置还是独立密码管理器，都要保持软件更新、保护设备和恢复方式；不要在公用电脑保存密码或留下登录状态。同理，别在浏览器里安装来路不明的「行情插件」「自动交易助手」，扩展的权限往往比你以为的大得多。

设备、授权和 API 密钥

这一节的三样东西共同点是：它们是你自己在某个时刻主动打开的口子，然后就忘了。定期回去看一眼，成本很低。

登录设备

安全设置里有一份设备列表，记着哪些设备登录过、什么时候、从哪个地区。定期扫一遍，把不认识的、以及自己早就不用的旧手机旧电脑移除。看到陌生设备就立刻改密码并把所有会话踢掉，然后检查邮箱有没有被同时入侵。

顺带说一句：出门在外用酒店或机场的公共 Wi-Fi 登录账户之前，想一想有没有必要现在就登。真要登，至少确认地址栏的域名是对的，别从别人发来的链接进。

第三方授权

用交易所账户登录过的第三方网站、连接过的钱包或行情工具，都会留下授权记录。这些授权你当时可能只是为了看一眼数据，之后再没用过，但它一直有效。翻到授权管理页面，把不再使用的全部撤销。

API 密钥的权限

API 密钥是给程序用的账户凭证，一旦生成就等于多了一把钥匙。用不到就不要建；要建的话，权限按最小给：

• 提币权限不要开。这是这一节里最要紧的一句。绝大多数用途（看行情、看余额、跑策略）都不需要提币权限，而开了它，密钥泄露就等于币可以被直接转走。
• 交易权限也按需给。只是读数据的话，只留只读权限。
• 绑定 IP 白名单，限制只有你指定的服务器地址能用这把钥匙。
• 密钥不要贴进聊天记录、不要提交到代码仓库、不要写在截图里。用不到的旧密钥直接删掉，别留着。

把社交工程当成账户设置的一部分

技术手段能挡住的，是扫描和撞库这类无差别攻击。还有一类它挡不住，靠的是人：假客服说要帮你处理异常、老同学突然让你帮忙走个账、群里的「老师」带你去一个新平台。这些都不需要攻破任何加密，只需要你在某个当下相信了对方，然后自己把码报出去、自己点了提币。

给自己定一条固定规则：涉及验证码、密码、备份码、助记词的任何请求一律不回应；涉及转账的请求，都用你原本就知道的官方渠道回拨确认。页面上的安全开关与这条核验习惯需要同时执行。