交易所账户安全怎么设置？一份完整检查清单

交易所账户被盗，很少是因为交易所本身被攻破，更多是因为邮箱被盗、密码在别的网站泄露、验证码被钓鱼网站骗走，或者手机号被人冒名补办。下面的清单按“从根基到细节”的顺序排列，可以对照着逐项检查。

账户安全设置清单：逐项对照

这些设置的前提是你用的网站和 App 本身是官方的，核对方法见币安、欧易 App 官方下载与辨别假 App。

为什么注册邮箱是账户安全的根基？

大多数交易所的“忘记密码”流程都会把验证发到你的邮箱。邮箱一旦被人控制，对方就可能借此重置你的交易所密码，还能收到所有的安全通知，并在你发现之前把它们删掉。

所以邮箱要做到：

• 最好单独用一个邮箱注册交易所，不用来注册各种论坛、购物网站和订阅服务，减少它出现在泄露数据库里的可能。
• 邮箱本身开启双重验证，并设置一个和交易所不同的强密码。
• 检查邮箱有没有被设置自动转发规则。盗号者常常偷偷加一条转发，让你的邮件同步一份到他那里。

手机号也同理。如果手机号可以被人冒名补办或转移，短信验证码就等于交给了别人。可以向你的电信公司了解有没有补卡密码或额外的身份核验选项。

登录密码要怎么设才够安全？

关键不在复杂，而在唯一。最常见的盗号方式之一是撞库：某个小网站泄露了你的邮箱和密码，攻击者拿这组账号密码去各大交易所逐一尝试。

建议用密码管理器为交易所生成一个足够长的随机密码，只用在这一个地方。不要把密码存在手机备忘录、聊天记录或截图里。

双重验证选哪种？短信、身份验证器和通行密钥对比

双重验证（2FA）就是登录或提现时，在密码之外再要一道验证。几种常见方式的差别如下：

比较实际的组合是：开启身份验证器 App，有条件的话再加上通行密钥，短信和邮箱作为辅助验证。各家交易所支持的方式和组合不完全相同，以你在安全设置中看到的选项为准。

绑定身份验证器时最容易忽略的一步

绑定身份验证器时，页面会显示一个二维码和一串备份密钥。把这串密钥抄在纸上，放在安全的地方。换手机、手机丢失或身份验证器 App 被误删时，靠它可以在新设备上恢复动态码。

不要把备份密钥截图存进手机相册或网盘，相册和网盘同步一旦被入侵，等于把钥匙一起交了出去。

通行密钥是什么？要不要开？

通行密钥（Passkey）是一种用设备上的指纹、面容或锁屏密码来登录的方式。它的安全性来自一个特点：通行密钥和真正的网站域名绑定，钓鱼网站即使做得一模一样，也拿不到可用的验证。这正好补上了短信和动态码最大的漏洞。

开启时要注意：

• 通行密钥可能会通过系统的密码同步功能同步到你的其他设备上，所以这些设备的锁屏密码和系统账户本身也要安全。
• 在交易所的安全设置里能看到已添加的通行密钥列表，不再使用的设备要及时删除对应的通行密钥。
• 保留至少一种其他验证方式作为后备，避免唯一的设备丢失后无法登录。

防钓鱼码有什么用？

防钓鱼码是你自己设定的一串字符。设置以后，交易所发给你的官方邮件里会显示这串字符，部分交易所在其他官方通知中也会显示，例如币安说明它会出现在所有真正来自币安的邮件和短信中。

它的用法很简单：收到自称来自交易所的邮件，先看有没有你的防钓鱼码。没有，或者显示的不对，就是假冒邮件，不点里面任何链接。

防钓鱼码不要设成生日、手机号这类别人可能猜到的内容，也不要告诉任何人，包括自称客服的人。

提币白名单要不要开？

建议开。开启后，账户只能向你事先加入白名单的地址提币。即使有人登录了你的账户，也没法把资产直接提到他自己的地址，他得先添加新地址，而这一步又需要通过你的安全验证。

很多交易所在你修改密码、更换双重验证或改动提币地址后，会暂时限制提现一段时间。例如欧易说明，修改登录密码或验证方式后 24 小时内无法提币；币安在你关闭或修改提现白名单后，提现也可能暂停 24、48 或 72 小时。这会带来一点不便，但对你是保护：盗号者同样要等，你就有时间发现异常并冻结账户。

使用白名单时：

• 只添加你自己控制的钱包地址，或你自己在其他交易所的充值地址，并给每个地址写清楚备注。
• 添加地址时确认网络和地址类型对应，网络不一致可能导致资产无法到账，见 USDT 转账该选哪个网络。
• 定期清理不再使用的地址。

怎样检查登录设备和 API 密钥？

登录设备：在账户的安全设置中通常可以看到当前登录和最近登录过的设备、时间和大致位置。看到不认识的设备，先删除它，然后修改密码并检查双重验证有没有被改动。

登录记录和安全通知：留意“新设备登录”“安全设置已修改”“新增提币地址”这类通知。不是你本人操作的，按下文“账户被盗”的步骤处理。

API 密钥：API 密钥是让量化工具、记账软件等第三方程序连接你账户的一把钥匙。如果你从来没用过，确认列表是空的；如果用过：

• 只给程序需要的权限，查看行情和记账用只读权限即可，一般不需要开提现权限。
• 支持绑定 IP 的，绑定程序所在服务器的 IP。
• 不再用的立刻删除，不要把 API 密钥发给“带单老师”或任何代操作的人。

API 密钥的权限、IP 白名单和子账户的用法，详见交易所 API 密钥安全。

平时还有哪些习惯能少出问题？

• 交易所网站只从书签进入，不点搜索广告和别人发来的链接。不确定网址、邮箱或社交媒体账号真假时，可以用交易所的官方验证页面查询，例如币安官方验证（Binance Verify）。各类常见骗局见加密货币常见诈骗手法。
• 不在网吧、公用电脑或别人的手机上登录交易所账户。
• 不安装来路不明的浏览器扩展和“行情插件”，它们能读取你在网页上的操作。
• 任何人索要验证码、备份密钥或让你安装远程控制软件，一律拒绝。
• 不出借、不出售自己的交易所账户，也不替别人做身份认证。

刚注册的用户，可以在完成身份认证之后、第一次充值之前，把上面的清单一次性做完，注册步骤可参考币安注册教程或欧易注册教程。各家交易所对部分国家和地区有服务限制，开户和使用前要确认符合当地法律和平台规则。

怎样判断账户可能已经被盗？

出现下面任何一种情况，都要立刻按被盗处理，不要等“确认”：

• 收到你没有操作过的登录、修改密码、修改双重验证或新增提币地址的通知；
• 登录设备列表里出现不认识的设备；
• 资产里出现你没下过的订单、没做过的划转，或者有不认识的提币记录；
• 突然登录不上，提示密码错误或双重验证已更换；
• 邮箱里交易所的通知邮件莫名消失，或邮箱被设置了陌生的转发规则。

账户被盗后，第一时间做什么？

顺序很重要，先止损，再修复：

1. 冻结账户。在交易所的安全设置里找到停用或冻结账户的功能，立即使用：币安在「账户安全 → 账户管理」里有「禁用账户」，欧易在「安全中心」页面下方有「冻结账号」（需要已绑定谷歌验证）。如果已经登录不上，从官网或 App 的官方客服入口申请协助冻结。冻结后账户会暂时停用，之后要按官方流程解冻，这是最快止损的办法。
2. 夺回邮箱。修改邮箱密码，检查并删除陌生的转发规则和登录设备，确认邮箱的双重验证仍由你掌控。
3. 重置交易所的安全设置。通过官方流程解冻后，修改登录密码，重新绑定身份验证器和通行密钥，删除所有不认识的设备和 API 密钥，检查提币白名单里有没有被加入陌生地址。
4. 排查泄露源头。回想最近是否在可疑网站输入过账号、装过不明软件或插件，或者把验证码告诉过别人。电脑和手机有中毒嫌疑的，先处理设备再登录账户。
5. 保存证据。截图保存异常通知、登录记录、提币记录和链上交易哈希（TxID）。
6. 报警并联系官方客服。资产已被转走的，向当地警方报案，并把交易哈希和收款地址提供给交易所客服。

处理期间会有人自称“客服”或“追款专家”主动联系你，这是针对被盗用户的常见二次诈骗，一律不理。