交易所账户安全设置2026：2FA身份验证器、通行密钥、防钓鱼码与提币白名单清单

大部分资产被盗，都不是因为交易所被黑，而是个人账户的安全设置不到位：密码重复使用、只用短信验证、点了钓鱼链接、把验证码告诉了「客服」。

下面这份清单适用于币安、欧易等主流交易所，最好在第一次充值前全部完成，之后每隔几个月复查一次。

交易所账户安全必须做哪些设置？

• 独立邮箱：使用只用于交易所的邮箱，并为邮箱也开启 2FA。
• 强密码：12 位以上，不与其他网站重复，最好用密码管理器生成。
• 身份验证器 App（2FA）：用 Google Authenticator 等 App 代替短信验证码，并离线备份恢复密钥。
• 通行密钥（Passkey）：用指纹或面容登录，钓鱼网站无法骗走。
• 防钓鱼码：设置后，官方邮件中都会显示这段暗号。没有暗号的「官方邮件」一律视为钓鱼。
• 提币白名单：开启后只能向事先登记的地址提币，新增地址需要等待一段时间才能生效。

交易所为什么要用单独的邮箱注册？

交易所账户的「找回密码」「重置 2FA」等操作通常都要通过邮箱确认。如果你用的是在很多网站注册过的常用邮箱，一旦其中某个网站数据泄露，攻击者就可能拿到邮箱密码，进而接管交易所账户。

具体可以这样做：

1. 新注册一个邮箱，只用于交易所，不对外公开；
2. 邮箱密码与交易所密码不同，均使用密码管理器保存；
3. 邮箱开启两步验证，优先使用身份验证器或安全密钥；
4. 检查邮箱的「自动转发」和「过滤规则」，确认没有被添加陌生的转发地址。

身份验证器 2FA 怎么设置和备份？

以币安、欧易为例，步骤大致相同：

币安账户安全页：通行密钥、身份验证器、邮箱和手机号验证的开启状态一目了然（已遮盖个人信息，截图于 2026-10-28）

1. 手机安装身份验证器 App（如 Google Authenticator、Microsoft Authenticator）；
2. 在交易所「安全中心」选择绑定身份验证器；
3. 用 App 扫描页面上的二维码，同时把页面显示的恢复密钥抄在纸上；
4. 输入 App 显示的 6 位动态码完成绑定；
5. 绑定成功后，关闭或降低短信验证的优先级（如平台允许）。

恢复密钥的保存要求和助记词类似：抄在纸上，放在安全的地方，不拍照、不存云端。换手机时，先在新手机上用恢复密钥添加，确认能生成正确的动态码，再删除旧手机上的数据。

通行密钥（Passkey）是什么，为什么能防钓鱼？

通行密钥用你设备上的指纹、面容或 PIN 来登录，背后是一对只与官方域名绑定的密钥。即使你误点了仿冒网站，仿冒网站也无法调用你在官方网站上创建的通行密钥，这是它比密码 + 验证码更能抵御钓鱼的原因。

用的时候留意三点：

• 在常用的手机和电脑上分别创建通行密钥；
• 确认设备本身设置了锁屏密码，并开启了系统更新；
• 保留身份验证器作为备用方式，防止设备丢失时无法登录。

防钓鱼码是什么？怎么用来识别假邮件？

在交易所安全设置中设定一串只有你知道的字符（例如一个自己记得住、但别人猜不到的短语）。设置后：

币安防钓鱼码设置页：设置后官方邮件里会带上这串只有你知道的代码（已遮盖个人信息，截图于 2026-10-28）

• 交易所发出的正式邮件都会在显眼位置显示这串字符；
• 收到任何自称交易所的邮件，先看有没有防钓鱼码，没有就直接删除；
• 不要把防钓鱼码告诉任何人，也不要在社交平台晒设置截图。

注意：防钓鱼码只能证明邮件来自官方，不能证明短信或电话来自官方。官方客服不会主动来电要求你操作账户。

提币白名单有什么用？为什么一定要开？

假设攻击者已经拿到了你的密码和某一次验证码，如果没有白名单，他可以立刻把资产提到自己的地址。开启白名单后：

币安地址管理页：右上角显示提币白名单是否开启，可在这里添加常用地址（已遮盖个人信息，截图于 2026-10-28）

• 只能提币到你事先登记的地址；
• 新增地址需要经过 2FA 确认，并且往往有一段等待期才能使用；
• 这段时间足够你发现异常并冻结账户。

登记地址时，先给地址加上清楚的备注（例如「自己的钱包 – TRC20」），并先小额测试一次。提现流程见 提现到钱包教程。

怎么识别钓鱼网站和钓鱼短信？

钓鱼网站的目的只有一个：骗你在假页面上输入密码和验证码。常见的识别要点：

不确定链接或来电是否官方时，可以在交易所的官方验证页面查询（截图于 2026-10-27）

• 域名细节：仿冒域名常用形近字母、多一个连字符、换一个后缀，或者把官方名称放在子域名里（例如「官方名称.某个陌生域名」），真正的主域名是最后那一段；
• 制造紧迫感：「账户将在 24 小时内冻结」「检测到异常登录，请立即验证」；
• 来源可疑：搜索结果的广告位、短信、社交平台私信、群聊里的链接；
• 要求异常信息：要你输入助记词、私钥，或者把验证码「告诉客服」。

最简单可靠的习惯是：不点任何消息里的链接，需要处理账户问题时，自己打开书签或官方 App 查看站内通知。

在钓鱼网站输入了密码或验证码怎么办？

如果你发现刚才登录的页面是假的，请按以下顺序立即处理，越快越好：

1. 用官方 App 或书签打开真实官网，立刻修改登录密码；
2. 检查「登录设备」和「登录记录」，删除不认识的设备；
3. 检查提币白名单、API 密钥、绑定的邮箱和手机号是否被改动；
4. 如果发现异常或无法确定，直接冻结账户，再联系官方客服；
5. 如果你在钓鱼页面输入的是钱包助记词，请立即把资产转移到一个全新创建的钱包，旧钱包不再使用；
6. 修改邮箱密码，确认邮箱没有被设置自动转发。

钓鱼网站拿到的验证码通常只在很短时间内有效，攻击者往往会立即使用，所以前几分钟的反应非常关键。

处理完毕后，回顾一下自己是从哪里点进钓鱼网站的，并把官网加入书签，避免再次发生。

SIM 卡劫持是什么？为什么不建议只用短信验证？

SIM 卡劫持是指攻击者冒充你，向电信运营商申请补办或转移你的手机号。成功后，你的短信验证码会发到攻击者的手机上，配合泄露的密码就能登录你的交易所和邮箱。

防范方法：

• 交易所和邮箱都用身份验证器或通行密钥代替短信验证；
• 向你的电信运营商了解是否可以设置补卡密码或额外的身份验证；
• 手机突然没有信号、收到「SIM 卡已更换」通知时，立即联系运营商，并检查交易所账户。

除了 2FA，还有哪些进阶安全设置？

• 定期查看登录设备与登录记录，删除不认识的设备；
• 不用的 API 密钥及时删除；需要使用时，只开「读取」或「交易」权限，不要开启提现权限，并绑定 IP；
• 在 App 中开启应用锁；
• 手机系统和 App 保持最新版本；
• 不在公共电脑、网吧或他人设备上登录交易所；
• 不安装来路不明的浏览器插件，尤其是「行情助手」「自动交易」类插件；
• 复制提现地址后，核对开头和结尾几位，防止剪贴板被恶意软件替换。

密码管理器怎么用？安全吗？

很多人不愿意用强密码，是因为记不住。密码管理器可以解决这个问题：

• 它为每个网站生成一串随机的长密码，并加密保存，你只需要记住一个主密码；
• 它只会在保存过的正确域名上自动填充密码。如果在一个「看起来像交易所」的页面上不自动填充，这本身就是钓鱼网站的信号；
• 主密码要足够长且只用于密码管理器，并为密码管理器本身开启两步验证。

不过，身份验证器的恢复密钥、钱包助记词和交易所密码不要全部存在同一个地方。尤其是助记词，最稳妥的是只做离线纸质备份。

API 密钥怎么设置才安全？

如果你使用行情软件、记账工具或量化程序，可能需要创建 API 密钥。API 一旦泄露，对方无需密码就能操作你的账户，所以要严格设置：

设置项	建议
权限	只开需要的权限：记账只开「读取」，交易程序开「交易」，永远不开「提现」
IP 限制	绑定你的服务器或固定 IP，未绑定的 API 可能有更短的有效期
备注名称	给每个 API 起清楚的名字，方便日后识别和删除
保存方式	Secret Key 只显示一次，存入密码管理器，不发在聊天中
定期清理	不再使用的 API 立即删除

任何要求你「提供 API 帮你代操作、带单」的人，都应当拒绝。

提现前怎么核对地址，防止被恶意软件替换？

有一类恶意软件会监控剪贴板，在你复制钱包地址时，悄悄替换成攻击者的地址。地址都是长串字符，很难一眼看出。防范方法：

1. 粘贴地址后，核对开头和结尾至少各 4–6 位，必要时也核对中间几位；
2. 常用地址加入提币白名单，并写好备注，以后从白名单中选择而不是每次粘贴；
3. 第一次向新地址转账时先小额测试；
4. 电脑和手机不安装来路不明的软件、破解版软件和浏览器插件；
5. 不要从聊天记录里复制别人发来的「新地址」，有疑问时通过其他方式向对方确认。

收到可疑短信、邮件或电话怎么处理？

收到的内容	不要做	应该做
「账户异常，请点击链接验证」短信	点击链接、回拨短信里的号码	自己打开官方 App 查看站内通知
没有防钓鱼码的「官方邮件」	点击邮件中的任何链接或附件	直接删除，必要时举报为钓鱼
自称客服的来电	提供验证码、按对方指引操作	挂断电话，通过 App 内客服核实
社交平台私信「帮你解冻」「领奖励」	下载文件、连接钱包、转账	拉黑举报，不回应
「你的验证码是……，请勿泄露」但你没有操作	把验证码告诉任何人	立即修改密码，检查登录记录

最后一种情况尤其要警惕：你没有登录或操作，却收到了验证码，说明可能有人知道你的密码正在尝试登录。

出国旅行或出差时，交易所账户要注意什么？

• 出发前确认身份验证器和恢复密钥都可用，不要只依赖可能收不到的短信；
• 在陌生地点登录可能触发风控，提前了解可能需要的额外验证；
• 尽量不连接公共 Wi-Fi 操作交易所，必要时使用手机流量；
• 不在酒店、机场的公共电脑上登录；
• 注意你所在的目的地是否属于平台的服务受限地区，遵守当地法规。

交易所安全设置多久检查一次？

检查项	自查方法	建议频率
登录设备	安全中心 → 设备管理，删除陌生设备	每月
API 密钥	删除不再使用的密钥，确认无提现权限	每季度
白名单地址	核对每个地址仍是你本人控制	每季度
邮箱转发规则	检查有无陌生转发地址	每季度
恢复密钥	确认纸质备份仍在、字迹清晰	每半年

改了安全设置后为什么不能提现？

修改密码、重置 2FA、更换绑定邮箱或手机号之后，交易所通常会暂时限制提现一段时间，具体多久，修改时页面会提示。这看起来不方便，但它的作用是：即使盗号者拿到了你的账户并修改了设置，也无法马上把资产转走，你有时间发现并冻结账户。

所以：

• 计划修改安全设置时，避开你急需提现的时间；
• 收到你没有操作过的「设置已变更」通知，要当作紧急情况处理，立即冻结账户。

家人共用设备或电脑时要注意什么？

• 交易所 App 开启应用锁，不让家人使用你的手机登录；
• 共用电脑不保存交易所密码，用完退出登录；
• 不要把验证码、恢复密钥放在家人也能看到的位置；
• 如果需要家人知道资产的存在，可以写一份只说明资产在哪里、如何联系平台的说明，而不是直接写下密码或助记词。

交易所用户最常遇到哪些骗局？

骗局	典型话术	应对
假客服	「你的账户存在风险，需要配合验证」	官方不会主动来电，不提供任何验证码
钓鱼网站	搜索广告、短信中的仿冒链接	只从书签或官方 App 进入
假 App	「内测版」「高级版」下载链接	只从官方应用商店下载
带单 / 投资群	「稳赚不赔」「跟单翻倍」	承诺收益的都是骗局
空投授权	「领取空投，请连接钱包签名」	不在陌生网站签名授权
远程协助	「我帮你远程操作一下就好」	不安装远程控制软件，不共享屏幕
「安全账户」	「把币先转到这个地址保管」	任何要求转移资产的「官方」都是假的

更多诈骗案例和识别方法见 加密货币常见骗局识别。如果你也使用自托管钱包，请同时阅读 助记词备份指南。

怎么在币安或欧易冻结账户？

「冻结账户」是你发现异常时最重要的应急按钮，建议现在就先找到它的位置：

1. 打开官方 App，进入「个人中心」或「安全中心」；
2. 找到「冻结账户」「禁用账户」或类似选项（各平台名称略有不同）；
3. 按提示完成验证，账户会暂停登录、交易和提现等操作；
4. 之后需要通过官方客服的身份核验流程才能解冻。

如果你已经无法登录，例如密码和邮箱都被修改，请立即通过官网帮助中心联系客服说明情况，请求协助冻结。

自托管钱包的签名和授权要注意什么？

如果你同时使用 Web3 钱包，安全风险会从「账户被盗」扩展到「签名被骗」：

• 授权（Approve）：允许某个合约动用你的代币，很多默认是无限额度；
• 签名（Sign）：有些签名请求看起来只是「登录验证」，实际上可能是转让资产的许可；
• 假空投代币：钱包里突然出现不认识的代币，引导你去某个网站「领取」或「兑换」，这是常见诱饵。

应对原则：不在陌生网站连接钱包，看不懂的签名一律拒绝，定期撤销不用的授权，大额资产与日常交互的钱包分开。助记词的保管方法见 助记词备份指南。

怎么帮家人识别加密货币骗局？

很多受害者并不是币圈老手，而是被网友或「投资顾问」引导入场的家人朋友。可以提醒他们记住几条简单规则：

• 网上认识的人推荐投资平台，一律先停下来，和家人商量；
• 正规平台不会承诺固定高收益，更不会要求「先交税费才能提现」；
• 任何要求下载陌生 App、转账到个人地址的「投资」都不要参与；
• 遇到可疑情况，可以咨询当地警方或反诈热线。

交易所账户被盗了怎么办？

1. 立即冻结账户：币安、欧易都在 App 或网页提供「冻结账户」或「禁用账户」功能，先锁定再处理；
2. 修改邮箱密码和交易所密码，重置 2FA，删除所有陌生设备和 API 密钥；
3. 联系官方客服（只通过 App 内或官网入口，不要在社交平台搜索「客服」）；
4. 记录被盗时间、交易哈希、收款地址，保留截图等证据；
5. 必要时向当地警方报案；
6. 警惕「帮你追回资产」的人：被盗后常有人自称黑客、律师或「链上追踪专家」，收费后消失，这是二次诈骗。

手机丢了或换手机，2FA 怎么办？

• 手机丢失：尽快用另一台设备登录交易所，修改密码、删除丢失设备的登录授权；如果无法登录，联系官方客服冻结账户。同时联系电信运营商挂失 SIM 卡。
• 正常换机：先在新手机上用恢复密钥恢复身份验证器，确认新动态码可用，再在交易所安全中心更新绑定，最后清除旧手机数据。
• 手机被偷但还能远程管理：通过手机系统自带的「查找设备」功能远程锁定或抹除数据，同时修改与该手机关联的各个账户密码。

还没注册？可以参考 币安注册教程 或 欧易注册教程。