如何保护您的币安账户？ 2FA 和安全密钥指南。

了解币安上的双因素身份验证

1. 币安强制执行双因素身份验证（2FA）作为初始注册后帐户访问的强制层。

2. 用户可以在 Google Authenticator、Authy 或基于 SMS 的 2FA 之间进行选择 - 尽管由于 SIM 交换漏洞而强烈建议不要使用 SMS。

3. 身份验证器应用程序生成的基于时间的一次性密码 (TOTP) 每 30 秒刷新一次，并以加密方式与用户的设备和密钥相关联。

4. 每个TOTP仅有效一次，使用后或30秒窗口关闭后立即失效。

5. 禁用 2FA 需要电子邮件确认和等待时间，以防止在活动会话期间未经授权的停用。

设置硬件安全密钥

1. 币安支持符合 FIDO U2F 和 WebAuthn 标准的安全密钥，例如 YubiKey 5 系列、OnlyKey 和 Nitrokey。

2. 注册涉及在设置流程中插入密钥并点击其按钮以完成加密证明。

3. 与 TOTP 不同，安全密钥执行公钥加密：没有共享秘密存储在币安服务器上或通过网络传输。

4. 每次登录尝试都会触发物理交互 - 用户必须插入并点击密钥，从而阻止远程网络钓鱼和中间人攻击。

5. 可以同时注册多个密钥，允许冗余而不影响主密钥安全。

负责任地管理恢复选项

1. 币安在安全密钥注册期间提供 16 个字的备份短语 - 如果所有密钥丢失，则需要此短语来恢复访问。

2. 不得将恢复短语输入网站、通过聊天共享或以数字方式存储；纸质备份应保存在防篡改、防火的容器中。

3. 电子邮件和提款地址白名单作为次要保障措施——任何新地址都需要 24 小时确认延迟，除非预先批准。

4. 设备管理允许用户从无法识别的位置或浏览器查看、命名和撤销活动会话。

5. API 密钥权限范围严格 - 默认情况下禁用提款权，并且需要通过 2FA 验证进行单独授权。

识别并避免网络钓鱼尝试

1. Binance 官方域名仅以binance.com结尾——binance-support.net 或 binance-login.org 等变体是恶意的。

2. 合法电子邮件从不要求密码、2FA 代码或恢复短语；任何要求提供这些信息的消息都是欺诈性的。

3. 浏览器地址栏必须显示经过验证的锁定图标，并显示https://www.binance.com ，不得重定向或子域混淆。

4. 假冒移动应用程序模仿币安界面，但缺乏数字签名验证——只能使用官方开发者凭据从 Google Play Store 或 Apple App Store 安装。

5. 声称“安全警报”或“会话已过期”并提示重新输入凭据的可疑弹出窗口是注入的浏览器脚本或受损扩展的指标。

常见问题解答

问：我可以同时使用 TOTP 和硬件密钥吗？答：是的。 Binance 允许激活多种 2FA 方法。在登录过程中，用户可以选择使用哪种方法（TOTP 或安全密钥），从而在不降低保护的情况下提供灵活性。

问：如果我的 YubiKey 停止工作会怎样？答：如果您注册了备份密钥或保存了 16 字恢复短语，则可以重新注册新设备。如果两者都没有，帐户恢复需要通过币安的支持渠道进行身份验证，这可能需要几个工作日。

问：启用提现地址白名单是否可以防止所有未经授权的转账？答：它可以防止提款到未经批准的地址，但不会阻止内部转账到其他币安账户。 API 密钥限制和反网络钓鱼代码等其他控制措施进一步限制了暴露。

问：为什么即使使用安全密钥，币安仍需要电子邮件验证？答：电子邮件充当关键操作的带外通道，例如密码重置、2FA 禁用请求和法规遵从性通知 - 它补充但不会取代加密身份验证。