如何保护您的加密货币交易帐户？ （基本 2FA 和安全提示）

立即启用双因素身份验证

1. 使用 Google Authenticator 或 Authy 等身份验证器应用程序，而不是基于短信的 2FA，因为 SIM 交换攻击可能会破坏短信代码。

2. 设置时扫描交易所提供的二维码——除非绝对必要，否则切勿手动输入密钥。

3. 将备份恢复代码存储在安全的离线位置，例如加密的 USB 驱动器或硬件安全模块。

4. 避免在多个高价值帐户中使用相同的身份验证器应用程序，以限制设备受损时的影响范围。

5. 如果您重新安装身份验证器应用程序或切换设备，请重新扫描二维码并重新配置 2FA。

使用强大、独特的凭证

1. 创建至少 16 个字符的密码，其中包含大写、小写、数字和符号，不得包含字典单词或个人信息。

2. 切勿在交易所或任何其他在线服务中重复使用密码，尤其是与您的加密钱包关联的电子邮件帐户。

3. 采用支持零知识加密的密码管理器来生成和存储凭据，而不会将其暴露给第三方。

4. 禁用登录字段的浏览器自动填充功能，以防止恶意扩展或受损系统导致凭证泄露。

5. 在收到任何可疑的网络钓鱼尝试或未经授权的访问通知后立即更改您的密码。

配置提现白名单和IP限制

1. 在支持的平台上激活提现地址白名单——只有预先批准的地址才能从您的账户接收资金。

2. 仅添加经过验证的、个人控制的钱包地址；除非特定转账需要，否则避免添加交易所存款地址。

3. 设置 IP 允许列表，以便仅允许从已知地理位置或固定网络范围进行登录。

4. 每月检查白名单地址和允许的 IP — 即使单个过时的条目也会带来重大风险。

5. 对每个白名单更改启用强制电子邮件或 2FA 确认，以防止静默篡改。

监控活动日志并启用警报

1. 每天检查登录历史记录，看看是否有无法识别的时间戳、国家/地区或表明潜在入侵的用户代理。

2. 订阅所有关键操作的实时电子邮件和推送通知：登录、提款、API 密钥创建和 2FA 修改。

3. 每周导出原始活动日志并将其存储在冷库中，以便在出现异常情况时进行取证审查。

4. 将失败的登录尝试视为危险信号，尤其是来自不熟悉的区域或快速模式的集群。

5. 将警报时间戳与您自己的活动进行交叉引用，以检测可能表明会话劫持的细微偏差。

保护您的电子邮件和恢复渠道

1. 使用应用于您的 Exchange 的相同身份验证器应用程序标准，将 2FA 应用于您的主电子邮件帐户。

2. 删除所有不必要的恢复选项，例如绕过 2FA 的安全问题、电话号码或备用电子邮件。

3. 仅使用专用的非公开电子邮件地址进行交易所注册——切勿将其链接到社交媒体或论坛。

4. 禁用 Exchange 链接电子邮件上的 IMAP/POP 访问，以减少通过恶意软件窃取凭证的暴露面。

5. 如果您使用自定义电子邮件提供商以防止欺骗，请验证您的域的 DNS 记录（SPF、DKIM、DMARC）。

常见问题解答

问：我可以在交易所使用生物识别身份验证来代替 2FA 吗？大多数交易所并不将指纹或面部识别视为真正的 2FA——它们充当本地设备解锁机制，并且缺乏与第一个因素的加密分离。

问：如果我丢失了身份验证设备和备份代码，会发生什么情况？除非交易所通过公证文件和视频 KYC 提供手动身份验证，否则您可能会被永久锁定——这一过程通常需要数天时间，并且不能保证成功。

问：交易所登录是否支持 YubiKey 等硬件安全密钥？少数平台支持 FIDO2/WebAuthn 标准，但广泛采用仍然有限 - 在假设兼容性之前检查每个交易所的官方安全文档。

问：启用 2FA 是否可以防止 API 密钥滥用？不会。API 密钥的运行独立于 UI 登录安全性。始终限制 API 权限，将其绑定到特定 IP，并定期轮换它们，无论 2FA 状态如何。