如何保护 Bitfinex 账户免受黑客攻击？ （最佳实践）

多重身份验证执行

1. 启用 Google Authenticator 或 Authy，而不是基于 SMS 的 2FA，因为 SMS 容易受到 SIM 交换攻击。

2. 将 2FA 备份代码存储在离线、加密的位置，而不是存储在云服务或电子邮件中。

3. 仅将您的 Bitfinex 帐户链接到启用了生物识别锁的专用、不受攻击的移动设备。

4. 避免在用于身份验证的同一设备上安装请求访问权限的第三方应用程序。

5. 出现可疑登录警报或 IP 异常后，立即重新扫描二维码并重新配置 2FA。

冷藏和提款保障措施

1. 将大部分 USDT、BTC 和 ETH 余额保存在冷钱包中——切勿将大量资金长期存放在 Bitfinex 上。

2、仅对预先批准的地址设置提现白名单；当不活跃交易时完全禁用提款。

3. 对机构或高余额账户使用 Bitfinex 的多重签名提款功能，需要至少两名授权签名人的批准。

4. 通过电子邮件和短信确认每次提款​​（即使是从您自己的设备发起）以捕获未经授权的会话。

5. 每周审核您的提款历史记录，并根据您的个人交易日志交叉检查时间戳。

API 密钥卫生和会话控制

1. 仅通过 Bitfinex 的官方界面生成 API 密钥，而不是通过第三方脚本或浏览器扩展。

2. 分配最低权限：除非执行交易，否则将密钥限制为“只读”，并且切勿在不必要的情况下授予钱包或提款访问权限。

3. 每 90 天轮换一次所有 API 密钥，尤其是在更换设备或重新安装操作系统之后。

4. 使用 Bitfinex 的仪表板实时监控活动的 API 会话，并立即终止未知或空闲的连接。

5. 切勿将 API 密钥嵌入公共 GitHub 存储库、暴露于日志的配置文件或客户端 JavaScript。

网络钓鱼防御协议

1. 仅将官方 Bitfinex 域名 (https://www.bitfinex.com) 添加为书签，并在登录前验证挂锁图标和有效的 TLS 证书。

2. 拒绝所有声称来自 Bitfinex 支持的未经请求的电子邮件或私信，即使是那些引用您确切的存款历史或订单 ID 的电子邮件或私信。

3. 交叉验证域名拼写：避免使用像 bitfinex-support.net、bitfinex-login.org 或任何不以 .bitfinex.com 结尾的子域名等变体。

4. 禁用浏览器中凭据的自动填充功能，并使用标记跨域凭据重用的密码管理器。

5. 将交易确认或 KYC 跟进中的每个链接视为潜在恶意 - 请手动键入官方 URL。

监管和司法管辖区警惕

1. 监控 Bitfinex 的服务状态页面和官方 Twitter/X 帐户，了解特定管辖区的中断或政策变化，例如 2024 年印度应用商店下架。

2. 在当地法律可能强制 ISP 记录流量元数据的地区，避免从公共 Wi-Fi 网络访问 Bitfinex。

3. 如果在受监管和不受监管的市场上运营，请在每个司法管辖区维护单独的 KYC 验证账户。

4. 每季度查看 Bitfinex 的服务条款更新，尤其是与资金追回权、责任上限和 Tether 相关准备金披露相关的条款。

5. 确认您的账户是否属于 iFinex Inc. 的英属维尔京群岛或开曼群岛实体结构，因为这决定了适用的争议解决框架。

常见问题解答

Q1：Bitfinex默认将用户资金存储在冷钱包中吗？ Bitfinex 不会自动将用户余额分配给冷存储。大多数资产存放在热钱包中以提供流动性，而一部分则根据内部风险阈值和运营需求转移到气隙冷存储中。

Q2：如果我的 2FA 设备丢失并且我没有保存备份代码，我可以恢复我的帐户吗？不存在自动自助恢复。您必须提交经过验证的身份文件，并通过 Bitfinex 支持团队协调的严格的手动审核流程，该流程可能需要 7-21 个工作日。

问题 3：Bitfinex API 密钥与 Tether (USDT) 储备审核兼容吗？不可以。API 密钥仅授予对交换功能的访问权限。 Tether 的储备证明由独立会计师事务所单独发布，无法通过 Bitfinex API 端点查询或验证。

问题 4：如果 Bitfinex 在高波动期间出现长时间中断，我的未平仓头寸会怎样？ Bitfinex 维护内部断路器和头寸清算引擎，其运行独立于 UI 可用性。即使无法访问 Web 界面，未结订单和追加保证金通知也会继续在服务器端处理。