币安账户安全设置 · 新手必做的七道防线

只设一个强密码为什么不够

盗一个交易所账户，用不着破解密码。一封仿得很像的假邮件、搜索广告里排在最上面的假官网、陌生电脑上没退干净的登录，骗过你本人就够了。

所以思路是叠很多道门，而不是设一个最强的密码。每一道单独看都拦不住所有攻击，叠在一起，对方要连续过好几关才能得手。

下面这七道防线，从注册那一刻就能设的最基础一层，排到提币前最后的手动核对。币安学院另有一篇《五种方法提高币安账户的安全性》，讲的是给 API 设 RSA 密钥、设置 IP 访问限制、钱包地址白名单、用 YubiKey 做双重身份验证和保持最低提现额度这五条，可以一并看。

第一道 · 独立的邮箱和一串没重复用过的密码

要是你的币安账户用的是那个到处注册都在用的邮箱，再配一个和别的网站共用的密码，问题在于：只要你在任何一个网站上的密码泄露过，攻击者就会拿着这套「邮箱 + 密码」，去各大交易所挨个「撞」一遍。这叫撞库。

两个动作把这层补上。一是给交易所准备一个几乎不对外的专用邮箱，不拿它去注册乱七八糟的网站、也不公开在社交平台。二是用密码管理器生成一串只在币安用过这一次的长密码，别自己「想」一个 —— 人脑想出来的密码都太有规律，早被字典跑烂了。

顺带说清一个概念：登录密码本身不算二次验证。密码只是第一道门，后面几道才是真正拉开安全差距的地方。

第二道 · 双重验证 · 把短信换掉

双重验证（2FA）你大概率已经开了。这里要说的不是「开没开」，而是「用哪一种」。

如果你现在的 2FA 是短信验证码，能关就关，改用验证器或通行密钥；币安要求保留手机验证的环节，按它的官方说明来。短信最大的软肋是 SIM Swap：攻击者用社工手段拿到你的身份信息，跑去运营商那里「补办」一张你的手机卡。卡一旦被移植走，你收不到验证码，对方却能收到，短信 2FA 当场失效。

更稳的顺序，从下往上：验证器 App 的动态码（TOTP），比如 Google Authenticator、Authy，码存在你手机本地，和手机号无关；再往上是 Passkey 和 硬件安全密钥（比如 YubiKey），把登录凭据绑在一块物理设备上，钓鱼网站根本骗不走。币安这几种都支持。

这一层的原理见《短信验证码为什么不安全？验证器、硬件密钥、通行密钥怎么选》；名词不熟可以翻术语表。

第三道 · 防钓鱼码 · 先筛掉一眼假的邮件

防钓鱼码设置只要一分钟，对付的是假冒官方的邮件。

它的逻辑很巧：你自己设一串字符（比如一个只有你知道的词加几个数字），设好之后，币安发给你的每一封官方邮件里都会带上这串码。而骗子群发的假邮件 —— 那种「你的账户存在异常登录，请点击链接验证」—— 根本不知道你设的是什么，自然带不出来。所以这串码最硬的用法是反着用：没有它的，直接删。反过来不成立 —— 码对上只是少了一个疑点，不等于这封信、以及信里的链接就可信：即使发件地址看起来没问题，邮件仍可能是伪造的。真要处理账户上的事，回到你自己保存的官方书签里去操作，别顺着邮件里的按钮走。

设置入口在币安账户的安全设置里，找到「防钓鱼码」开启，输入一串你记得住又不好猜的字符即可；长度和字符要求以设置页当时的提示为准。记住一点：任何人（包括自称官方客服的）主动来问你的防钓鱼码，都是骗子。

第四道 · 提现地址白名单

前面几道拦的是「别让人登进来」。可万一还是被登进来了呢？白名单管的就是这种情况 —— 让盗号者进了你的账户，也没法随手把币转到自己的地址。说清楚一点：它买的是你的反应时间，不是绝对拦住。

开启提现白名单后，你的账户只能把币提到事先加进白名单、并通过验证的地址。常用的那几个收款地址（你自己的钱包、你另一个交易所的充值地址）一次加好，日常提币照常。但攻击者盗号后最想干的事 —— 临时往一个陌生新地址转走一大笔 —— 会多出好几道坎：那个陌生地址不在白名单里，而新增白名单地址本身又要再过一遍通行密钥或 2FA 验证，如果你同时开了新地址限制期，还有生效前的等待。另外要知道，改动白名单、或者关掉这类安全功能，账户本身可能会被暂停提币一段时间 —— 这段时间对攻击者是障碍，对你是发现异常、抢救账户的窗口。

配套还有两个开关值得一起打开。一是白名单地址安全限制：新加的地址会被强制冻结一段时间才能提币，给你留出发现异常的窗口。二是要不要开快捷提币（向白名单地址小额提币免二次验证）—— 图方便可以开，但会牺牲一点安全；我会一直关着，每次都验证。

第五道 · 设备、会话与第三方授权

账户安全不只是「登录的那一刻」，还包括「登录之后留下的痕迹」。币安的安全设置里有几处清单经常被忽略，值得每隔一段时间去看一眼。

设备管理 / 登录设备：列出所有登录过你账户的设备。看到不认识的、或早就不用的旧手机旧电脑，直接移除。账户活动 / 登录记录：能看到近期的登录时间、IP、地区，有对不上的立刻改密码再排查。第三方 API 密钥：如果你用过量化脚本、跟单工具、行情插件，它们可能申请过你的 API Key。不用了的一定删掉，一把还开着提现权限的旧 API Key，是一道容易被忘掉的后门。

这里的思路和链上钱包的「授权管理」是一回事：权限会累积，不回头清理就一直留着。链上那边，旧的代币授权同样是被掏空的暗门，方法在《代币授权怎么查、怎么撤销》里；交易所这边，就是定期清设备、清 API、清会话。

第六道 · 反钓鱼的操作习惯

前四道设一次就好，第五道要定期看，这一道得天天带着。因为再多的开关，也挡不住你自己在假页面上输入真信息。

• 从书签进官网，不靠搜索。排在搜索结果最上面、带广告标记的那个「币安官网」可能是钓鱼站。第一次手动敲对域名、加进书签，以后只走书签。
• 不点邮件、短信、私信里的链接去登录。要操作账户，自己打开书签里的官网，而不是点别人给你的链接。配合第三道的防钓鱼码，没带码的邮件直接删。
• 主动打电话、私聊让你操作的，不当客服处理。任何自称币安客服、让你「转账到安全账户」「报屏幕上的验证码」「装个远程软件配合调查」的，一律是骗局。怎么应对见钓鱼骗局那一篇的假客服一节。

假空投、假授权弹窗、假 App、搜索广告位这些手法各自怎么识别，见《加密货币钓鱼骗局有哪些？13 类常见手法怎么识别》。

第七道 · 提币前的两步核对

最后一道，落在你真正动钱的那一刻 —— 提币。前面六道防的是账户，这一道防的是「你自己手抖」。链上交易一广播出去就不可逆，没有客服能帮你追回（提错地址的几种情形见常见问答）。所以每次提币前做两件事。

一，地址逐位核对。粘贴地址后，别只扫一眼觉得「差不多」，从第一位核对到最后一位，不只看开头结尾。有一类剪贴板木马专门盯着加密地址：你复制的是自己的地址，粘贴出来却被悄悄换成了攻击者的。逐位核对防的就是这一手。

二，先小额测试。第一次往一个新地址提币，先转个几美元等值的小额，等它到账、确认地址没错，再发大笔。这几块钱的手续费，是买一份「没转错」的安心，别省。

提币还要防选错网络 —— 同一个币在不同链上是不同的合约，网络选错可能到不了账，各种情形见《USDT 转错链能追回吗？》。核对地址时，顺手把「网络」也核一遍。

为什么把「提币」也算进账户安全？因为它是资产从交易所走向你自己掌控的关键一步。账户设置做得再好，钱还在平台手里，就还没真正落进你自己口袋。

七道防线一览表

把七道防线放进一张表，一眼看清每道各挡什么、大概花多少时间。建议对着币安的安全设置页，一项一项打勾。

常见问题

币安一定要开防钓鱼码吗？不开有什么风险？

强烈建议开。防钓鱼码是你自己设的一串字符，开启后币安发给你的每一封官方邮件都会带上它。骗子群发的假邮件不知道这串码，自然带不出来——所以它最硬的用法是反着用：没有这串码的邮件，直接删。不开的风险是：假的「账户异常，请点此验证」邮件和真邮件长得一模一样，你很难分辨。但反过来不成立：码对上只是少了一个疑点，不等于邮件里的链接可以点——即使发件地址看起来没问题，邮件仍可能是伪造的。要处理账户上的事，回到你自己保存的官方书签里去操作。它拦不住所有攻击，但能筛掉不带码的假邮件，成本只是花一分钟设一串你记得住的字。

开了提现白名单，急用钱想提币会不会很麻烦？

不会，但要提前设好。白名单的逻辑是：只有你事先加进列表并通过验证的地址，才能提币过去。常用的那几个地址一次加好，之后提币照常、几乎无感。真正被拦住的是「临时往一个陌生新地址提一大笔」——而这恰恰是账户被盗后骗子最想干的事。如果你偶尔要转到一个新地址，正确做法是提前把它加进白名单、等过完新地址等待期（这个限制期要另行开启）再提，而不是为了这一次就把整个白名单关掉——关掉白名单等于顺手把这道最后的防线也一起卸了；而且改动白名单、关掉这类安全功能，账户本身可能会被暂停提币一段时间。多等的这点时间，换来的是万一被盗，对方没法随手换个陌生地址就把币转走，你还有发现和处理的窗口——白名单买的是反应时间，不是绝对拦住。安全和便利之间，它是性价比很高的一档。

短信验证码（SMS 2FA）到底还能不能用？

能关就关。短信验证怕的是 SIM Swap——有人拿你的身份信息去运营商补办你的手机卡，你的号一旦被移植过去，短信验证码就直接进了对方手机。更稳的做法是用验证器 App 生成的动态码（TOTP），或者更进一步用 Passkey、硬件安全密钥。币安要求保留手机验证的环节，按它的官方说明来；账户的主二次验证，换成不依赖手机号的那种。

币安的安全设置都做全了，把币放在交易所是不是就安全了？

把账户设置做全，能显著降低那些针对「你这个人」的攻击——被钓鱼、被盗号、被社工——得手的概率。但它挡不住平台层面的风险：交易所自身出问题、被监管冻结、极端行情下暂停提现。所以老规矩还是那句「不是你的私钥，就不是你的币」。日常要用、要交易的钱放交易所很正常；打算长期不动的大额，更稳妥的做法是提到你自己掌握私钥的钱包里。两者不冲突，是分工。

七道里先设哪一道

先把短信换成验证器或通行密钥、设提现白名单，防钓鱼码一分钟顺手开。其余几道按上面的顺序补齐。

七道都设上，挡的是针对你本人的攻击。平台层面的风险，账户设置管不到，办法是把长期不动的那部分提到自己掌握私钥的钱包里。哪部分留在交易所、哪部分提走，见《加密钱包有哪几种？八类钱包的私钥各存在哪》里按金额分配的一节。