交易所支持时，应使用具有抗钓鱼能力的安全密钥或通行密钥；否则使用独立的身份验证器应用。离线保存恢复代码，注册第二个验证因素作为备份，并移除可能在不知不觉中削弱账户安全性的短信恢复路径。
操作检查清单#
- 先修改密码，并退出其他登录会话。设置加密账户 2FA 时，应在资产或签名权限发生变化前完成此操作，并在之后核验最终状态。
- 注册两把 FIDO 密钥，或注册一把密钥并准备一项妥善保护的备用方式。应在资产或签名权限发生变化前完成，并在设置后验证结果。
- 下载恢复代码，将其离线保存并与密码分开放置。应在资产或签名权限发生变化前完成，并在设置后验证最终状态。
- 登录、提币和更改安全设置时都要求 2FA。先明确写下安全边界，避免在紧急情况下悄悄扩大钱包或账户能够暴露的权限。
- 正式依赖备用验证方式前，在隐私浏览窗口中测试。首次测试的风险敞口应足够小，确保错误假设可以被纠正，而不会造成实质损失。
操作前需要了解的事项#
只有当第二个验证因素不会像密码一样轻易被截获或重置时，双重验证才能真正发挥作用。短信可能因 SIM 卡调包诈骗而被重定向，一次性验证码也可能被钓鱼网站实时套取。由硬件支持的 FIDO 凭据会在验证前检查真实域名。
设置加密账户 2FA 时，应区分哪些事项可以在行动前核验，哪些只能在事后持续监控。对第二类事项设置严格限制。
更安全的默认选择#
账户支持通行密钥或安全密钥时，应优先于需要手动输入的验证码。如果 TOTP 是最好的可用方式，请使用独立身份验证器，妥善保护其备份，并且绝不要向客服口述验证码。
仍可能出错的地方#
- 把短信当作最强可用验证因素。这会遗漏 2FA 安全决策中的必要条件，使表面上的结果变得不可靠。
- 把 TOTP 密钥与账户密码保存在一起。这可能暴露根凭据，之后修改密码也未必能移除攻击者的访问权限。
- 只保留一把安全密钥且没有恢复方案。这会削弱本应限制 2FA 设置风险范围的控制措施。
- 批准并非由自己发起的登录提示。这同样会破坏原本用于限制风险范围的安全控制。
需要保留的核验证据#
不要只因为界面显示“设置成功”，就认为加密账户 2FA 已正确完成。应保存页面关闭后仍可以复查的证据。
| 检查点 | 核验证据 | 停止条件 |
|---|---|---|
| 先修改密码并退出其他会话 | 删除秘密信息后的带日期控制检查、恢复测试或已认证设置记录 | 把短信视为最强可用验证因素 |
| 注册两把 FIDO 密钥，或一把密钥加妥善保护的备份 | 删除秘密信息后的带日期控制检查、恢复测试或已认证设置记录 | 将 TOTP 密钥和账户密码保存在一起 |
| 下载恢复代码并离线保存，与密码分开放置 | 删除秘密信息后的带日期控制检查、恢复测试或已认证设置记录 | 只有一把安全密钥且没有恢复方案 |
如果交易哈希、官方案件编号或带日期截图有助于记录 2FA 设置，可以保存这些资料，但必须排除助记词、私钥和验证码。
常见问题#
身份验证器验证码会被钓鱼吗？
会。虚假登录页面可以在验证码过期前将其转发给真实网站。与域名绑定的 FIDO 认证能够抵抗这种转发攻击。
是否应该保留短信作为备用方式？
只有在交易所没有提供更安全恢复方式时才考虑保留。恢复渠道可能成为攻击者最容易利用的路径。
手机遗失后怎么办？
从受保护的身份验证器备份中恢复，或使用离线恢复代码登录，然后更换旧验证因素。
相关指南#
资料来源#
风险提示：加密资产操作可能无法撤销。绝不要分享助记词、私钥、密码或验证码，并应独立核验每一个域名和钱包提示。
编辑标准
本文以教育和可靠来源为基础。安全措施、交易所规则及法律要求可能变化，采取重要操作前请通过相关官方渠道核实。
