使用独立密码、抗钓鱼双重验证、受严密保护的邮箱、提现地址白名单和账户提醒来保护交易所账户。随后检查登录会话、API 密钥和账户恢复方式；攻击者往往从邮箱或客服恢复流程进入账户，而不是直接攻击交易页面。
真正重要的是什么#
中心化交易所在验证账户身份后控制提现权限。因此，账户安全既取决于交易所的控制措施，也取决于所有能够重置这些措施的关联渠道。
保护加密货币交易所账户时，眼前的界面只能展示整个系统的一部分。不要因为看到了熟悉的名称或标识就认为操作可信，应先确认涉及的主体、资产、网络和权限。
实用操作流程#
- 为关联邮箱单独启用高强度双重验证。 应在资产或权限发生转移前完成这项设置，并在操作后验证实际状态。
- 使用密码管理器生成的独立密码。 通过经过核验的产品界面完成操作，再实际测试安全控制是否生效，不要只是假设它已开启。
- 注册两把安全密钥，或设置可靠的身份验证器备份。 通过经过核验的产品界面完成操作，再实际测试安全控制是否生效，不要只是假设它已开启。
- 启用提现地址白名单和防钓鱼码。 通过经过核验的产品界面完成操作，再实际测试安全控制是否生效，不要只是假设它已开启。
- 删除不再使用的 API 密钥，并撤销陌生会话。 通过经过核验的产品界面完成操作，再实际测试安全控制是否生效，不要只是假设它已开启。
会改变结果的常见错误#
- 在其他网站重复使用交易所密码。 这可能泄露关键凭据；之后只修改一处密码也未必能切断攻击者访问。
- 让 API 密钥拥有提现权限。 这会削弱本应限制交易所账户风险影响范围的控制措施。
- 仍把旧手机号留作账户恢复渠道。 这会削弱本应限制交易所账户风险影响范围的控制措施。
- 忽略小额登录或地址变更提醒。 通知品牌可以伪造，但异常本身不能忽视；应从独立核验的官方渠道进入账户检查。
可重复使用的判断规则#
对于不需要用于交易的资金，应比较自托管的操作风险与交易所托管风险。强化账户能降低被接管的风险，但不能消除平台运营或资不抵债风险。
如何证明设置已经完成#
保护交易所账户后，不要只看界面是否显示“成功”。应使用即使页面关闭后仍可核验的证据。
| 检查点 | 证据 | 停止条件 |
|---|---|---|
| 为关联邮箱单独启用高强度双重验证 | 已隐去秘密信息、带日期的控制检查、恢复测试或登录后设置记录 | 在其他网站重复使用交易所密码 |
| 使用密码管理器生成的独立密码 | 已隐去秘密信息、带日期的控制检查、恢复测试或登录后设置记录 | API 密钥拥有提现权限 |
| 注册两把安全密钥或设置可靠的身份验证器备份 | 已隐去秘密信息、带日期的控制检查、恢复测试或登录后设置记录 | 仍把旧手机号留作账户恢复渠道 |
如果交易哈希、官方工单号或带日期的截图有助于记录交易所账户安全设置，应妥善保存；但绝不要在证据中包含助记词、私钥或验证码。
常见问题#
应该使用防钓鱼码吗？
如果平台提供，就应该启用。它能帮助识别官方消息，但并不意味着邮件中的链接可以放心点击。
API 密钥危险吗？
可能很危险。应尽可能限制权限和可访问的 IP 地址，并在使用结束后删除密钥。
发现陌生登录后应该怎么办？
如果平台支持，应立即锁定提现；随后使用干净设备重置凭据、撤销所有会话，并联系官方客服。
相关指南#
资料来源#
风险提示： 加密货币操作可能无法撤销。切勿透露助记词、私钥、密码或验证码，并独立核验每个域名和钱包提示。
编辑标准
本文以教育和可靠来源为基础。安全措施、交易所规则及法律要求可能变化，采取重要操作前请通过相关官方渠道核实。
