交易所支援時，優先使用抗釣魚安全金鑰或通行金鑰；否則使用獨立驗證器 App。將復原碼離線保存、註冊第二個備用因素，並移除可能暗中削弱帳戶的簡訊復原路徑。
設定檢查清單#
- 先變更密碼並登出其他工作階段。 在任何資產或權限變更前完成，並確認舊工作階段已失效。
- 註冊兩把 FIDO 金鑰，或一把金鑰加上妥善保護的備援。 把備援放在與日常裝置不同的安全位置。
- 下載復原碼並離線保存，與密碼分開。 不要放在同一個密碼管理項目或容易同步的雲端資料夾。
- 登入、提領與安全設定變更都要求 2FA。 先明確寫下保護範圍，避免急迫情況悄悄放寬帳戶權限。
- 依賴備用因素前，先在私密瀏覽器測試。 確認能復原，但不要在測試過程暴露真正驗證資料。
採取行動前要知道的事#
只有第二因素不像密碼那麼容易被竊取或重設時，2FA 才真正有用。簡訊可能被 SIM swap 轉移，一次性驗證碼也可被釣魚網站即時轉送；硬體支援的 FIDO 憑證會在驗證前先核對合法網域。
把可以預先驗證的設定，與只能事後監控的風險分開。後者應設定嚴格限制並開啟通知。
更安全的預設選擇#
帳戶若支援通行金鑰或安全金鑰，優先於手動輸入的驗證碼。若 TOTP 是最佳選項，使用獨立驗證器、保護其備份，且永遠不要把驗證碼念給客服。
仍可能出錯的地方#
- 把簡訊當成可用的最強因素。 SIM swap 與門號復原流程可能繞過密碼。
- 把 TOTP 密鑰與帳戶密碼放在一起。 單一資料庫外洩就能同時取得兩個因素，日後只改密碼也未必能移除攻擊者。
- 只保留一把安全金鑰且沒有復原計畫。 金鑰遺失或損壞時可能把自己鎖在帳戶外。
- 核准不是自己發起的登入提示。 推播疲勞攻擊會利用使用者習慣性按下同意。
應保存的驗證證據#
不要只因介面顯示成功就認定設定完成。使用關閉頁面後仍可檢查的證據。
| 檢查點 | 證據 | 停止條件 |
|---|---|---|
| 先變更密碼並登出其他工作階段 | 已移除祕密的日期檢查紀錄、復原測試或已驗證設定畫面 | 正把簡訊視為最強因素 |
| 註冊兩把 FIDO 金鑰或安全備援 | 已移除祕密的日期檢查紀錄、復原測試或已驗證設定畫面 | TOTP 密鑰與帳戶密碼存放在一起 |
| 離線保存復原碼並與密碼分開 | 已移除祕密的日期檢查紀錄、復原測試或已驗證設定畫面 | 只有一把安全金鑰且無復原計畫 |
可保存交易雜湊、官方案件編號或日期截圖來記錄設定，但必須排除助記詞、私鑰與驗證碼。
常見問題#
驗證器代碼也會被釣魚嗎？
會。假登入頁可在代碼失效前即時轉送；與網域綁定的 FIDO 驗證可抵抗此類轉送。
應保留簡訊作為備援嗎？
只有在交易所沒有更安全復原選項時才考慮。復原管道往往會成為攻擊者最容易利用的入口。
手機遺失怎麼辦？
使用受保護的驗證器備份或離線復原碼登入，之後立即輪替舊因素。
相關指南#
參考資料#
風險提示： 加密資產操作可能無法撤銷。絕不分享助記詞、私鑰、密碼或驗證碼，並獨立核對每個網域與錢包提示。
編輯標準
本文以教育與可靠來源為基礎。安全措施、交易所規則及法律要求可能變動，採取重要操作前請透過相關官方管道核實。
