優先啟用地址白名單、新增地址冷卻期、抗釣魚 2FA、登入及工作階段警示，以及獨立提領確認。這些控制要在事件發生前啟用並測試，不能等帳戶遭接管才設定。
逐步設定#
- 啟用地址白名單並仔細新增常用地址。 從目的錢包或平台重新複製完整地址，確認資產、網路及 memo／tag 後再儲存。
- 開啟新增地址與安全設定變更的冷卻期。 即使攻擊者取得帳戶，也能為通知、鎖定與客服介入爭取時間。
- 以安全金鑰或通行金鑰保護登入與提領。 設定完成後實際測試，確認 SMS 或舊門號不能單獨繞過強驗證。
- 設定登入、提領及白名單變更的即時警示。 通知信箱應使用獨立密碼與強 2FA，並測試通知確實送達。
- 檢查 API 權限並停用提領功能。 除非業務上不可或缺，API 不應具備移出資產的權限；不用的金鑰直接刪除。
核心原理#
密碼只保護登入；真正目標是防止攻擊者新增地址、關閉保護或移走資產。多層控制能增加發現與阻止時間。
若信箱、手機與交易所帳戶共用同一復原路徑，一次入侵就可能同時瓦解多項防護。可預先測試的控制與只能事後監看的警示必須分開，後者要搭配明確的金額與時間限制。
何時停止或改變操作#
出現未知登入、白名單變更、2FA 重設或通知失效時，停止提領並鎖定帳戶，從乾淨裝置聯絡官方客服。
必須注意的失敗模式#
- 從歷史紀錄複製地址卻不重新核對。 歷史地址可能屬於舊網路、已停用帳戶或遭污染的地址簿，必須回到目的端重新確認。
- 把同一字串加入錯誤網路的白名單。 地址格式相似不代表目的平台支援該鏈，錯鏈提領可能無法自動入帳。
- 在陌生裝置核准電子郵件確認。 信件與登入頁都可能遭仿冒，應從官方 App 或既有書籤獨立檢查待核准提領。
- 因為不方便而關閉冷卻期。 取消延遲會移除遭接管後最有價值的反應時間，便利性不足以抵銷不可逆損失。
任何新資產、新鏈或新目的地都應先做小額測試。確認實際到帳、網路費、memo／tag 與淨額後，才傳送剩餘款項。
應保存的證據#
不要只相信設定頁顯示「已啟用」。以測試通知、小額提領及重新登入後的設定狀態，確認白名單、冷卻期與強驗證確實生效。
| 檢查點 | 證據 | 停止條件 |
|---|---|---|
| 強 2FA 保護提領 | 移除祕密的設定紀錄 | SMS 可單獨核准 |
| 白名單與冷卻期 | 地址及啟用日期 | 新地址能立即提領 |
| 警示與工作階段 | 測試通知與裝置清單 | 未知裝置仍在線 |
保留不含祕密的設定日期、測試提領 ID 與官方案件編號；密碼、復原碼、私鑰和驗證碼不應出現在任何紀錄中。
常見問題#
白名單能阻止所有失竊嗎？
不能，但可限制攻擊者新增目的地；若既有白名單地址受害仍可能損失。
為什麼要使用獨立信箱？
可降低其他服務外洩與公開身分連結造成的攻擊面。
什麼是提領鎖定？
在密碼、2FA 或地址變更後暫停提領，為使用者提供反應時間。
相關指南#
參考資料#
風險提示： 提領設定只能降低帳戶遭接管後的損害，不能消除託管或平台營運風險。
編輯標準
本文以教育與可靠來源為基礎。安全措施、交易所規則及法律要求可能變動，採取重要操作前請透過相關官方管道核實。
