交易所账户被盗，很少是因为平台数据库被整体攻破，更常见的是：密码在别的网站泄露被撞库、手机号被人补卡、邮箱先失守再顺藤摸瓜。二次验证（2FA，Two-Factor Authentication）的意义是让「只知道密码」不够用。但 2FA 也分强弱，选错了方式，等于给大门装了一把谁都能配钥匙的锁。本课讲的是托管账户（交易所、邮箱）的安全；自托管钱包的私钥保管见 私钥与助记词。
三种 2FA，强弱差很多
短信验证码最方便也最弱。攻击者可以冒充你向运营商补办 SIM 卡（SIM Swap），或利用短信转发木马，拿到验证码后直接改密码、提币。能换就换，至少不要让短信成为唯一的第二因素。
验证器 App（基于 TOTP 的动态口令，例如各类 Authenticator）在手机本地每 30 秒生成一个六位数，不经过运营商网络，能防补卡攻击。关键是备份：绑定时显示的密钥或二维码要离线抄下来，否则换手机或手机丢失时，你会被自己锁在门外，只能走漫长的人工申诉。
硬件安全密钥与通行密钥（FIDO2 / Passkey）会校验网站域名，钓鱼站拿不到有效签名，是目前防钓鱼能力最强的方式。建议准备两把，一把日常用，一把放在安全的地方备用。
交易所里值得打开的开关
防钓鱼码：在交易所设置一段只有你知道的文字，之后官方邮件都会带上它。收到没有防钓鱼码、却催你「立即验证」的邮件，基本可以判定是假的。
提现白名单：只允许提币到事先登记的地址，新增地址要冷却 24 小时或更久。即使账户被登录，攻击者也很难立刻把钱转走。配合「修改安全设置后限制提现」使用效果更好。
登录设备与 API 管理：定期检查已登录设备，删除不认识的；不用的 API Key 直接删除，必须用的只开「读取」或「交易」权限，永远不要给第三方开「提现」权限。
邮箱才是总开关
几乎所有账户的「找回密码」最终都指向邮箱。给交易所用的邮箱单独注册一个，不公开、不在其他网站使用，并为它开启验证器或安全密钥级别的 2FA。邮箱密码必须独立，用密码管理器生成长随机串。
有人会冒充客服说「你的 2FA 出了问题，需要协助重置」。真正的平台不会主动私信你要求重置 2FA，更不会索要验证码。遇到这种情况，关掉对话，自己从收藏夹进入官网查看通知。更多话术识别见 钓鱼与假客服。
常见误区
- 只开短信 2FA，还在社交媒体公开绑定的手机号。
- 绑定验证器 App 时不备份密钥，换手机后账户无法登录。
- 把验证码告诉自称客服的人，以为只是「验证身份」。
- 给第三方跟单或量化工具开启了提现权限的 API。