开户前后核对三处：网址、下载来源、联系你的人

开户前后要核对的就三处，网址、下载来源、联系你的人。还有一条不用核对的铁律，任何人要你的密码、验证码、助记词，或者让你转账去「解冻」账户，都是骗局。

为什么只盯这三处？假设你在搜索结果里点进一个页面，标志、配色、登录框都和你要找的交易所一模一样，地址栏里的网址看上去也差不多。你输入邮箱和密码，页面接着要你填刚收到的验证码。到这一步，账户可能已经不在你手里了。整个过程里，页面没有任何一处看着不对劲，唯一的破绽在地址栏。

网址只看哪一段？看 https:// 之后、第一个「/」之前的域名

决定你在哪个网站的，只有网址里 https:// 之后、下一个单斜杠「/」之前的那一段，也就是主域名加上顶级域名，比如 .com。其余部分，前面加了多少词、后面跟了多长的路径，都可以随便写，不说明任何问题。

看域名要从右往左读。先找到 https:// 之后的第一个「/」，往左看，最后一个点后面是顶级域名，再往左一段，就是真正的主域名。下面用一个虚构的 example-exchange.com 当真网站，看仿冒网址常用的几种手法。

还有一种不靠改网址，靠位置。仿冒网站会花钱投搜索广告，排在真正的官网前面，旁边只有一个不起眼的「广告」或「赞助」字样。地址栏上的小锁也说明不了什么，它只代表你和这个网站之间的连接是加密的，仿冒网站一样能申请到。

在手机上看网址更要多一步。手机浏览器的地址栏窄，常常只显示网址的开头或者干脆只显示一部分，子域名伪装在这里最难看出来。点一下地址栏，让完整网址露出来，再按上面的办法从右往左读。还有一种手法是用别的文字里长得像的字母替换，比如西里尔字母里有个 а 和英文的 a 几乎一样，肉眼分不出来。这种情况靠读是读不出的，只能靠书签和官方验证。

邮件也是同一个道理。发件地址里决定是谁发的，是 @ 后面那一段域名，前面的显示名谁都能改成平台的名字。

拿不准的时候，用平台自己的官方验证渠道核对。以币安的官方验证页为例，下拉框里选类型，默认是「网页」，在「输入查询条目」的框里粘贴网址，点【查询】，就能看到这个来源是不是官方的。同一个页面也能查邮箱、手机号、Telegram 或社交媒体账号。查不到结果，不等于就是假的，但在查实之前，就按未经验证处理，别在上面登录。

页面上还写着两句话，值得原样记住。一句说这是一个辅助核验工具，不代表任何行为授权；另一句是「币安官方绝不会通过私聊索要任何资金或代币」。这两句话的意思放到哪一家正规平台都成立。

核对过一次没问题，就把官网存成浏览器书签，以后只从书签进。我建议连搜索这一步都省掉。邮件、短信、群消息里的链接，哪怕看着再正常，也别直接点，回到书签打开官网，在里面找同样的通知。二维码也算链接，扫完别急着点确认，先看弹出来的网址是不是你书签里那个域名。

假币安 App 和其他山寨 App 怎么认？只认官方应用商店和官网

只从手机自带的官方应用商店，或者平台官网指向的下载页安装。别人发来的安装包、二维码、网盘链接，一律不装。

在应用商店里也要看几处。第一，开发者名称是不是平台的公司，而不是一个陌生的个人或小公司。第二，详情页里的开发者网站，点开以后是不是你书签里那个官网域名。第三，名字。山寨 App 常起一个和正版只差一两个字的名字，图标也做得很像，搜索结果里前几个未必是真的。

不同地区的应用商店，显示的卖家可能不一样，有的地区根本搜不到某个 App。搜不到，说明它在那个地区的商店没上架，不说明你该去别处找一个安装包来装。那些自称「特别版」「内部版」的安装包，来路你没法核实。

两类安装提示要特别留意。安卓手机提示你允许安装未知来源的应用，说明你装的东西不是从应用商店来的。苹果手机上，有人让你去设置里信任一个描述文件或企业证书才能打开 App，这同样不是正常的安装方式。遇到这两种提示，停下来，删掉安装包。

装好以后，第一次打开时也看一眼它要什么权限。一个交易所 App 向你要无障碍权限、要在其他应用上层显示的权限，或者要读取短信，就不对劲，这些权限能让它看到你在别的 App 里输入的内容、截走验证码短信。电脑上的桌面客户端也一样，只从书签里的官网下载。以后更新也只从应用商店更新。App 里弹窗让你去某个网页下载新版本的，按假 App 处理。

以一家平台为例，苹果和安卓分别该核对哪几处、搜不到时怎么办，写在币安 App 怎么下载正版里。

主动联系你的「客服」「老师」，先当假的

主动私信你的人，不管自称客服、老师还是项目方，默认当假的。用官方验证渠道查过之前，不回复、不点链接。核对的办法是把对方的账号、手机号或邮箱粘贴到官方验证页里查。就算查出来真是官方，对方也不会要你的密码和验证码，这一条不会因为查过就改变。要密码、验证码、助记词，或者要你转账的，连查都不用查，直接就是骗局。

他们为什么都盯着验证码？验证码是平台发给你、用来确认「这个操作是你本人」的。你把它念给别人，等于亲手替他确认了身份，登录、改设置、提币，哪一步都可能被他用上。

下面几种说法反复出现，换个平台、换个称呼，套路差不多。

• 「您的账户存在异常」「涉嫌违规，需要配合验证」。接着就是要你报验证码，或者把资产转到所谓的「安全账户」。正规客服不会主动找你要验证码，更没有「安全账户」这种东西。
• 群里的「老师」每天晒收益截图，先免费「带你」几次，再引导你去某个网站或 App 充值。那个网站往往就是仿冒的，充进去的钱只是页面上的一个数字。
• 承诺每天固定收益、说只赚不亏的「项目」。加密资产的价格天天在变，谁都给不出这种承诺。
• 「我帮你代操作」。主动提出替你注册、认证、充值，要你的账户密码，或者要你装一个远程控制软件让他看屏幕。账户交出去，就等于钱交出去了。
• 「解冻费」「押金」「提现手续费要先交」。账户里显示赚了钱，一提现就被要求先转一笔进来。交了这一笔，还会有下一笔。
• 在社交或交友软件上认识、聊了一段时间才开始谈投资的「朋友」，最后也是引你去某个平台充值。
• 「我能帮你追回损失」。被骗以后找上门的「追款专家」，先收一笔服务费，这是同一伙人的第二轮。

助记词要单独说一句。助记词是一个钱包的全部控制权，谁拿到它，谁就能在任何地方恢复你的钱包、转走里面的币。没有任何正规平台、任何客服需要你的助记词。交易所账户和自管钱包的区别，在币放交易所还是钱包里讲过。

这条判断不止交易所自己这么说。美国联邦贸易委员会（FTC）的消费者提示页《加密货币诈骗须知》写得很直接，只有骗子才会要求你用加密货币付款。

社交平台上的仿冒账号也很多，头像、名称和官方账号几乎一样，粉丝数也可以买。看到「官方」两个字不算数，查过才算。本站也一样，任何自称 Open Room 来找你要钱、要验证码的，都不是我们。

真正的客服在哪里？在官网或 App 里的帮助中心，从那里发起对话。挑平台时就该确认它有没有这样的入口，这一点在第一个交易所怎么选里是 5 项之一。

什么时候该再核对一遍？记住这五个时刻

三处核对不是做一次就完。下面这五个时刻，骗局最容易插进来，每次遇到都按对应的那一处再查一遍。

最后一行最容易被忽略。提币时的收款地址，应该来自你自己的钱包或你自己在另一个平台的充值页，而不是某个人在聊天里发给你的一串字符。对方说这是「平台的安全地址」「客服的收款地址」，就是骗局。

可能已经点了或输了，先做这几件事

先从书签打开真网站改密码，再查双重验证、提币白名单和登录设备，然后联系官方客服。区块链上的转账一旦确认，通常就撤不回来，所以每一步都要快。

按这个顺序做。

1. 关掉可疑页面，别在上面再输入任何东西。
2. 从书签或手动输入的网址打开真网站，马上改密码。同一个密码用在别处的，也一起改掉。
3. 看双重验证有没有被换绑，有没有多出一个你没加过的验证方式。
4. 看提币白名单和地址簿里，有没有多出你没登记过的地址。
5. 打开登录设备列表，把不认识的设备都移除。
6. 从帮助中心联系官方客服，说清楚什么时间、点了什么链接、输入了什么，请客服协助处理账户。登不进去，或者发现资产已经在往外转，就请客服先冻结账户。
7. 注册交易所用的邮箱也改一次密码，看看邮箱里有没有被设了自动转发。

输入的如果是助记词，把那个钱包当成已经泄露。新建一个钱包，把还没被转走的资产尽快转过去，旧钱包不再使用。

装了来路不明的 App，先卸载。苹果手机再去设置里看有没有多出陌生的描述文件，有就删除；安卓手机看看设备管理器里有没有不认识的应用。然后在一台干净的设备上，把上面第 2 到第 5 步再做一遍。

钱已经转出去的，把交易哈希、对方的地址、聊天记录和仿冒网址都截图留存，按当地的途径报案。趁记得清楚，把经过按时间顺序写下来，几点收到消息、点了哪个链接、输了什么、转了多少，联系客服和报案时都用得上。别信任何声称能帮你把链上的钱「追回来」的人。开户后还没把安全设置开齐的，照着注册完先开的几项安全设置一项项补上，从第一项改密码开始。