第 4 站 · 保护账户
注册完交易所账户，趁里面还没钱按这 5 步开安全设置
账户里还没钱的时候，是改安全设置最从容的时候。这篇按先后顺序讲 5 项设置：专用的密码和邮箱、双重验证、防钓鱼码、提币白名单、登录设备检查。每一项写清它防的是哪种风险、开的时候会看到什么，以及手机丢了该先做什么。
账户里还没钱时，按这个顺序开。除了第 4 步，其余几步十几分钟就能做完；白名单什么时候开最合适，后面单独讲。
- 换一个只用于交易所的强密码和邮箱。防的是别处泄露的密码被拿来登录你的账户。
- 开双重验证，优先用验证器 App 或通行密钥，短信排最后。防的是密码泄露后别人直接登进来。
- 设防钓鱼码。防的是冒充平台的假邮件。
- 开提币白名单。防的是账户被人登进去后，币被提到陌生地址。
- 检查登录设备。防的是有人已经登进来了你还不知道。
顺序有讲究。前两步决定别人能不能进你的账户，后三步是进来以后的第二道、第三道门。先把大门锁好，再装别的。趁账户里没钱做这件事，还有一个好处，哪一步弄错了、被锁在外面了，也只是麻烦，不是损失。
密码和邮箱为什么要单独给交易所一套？
因为别的网站一旦泄露，同一套邮箱加密码会被拿去各个平台挨个试，这种做法叫撞库。交易所账户用一个别处从没用过的密码，最好再配一个只用来收交易所邮件的邮箱，撞库就撞不到你。
密码的长度比花样更重要。平台的注册规则一般只给下限，比如有的交易所要求至少 8 个字符，其中至少 1 个大写字母和 1 个数字。这只是能注册的最低线。我建议用密码管理器生成一串 16 位以上的随机字符，交给它记，你自己不用背。不想装密码管理器，就用四五个毫不相干的词拼成一句只有你懂的长句，比一个八位的复杂密码更难猜，也更好记。
邮箱这一头常被忽略。交易所的验证码、登录提醒、提现确认都发到邮箱，谁控制了邮箱，谁就握住了账户的一半。所以这个邮箱自己也要开双重验证，密码同样不能和别处重复。用 Gmail、Outlook 这类常见的邮箱服务就好，有的交易所帮助中心也建议用常规域名的邮箱注册。
还没注册的，注册时就直接用这个专用邮箱，省得事后再换，注册每一屏怎么填见币安注册教程。已经用常用邮箱注册了也不要紧。在账户安全页面里改密码，邮箱能不能换、怎么换，按平台帮助中心的说明来。改完以后把旧密码从浏览器的自动填充里删掉。网吧、公司公用电脑这类别人也会用的设备，不要登录交易所，更不要让浏览器记住密码。
双重验证选哪种？验证器 App 或通行密钥优先
选验证器 App 或通行密钥，短信只当备用。双重验证（2FA）的意思是，登录或提现时除了密码，还要再给一样只有你手里才有的东西，这样就算密码泄露，别人也进不来。
短信排最后，是因为手机号本身可能被别人拿走。号码被冒名补卡、停用后被重新分配，验证码就会发到别人手里。验证器 App 在你自己的手机上本地生成 6 位数字，每隔几十秒换一次，不经过运营商。通行密钥更进一步，它和你的设备绑定，而且只认真正的平台域名，假网站拿不到。创建和使用通行密钥时，弹出来的是手机或电脑系统自己的验证，也就是指纹、面容或锁屏密码，不用输任何数字。
拿一家平台当例子。币安帮助中心的双重验证分类下，有通行密钥、BAuthenticator（平台自己的验证器）和谷歌验证器几篇教程。
以 App 端开谷歌验证器为例，界面上会这样走。
- 先在手机上装好谷歌验证器。
- 进入【账户】，点顶部的个人资料，再点【账户安全】。
- 点【身份验证器App】-【启用】，页面显示一个二维码和一串设置密钥。复制设置密钥。
- 打开谷歌验证器，点【+】，选【输入设置密钥】，粘贴后填一个账户名称，点【添加】。
- 回到交易所 App 点【下一步】，输入验证器里显示的 6 位验证码。
第 3 步到第 4 步之间有一句容易忽略的提醒。帮助中心的这篇说明写着，在谷歌验证器设置完毕之前，请勿点击【下一步】。先点了，验证器里没有这个账户，后面就输不出正确的验证码。
开好以后，做两件事。
- 把设置密钥抄在纸上，和证件放在一起。手机丢了、坏了，靠它能在新手机上恢复验证器。别截图存进相册或网盘，那等于把钥匙挂在门上。
- 换手机之前先迁移。验证器 App 一般有转移账户的功能，在旧手机上导出，新手机上导入，确认新手机生成的验证码能登录，再删掉旧手机上的。顺序反过来，就可能把自己锁在门外。
用起来以后，偶尔会遇到验证码总是提示错误。验证器生成的数字依赖手机时间，手机时间不准，算出来的码就对不上，先把手机的日期和时间改成自动设置再试。帮助中心的双重验证分类里也有专门讲验证码错误的文章。
设了防钓鱼码，邮件里没有那串字就是假的
防钓鱼码是你自己设的一串字，设好以后，平台发来的邮件里都会带着它。收到自称平台的邮件，先找这串字，找不到就是假邮件，里面的链接一个都别点。
它防的是冒充平台的钓鱼邮件。这类邮件常写「账户异常」「提现待确认」，催你点链接去一个仿冒的登录页。没有防钓鱼码的时候，你只能靠看发件地址、看措辞来猜真假。可发件人的名字随便就能改成平台的名字，地址也常常只差一两个字母，靠肉眼很难每次都看准。设了防钓鱼码以后，判断就简单多了，只看那串字在不在。
设置入口通常在账户安全页面里，名字就叫防钓鱼码。设的时候注意三点。
- 别用密码，也别用生日、姓名这类能被猜到的信息。随便一个只有你认得的词就行。
- 设完先触发一封平台邮件，比如登录提醒，确认邮件里真的显示了这串字。
- 不告诉任何人。有人知道了这串字，就能把假邮件做得更像。
它也有管不到的地方。它只帮你分辨邮件，管不了你从搜索结果点进去的假网站，也管不了社交软件里的假客服。就算邮件带着正确的防钓鱼码，里面也不会有人找你要密码或验证码。
设一次一分钟，以后每封邮件都省了猜的功夫。这是五项里最划算的一项。
提币白名单：钱只能去你登记过的地址
开了提币白名单，账户只能把币提到你预先登记过的地址。就算有人拿到密码和验证码登进来，也没法把币直接提到他自己的地址。
开的时候，你会进入一个地址管理的页面，给每个地址填币种、网络、地址本身和一个备注名。有的平台给新登记的地址设了一段等待期，过了才能用，开的时候留意页面上有没有这样的提示。有的话，这段等待期正是白名单起作用的地方，有人偷偷加了地址，你还有时间发现并处理。
别把地址簿当成白名单。很多平台都能保存常用地址，存了地址只是下次不用再粘贴，白名单开关没打开，账户照样能提到任何地址。开没开，看账户安全页面上那个开关的状态。
登记地址这一步要格外仔细，因为登记错了，以后每次都会提错。三处要核对。
- 地址一个字符都不能差。用复制粘贴，粘贴后核对开头和结尾的几位。
- 网络要和收款方选的一致。同一个 0x 开头的地址可以在多条 EVM 链上通用，地址填进去不报错，也说明不了网络选对了。
- 有些币除了地址还要 Memo 或 Tag，收款方要求填就一起登记。
备注名也别随手写。写成「自己的钱包，TRC20」这样，把用途和网络都标上，半年后再看也认得出。登记好的地址第一次用时，先提一小笔，到账了再提剩下的。
地址格式可以先用本站的提币地址格式核对在本地检查一遍；网络和地址怎么一一对上，提币时核对网络和地址那篇有逐步的写法。
登录设备怎么查？哪些设置可以晚点开
登录设备在账户安全或设备管理的页面里，列着登录过的设备、时间和大致位置。逐条看一遍，不认识的设备删掉，然后马上改密码。以后每隔几周看一次，尤其在你收到一封没印象的登录提醒之后。
哪些条目值得警惕？你从没用过的设备型号或浏览器，你明明在睡觉的时间，离你很远的城市。位置是按网络估的，偶尔会偏，但设备型号和时间对不上，就不要犹豫。
五项里哪些能晚点开？我的排法是这样的。
密码、邮箱和双重验证不能等，没开之前别往账户里放钱。它们挡的是别人登进你的账户，这一关破了，后面几项都在被动补救。
防钓鱼码不费事，顺手就开了，没理由拖。
提币白名单可以等到你第一次要提币时再开。在那之前你还不知道要往哪里提，硬开就只能空着。但有一个前提，账户里的钱一旦多起来，就别再拖。白名单的价值在于钱多的时候。
还有一类不是晚点开，而是用不到就别开。API 密钥这类功能是给程序化交易用的，新手用不上；建了又不管，就多了一个可能泄露的口子。买币打算放进自己钱包的话，交易所和钱包各自该怎么保管，见币放交易所还是钱包。
手机丢了或验证码泄露，先做这几件事
先用另一台设备登录改密码，登不上或者发现异常，就冻结账户并联系官方客服。动作越早，能挽回的越多。
按这个顺序做。
- 找一台你信得过的设备，从书签或手动输入的网址打开平台，登录后马上改密码。别去搜索结果里找「客服电话」，那里混着仿冒的。
- 看双重验证有没有被换绑，白名单里有没有多出你没登记过的地址。
- 打开登录设备列表，把丢失的手机和不认识的设备都移除。
- 登不上、或者发现资产和设置有异常，通过平台帮助中心找冻结或禁用账户的办法，同时联系官方客服说明情况。
- 联系运营商挂失手机号，防止别人用补卡收到你的短信验证码。之前抄在纸上的设置密钥，这时候用来在新手机上恢复验证器。
- 邮箱也改一次密码，检查邮箱里有没有被设了自动转发。
验证码泄露也照这个顺序。典型的情形是有人冒充客服，说你的账户有风险，要你把刚收到的验证码报给他。报出去的那一刻起，就按上面第 1 步开始做。这类骗局还有哪些说法，假网站、假 App、假客服的三处核对里列了常见的几种。
有一件事要提前知道。币一旦从链上转走、交易被确认，通常就撤不回来了，所以上面这些动作，比事后追查要紧得多。手机找回来以后，也别直接接着用。先查一遍登录设备列表，再决定还要不要让它继续当验证设备。