开户当天就该做的账户安全设置:2FA、防钓鱼码、提现白名单

为什么是「当天」,而不是「以后」

账户被盗的人事后回忆,常常是同一句话:「我以为没什么钱,就没设。」可被盗往往不是因为账户里钱多,而是因为它是个软柿子——只有一个密码、没有第二道门、没有任何提现限制。攻击者批量扫,先进得去的先动手。

开户当天设有两个好处。一是那会儿账户里还没钱,你心态放松,不会一边手抖一边设;真等到放了钱再想起来,反而容易急中出错。二是这些开关一旦立起来,基本是一次性的,后面几乎不用再碰。花五分钟换来长期省心,这笔账很划算。

下面按重要性从高到低排。如果你时间特别紧,至少把前三项(2FA、防钓鱼码、提现白名单)做了,它们挡的是最常见也最致命的几种攻击。

两步验证 2FA:验证器为什么比短信稳

是什么。两步验证(2FA,Two-Factor Authentication)是在密码之外加的第二道门:登录或提现时,除了密码,还要再输一串只有你能拿到的动态码。这样即使密码泄露了,别人光靠密码也进不来。

为什么重要。密码泄露比你想的常见得多。很多人在多个网站用同一套密码,只要其中一个网站被拖库,你的这组邮箱+密码就可能出现在黑产的「撞库」名单里。攻击者拿这份名单挨个去试交易所登录。如果你只有密码、没有 2FA,那基本是门没锁。2FA 就是那把锁。

验证器 App 优于短信,为什么。2FA 通常有两种:短信验证码,和验证器 App(如 Google Authenticator、Microsoft Authenticator、Authy 等生成的 6 位动态码)。两者都比「没有」强,但验证器更稳,原因是短信有一个绕不过去的弱点——SIM 卡劫持。坏人通过伪造身份去运营商补办你的 SIM 卡,或用社工手段把你的号码转走,之后发给你的短信验证码就全被他收到了。这类攻击在币圈真实发生过不少。验证器 App 的动态码是在你手机本地按时间算出来的,不经过运营商网络,补卡也偷不走。所以条件允许就优先绑验证器,短信可以留作备用通道。

大概在哪设。登录后进「账户/安全设置」一类的入口,里面会有「绑定/管理两步验证」或「Google 验证器」的选项,按页面引导扫码绑定即可。各家界面措辞和层级会调整,以你当前看到的 Gate 官方页面为准。

防钓鱼码:让假邮件无处藏身

是什么。防钓鱼码(anti-phishing code)是你自己设定的一串字符(几个字母数字,自己能记住又不太好猜)。设好之后,交易所发给你的官方邮件、站内通知都会带上这串码。换句话说,它是官方邮件的「暗号」。

能挡哪种骗局。它专门对付仿冒官方通知的钓鱼邮件。骗子常群发「您的账户异常,请点此验证」「提币失败,点击重试」这类邮件,样子做得跟真的一模一样,链接点进去是假登录页,你一输密码就被收走。关键在于:骗子不知道你的防钓鱼码,他们伪造的邮件里带不上这串字符。所以你只要养成习惯——每封自称官方的邮件,先看有没有你那串码、对不对——没有或不对的,直接当假的处理。这是个成本极低、收益很高的小开关。

顺带说清它挡不了什么:如果你是主动在搜索引擎广告里点进了假网站、自己把密码输进去,那跟邮件无关,防钓鱼码也救不了。识别假网站和假 App 是另一回事,我们单独整理了假客服话术那篇可以对照看。

大概在哪设。同样在安全设置里,通常叫「防钓鱼码」或「Anti-Phishing Code」,填入你自己想好的字符串保存即可。建议别用你的生日、昵称这种能被猜到的,随手敲一串杂的更好。

提现白名单 + 关掉免认证提币

是什么。提现地址白名单,就是提前把你常用的收款地址登记好,开启后账户只能提到这些登记过的地址,提到名单外的陌生地址会被拦下。很多交易所还有个相关开关叫「免认证提币额度/地址」——指小额提币时省去某些验证,这个为了方便而开的口子,新手建议关掉或调到最低。

为什么重要。这是最后一道、也是最关键的一道防线。前面 2FA、防钓鱼码都是防「别人进不进得来」;白名单防的是「万一真进来了,他能不能把币弄走」。账户被盗后,攻击者最想做的就是立刻把资产提到他自己的地址。如果你开了白名单,他要提的陌生地址根本不在名单里,提不出去;就算他想加新地址,新增地址通常要再过验证、还有冷却等待期,这段时间足够你发现并冻结账户。很多被盗损失,就卡在「有没有开白名单」这一个开关上。

顺带的好处:开了白名单,你日常提币是从名单里「选」地址,而不是每次手动粘贴,填错地址、被剪贴板木马篡改地址的机会也少了一大截。关于地址填错的风险,可以看提币前自检清单这个工具,提币前过一遍。

大概在哪设。在「提现/提币」相关的安全选项里,找「地址管理/地址簿」和「白名单」开关。把你确定要用的钱包地址加进去并开启白名单;同时看一眼有没有「免验证提币」之类的便利开关,把它关小。具体名称与规则(比如新增地址的冷却时长)以 Gate 官方页面当前显示为准,这类时长查证日期 2026-06,平台可能调整,别当成永久不变。

给币圈一套专用的邮箱和手机号

是什么。就是专门为加密账户准备一个邮箱、(条件允许的话)一个手机号,不和你日常社交、购物、工作混用。

为什么重要。你那个用了十年、到处注册过的邮箱,大概率已经出现在某次数据泄露里了——黑产清楚它的存在,也可能知道关联的密码。用它注册交易所,等于把家门钥匙挂在一个早就被人摸过的钥匙串上。一个干净的、只用于币圈、谁都不知道的邮箱,本身就降低了被定向攻击的概率。这个邮箱密码要独一无二、并且也开 2FA——因为邮箱往往是「找回账户」的入口,邮箱丢了,交易所账户也跟着危险。

手机号同理。如果方便,用一个不公开、不绑社交平台的号码做交易所的二次验证和找回。退一步,即使沿用旧号,也要意识到短信这条路有 SIM 劫持风险(前面讲过),所以更要把验证器 2FA 设成主力。

设备、会话与异常登录提醒

是什么。交易所一般会记录哪些设备登录过你的账户、当前有哪些活跃会话,并提供「异常登录提醒」开关——有新设备或陌生地点登录时,给你发通知。

为什么重要。这是你的「监控摄像头」。被盗很少是无声无息的:陌生设备登录、异地 IP、半夜活动,这些都是信号。如果你开了异常登录提醒,第一时间就能收到,而不是等钱没了才发现。

开户当天可以做两件事:一是确认异常登录/安全通知是开着的;二是隔段时间(尤其在网吧、别人电脑上登过之后)进「设备管理/登录记录」看一眼,把不认识的设备和会话踢掉。看到陌生登录,别犹豫,先改密码、退出所有会话。真出事了,处理顺序我们写在账户被盗后头 10 分钟的自救那篇,建议先收藏。

API 权限:没用到就别开

是什么。API key 是给程序用的一串凭据,让外部软件(量化脚本、第三方工具等)能代你操作账户。它有不同权限级别,有的只能读数据,有的能下单,甚至能提币。

为什么对新手重要——恰恰因为你用不到。新建账户默认一般没有任何 API key,这本身就是最安全的状态,所以你不需要刻意去「关」它。真正的风险是:有人在群里、教程里劝你「创建一个 API key 接到某某机器人就能自动赚钱」,你照做、还给了提币权限,把 key 一交——等于把账户的提款权交给了陌生程序。一旦对方跑路或被黑,你的币能被直接划走,而且这往往不在 2FA 的拦截范围内。

所以对新手的规则很简单:没用到 API,就别创建;要创建也绝不勾提币权限,只给读取;更不要把 key 交给任何第三方托管或「代客理财」。这类「带你用机器人自动获利」的话术,本质上已经偏离了账户安全、滑向了我们一向不碰的交易诱导,看到就该警惕。

开户当天 5 分钟清单

把上面的内容压成一份当天就能照着勾的清单。从上到下做,做完前三项已经挡掉大部分风险:

顺序	设置项	当天动作
1	两步验证 2FA	绑验证器 App(优先于短信),把密钥/恢复码离线存好
2	防钓鱼码	设一串别人猜不到的字符,记住它长什么样
3	提现白名单	开启白名单,把常用地址加进去;关小「免验证提币」
4	专用邮箱/手机	用币圈专用、独立密码的邮箱;给邮箱本身也开 2FA
5	异常登录提醒	确认安全通知开着;有空清一遍陌生设备和会话
6	API 权限	没用到就不创建;别给任何第三方提币权限

这六项里,1、2、3 是核心三件套,分别守住「登录」「识别假通知」「就算被进了也提不走」三道关。4、5 是把防线往外扩,6 是提醒你别主动开一个本来不存在的口子。全部加起来,真就五分钟左右——而它挡掉的,是新手第一年里最容易栽的那类账户被盗。

常见问题