为什么要“先安全、后交易”
中心化交易所账户一旦被盗，链上转账不可逆。良好的账户安全是所有策略的前置条件，而不是可选项。权威机构 NIST 明确提示：短信类二次验证受公用电话网风险影响，存在 SIM 换卡、端口转移等场景下被拦截或劫持的可能，建议采用更强的认证器方案。
一、账户与登录的基础设置
1) 独立邮箱 + 长口令
使用只服务于交易所的独立邮箱，设置长口令或密码短语，并为邮箱本身开启强 2FA/Passkey，避免邮箱失陷牵连交易所登录。NIST 的认证指南建议根据风险采用更高保障级别的认证方式。
2) 二次验证优先级：Passkey/安全密钥 ＞ TOTP ＞ 短信
- 多数主流平台已支持 Passkey/安全密钥（FIDO2/WebAuthn），更抗钓鱼、避免短信被劫持。
- 仍使用 TOTP 的用户，请妥善保存迁移密钥/备份码；尽量避免短信 2FA。
- 示例：Coinbase 与 Binance、OKX 均提供安全密钥/Passkey 设置路径。
- 科普：Passkey 是基于公私钥的无密码登录，更抗钓鱼。
3) 设备与会话管理
定期查看并移除不认识的登录设备与会话。以 Binance.US 为例，可在“Device Management”中移除设备。
4) 反钓鱼代码与官方通信验证
在账户安全页设置专属“反钓鱼代码”，官方邮件若不带该代码，警惕钓鱼。Binance 与 OKX、Binance.US 均提供此功能。
平台亦明确：不会索取你的密码、2FA 验证码或助记词，更不会要求你把资产转到“安全地址”。
二、出入金与资金转移的硬规则
1) 提现地址白名单（Allowlist/Whitelist）
强烈建议开启，仅允许向“通讯录中已验证地址”提现。Coinbase、OKX、Binance/US 均支持地址白名单。
2) 网络与标签/备注（Tag/Memo）校验
- 选择正确网络，避免 ERC20/TRC20 等网络错选导致资产去向错误。
- 部分资产（XRP、XLM、ATOM 等）充值/提现需要 Tag/Memo，缺失可能导致到账失败。
3) 更改安全项后的提现冷却期
重置 2FA 或修改密码后，多平台会临时禁用提现以防盗抢：
Binance 示例：重置 2FA 后 48 小时限制；改密后 24–48 小时限制。
OKX 亦会在安全设置变更后临时限制提现。
4) 关注系统状态与链上维护
提现异常先查平台“状态页/公告”和网络维护信息：OKX/ Binance.US 提供系统状态页；Binance 公告页披露各网络维护进度。
三、API 与第三方连接
只在必须时创建 API Key，最小化权限，默认关闭提现权限，并绑定固定 IP。OKX 明确支持并对未绑定 IP 且带交易/提现权限的 APIKey 做超期处理。
四、紧急处置：自助冻结与申诉路径
怀疑被盗或设备遗失时，第一时间冻结账户并更换密钥。OKX 提供网页与 App 的自助冻结流程；Binance 亦提供锁定/解锁与指引。
若遇到钓鱼来电/邮件或“客服”诱导转账，平台安全页强调绝不索要密码/验证码/助记词。
五、平台层面的资金保障与透明度
1) Proof of Reserves（PoR）与其局限
PoR 让用户可验证托管资产是否覆盖客户余额，Kraken 定期发布并支持用户自查。但 PoR 多为“时点快照”，且未必涵盖所有链下负债。
2) 保险与风险准备金
- Binance 的 SAFU 安全基金用于极端事件应对，官方披露由 10 亿 USDC 构成，规模随市变动。
- Coinbase 披露为部分数字资产配置刑事犯罪保险，但不覆盖因用户账户被盗用凭据导致的损失；其帮助中心也强调并非银行存款保险。
3) 漏洞赏金与外部安全研究
多家平台运行漏洞赏金计划以提升安全性，如 Binance、OKX（OKG）、Kraken、Coinbase 等。
六、资金的分层保管与自托管
长期不动的核心仓位建议自托管到硬件钱包，交易所仅保留“随用随取”的流动仓位。Kraken 等科普材料与主流资料均建议冷存储更安全；Investopedia 也将冷存储视为私钥最安全的保管方式之一。
七、常见场景的安全动作
场景 A：首次开户
- 设置独立邮箱与长口令，开启 Passkey/安全密钥或 TOTP。
- 立即设置反钓鱼代码与地址白名单。
- 记录账户恢复方式与备份码，使用密码管理器保存。
场景 B：大额提现前
- 核对网络与地址，必要时先小额试转；带 Tag/Memo 的资产逐一确认。
- 确保设备与会话干净，2FA 正常。
- 避免在刚修改密码/重置 2FA 的冷却期提现。
场景 C：怀疑被钓鱼或短信“验证码失控”
- 立刻冻结账户、改密并更换更强 2FA（Passkey/安全密钥）。
- 警惕短信 2FA 的 SIM 换卡风险，转用更强认证。
八、给新手的最短清单
- 登录邮箱与交易所全部启用 Passkey/安全密钥或 TOTP。
- 打开提现地址白名单，只向已验证地址转账。
- 设置反钓鱼代码，只信任带你专属代码的官方邮件。
- 清理不认识的登录设备与会话。
- 记住“冷却期”规则，安全项变更后暂缓提现。
- 交易所只留活动仓，长期仓位转冷钱包保管。
九、FAQ：你可能还会问
Q1：短信 2FA 真的不安全吗？
并非“完全不安全”，但确实更易受 SIM 换卡/端口转移等攻击，NIST 建议在高风险场景选用更强的认证器。若可用，请优先使用 Passkey/安全密钥或 TOTP。
Q2：Proof of Reserves 能 100% 证明安全吗？
PoR 改善透明度，但多为时点证明，且未必覆盖所有链下负债；应与合规披露、内部控制、风控机制综合评估。
Q3：平台不是有保险/安全基金吗，我还需要做这么多吗？
保险条款通常不覆盖因用户泄露凭据导致的损失；SAFU 等基金用于极端事件且规模随市变化。你自己的账户安全设置仍是第一道门。
