币安账户安全设置：2FA、防钓鱼码与提现白名单
很多人对账户安全的态度是「等我资金多了再说」。问题在于，被盗从来不是按资金量排队的，它按你的防护薄弱程度排队。而把防护做到位这件事，一共只需要十分钟。
先给结论：三个开关按重要性排序是——两步验证（挡住密码泄露）、防钓鱼码（识别假邮件）、提现白名单（即使账户被登进去，币也转不走）。三项互相独立、互为补充，缺一项就留下一条完整的攻击路径。
一、先理解攻击是怎么发生的
知道对手怎么打，才知道该挡在哪。远程盗号的典型链条是这样的：
- 攻击者从别处泄露的数据库里拿到你的邮箱和一个常用密码；
- 拿去交易所试，如果你复用了密码，第一道门就开了；
- 需要第二因素时，发一封仿冒的「安全验证」邮件，骗你把验证码填进假页面；
- 拿到验证码后登入账户，添加自己的提币地址；
- 把资产转走。
三个开关正好卡在三个不同的环节：两步验证挡第 2 步，防钓鱼码让第 3 步的假邮件一眼露馅，白名单让第 4 步做不成。所以它们不能互相替代——只开一个，另外两条路还是通的。
二、两步验证：优先用验证器 App
登录和提币时除了密码，还需要一个动态验证码。这个码可以来自短信，也可以来自验证器 App。两者的差别不小：
| 方式 | 优点 | 弱点 |
|---|---|---|
| 短信验证码 | 不用装东西，人人都会用 | 依赖运营商；换号、漫游收不到；存在 SIM 卡被补办而劫持的风险 |
| 验证器 App | 离线生成，不依赖网络和运营商 | 换手机要迁移；恢复密钥丢了会很麻烦 |
| 硬件安全密钥 | 安全性最高，能有效抵抗钓鱼 | 要买设备，要随身带 |
对绝大多数人，验证器 App 是性价比最高的选择。设置时屏幕上会给出一串恢复密钥（有时是一段助记词或一张二维码），把它抄在纸上。这一步九成的人会跳过，然后在换手机那天付出代价。
抄完之后验证一遍：用抄下来的那串字符，在验证器里重新添加一次账户，看生成的验证码和现在的是否一致。抄错一个字符，平时完全看不出来，只有在你最需要它的时候才会发现。
三、防钓鱼码：一分钟，一劳永逸
在安全设置里自定义一串字符（比如一个只有你知道的词加几个数字）。设置之后，平台发给你的每一封邮件都会带上这串字符。
它的价值在于把「判断邮件真假」这件事从主观变成客观。以前你要看域名像不像、排版对不对、语气正不正常——这些攻击者都能仿。现在你只需要看一眼：有没有我那串字符。没有就是假的，不用再分析。
设置时注意两点：别用生日、手机号这类别人猜得到的内容；别设得太长，你自己得能一眼认出来。
四、提现白名单：最后一道闸
开启之后，提币只能提到预先添加的地址。这意味着即使攻击者拿到了你的密码和验证码、成功登入账户，他也没法把币转到自己的地址上——他得先添加地址，而添加需要通过验证并等待冷静期，这段时间足够你发现异常。
代价只有一个：新增地址不能立刻使用。所以要养成提前添加的习惯，把自己常用的几个收款地址一次性加好。急用时才想起来加，就只能干等。
顺带说一个相关的检查项：如果你曾经创建过 API 密钥（比如为了用某个行情工具或交易机器人），去权限列表里看一眼，把不再使用的删掉，还在用的确认它没有开启提币权限。API 密钥泄露是另一条常被忽略的路径。
白名单地址加好之后，怎么判断一笔提币的到账进度，写在提币到账那篇里。
五、恢复密钥丢了会发生什么
手机丢了、刷机了、验证器 App 被误删了，而恢复密钥没抄——这时候你面对的是账户申诉流程：提交身份证明、回答一系列历史信息、等待人工审核，期间账户通常处于受限状态。能不能找回取决于你能提供多少证明材料，周期以周计并不罕见。
所以真正的解法是提前做这两件事：
- 纸质备份。抄下来，和护照放在一起。纸不会被远程攻破。
- 换手机时先迁移，再重置旧机。顺序反了就只能靠恢复密钥了。
六、常见问题
短信验证够用吗，一定要装验证器 App 吗？
短信可以作为辅助，但不建议当作唯一手段。手机号可能因为换号、停机、跨国漫游而收不到，也存在被补办 SIM 卡而劫持的风险。基于时间的验证器不依赖运营商，稳定性和安全性都更好。
防钓鱼码会不会被别人看到？
它只出现在平台发给你的邮件里，攻击者不知道你设了什么。正因如此它才有效：一封没有你那串字符的邮件，无论排版多像官方，都可以直接判定为假。
开了白名单，急着提币怎么办？
提前加地址是唯一的办法。新增地址有冷静期，这个等待是设计出来的，不能绕过。习惯上把自己常用的几个收款地址一次性加好，之后就不会再遇到这个问题。
恢复密钥应该存在哪里？
抄在纸上，和重要证件放在一起。不要存在手机备忘录、邮箱草稿、云笔记或者聊天软件收藏里——这些地方一旦被登进去，等于同时丢了密码和第二因素。
账户已经被登录了，第一件事做什么？
立刻修改密码并结束所有其他设备的登录会话，然后检查提现地址列表和 API 密钥有没有被添加。如果已经发生提币，立即联系官方客服并保留所有截图与交易哈希。
七、每半年花五分钟做一次的复查
三个开关设完就基本一劳永逸，但有几样东西会随时间悄悄积累，值得定期清一次。
- 登录设备列表。换过的旧手机、借用过的电脑、出差时登过的设备，都还留着会话。把不认识和不再用的全部移除。
- 第三方授权。当初为了看行情或者试某个工具授权过的应用，多半早就不用了。授权留着就是留着一条通道。
- API 密钥。重点确认还在用的那些没有开提币权限。这一条比前两条更要紧，因为带提币权限的密钥泄露，等于绕过了你所有的安全设置。
- 白名单地址。把不再使用的收款地址删掉。列表越短，误选的可能越小。
- 邮箱本身的安全性。交易所账户的恢复链条最终落在邮箱上。邮箱如果没开两步验证，前面做的一切都被绕过去了。
最后一条经常被忽略。很多人把交易所账户保护得很好，却用一个十年没换过密码、没开二次验证的邮箱去接收所有验证信息。攻击者不需要攻破交易所，只需要攻破那个邮箱。
各安全功能的具体名称与设置路径可能随平台版本变化，本文整理于 2026 年 8 月，以币安安全设置页面的当前界面为准。