加密货币账户的双重验证（2FA）与通行密钥

给加密货币账户设置双重验证（2FA）时：服务提供通行密钥或硬件安全密钥，就用它；不提供，就用验证器应用；短信验证码只作为最后的选择。区别在于钓鱼：通行密钥或安全密钥绑定真正的网站，在假网站上根本无法使用；而六位数的验证码，输进假页面和输进真页面一样容易。

双重验证方式排序

短信验证码——最弱。短信发送的验证码可能被 SIM 卡劫持（SIM swap）盗走：攻击者说服你的手机运营商把你的号码转到他们的 SIM 卡上。加密货币持有者是这类攻击最爱的目标。短信总比没有强，但不应该用它守护任何你丢了会心痛的东西。

验证器应用（TOTP）——好。应用根据保存在你手机上的密钥，每 30 秒生成一个新的六位数验证码。整个过程不经过运营商，所以 SIM 卡劫持无效。仅仅偷到密码不再足够，但假网站仍然可以索要验证码，并在这 30 秒内转发给真网站。把设置时的恢复码离线保存：手机丢了，要靠它们重新登录。

硬件安全密钥——强。一个小小的 USB 或 NFC 密钥，登录时轻触一下，使用 FIDO2 标准。密钥会检查是哪个网站在发起请求，所以仿冒域名什么也拿不到。注册两把密钥，把备用的那把放在安全的地方。

通行密钥——强，而且更简单。通行密钥是同一种 FIDO 思路，由你的手机、电脑或密码管理器保管，用指纹、面容或设备 PIN 解锁。它可以完全取代密码，绑定真正网站的域名，也没有任何东西可以输进假页面。FIDO Alliance 解释了它的工作原理。如果某个服务提供通行密钥，就用它。

同样重要的设置

• 提币地址白名单。许多交易所允许你只向事先添加过的地址提币，新地址往往还有一段等待期。即使有人进入了账户，也无法立刻把币转给自己。
• 你的邮箱账户。重置密码的邮件会发到你的邮箱，所以它需要同样的保护：一个强且唯一的密码，加上通行密钥或安全密钥。
• 防钓鱼码。有些交易所允许你设置一个词，它会出现在该交易所发出的每一封真实邮件里。没有这个词的邮件，就不是他们发的。
• 唯一的密码。使用密码管理器，每个地方都用不同的密码，这样一个网站被攻破，不会连带打开其他网站。
• API 密钥。如果你为机器人或追踪器创建过交易所 API 密钥，删掉不再使用的那些，并且永远不要给任何一个密钥提币权限。

按顺序设置

• 先设置邮箱。给邮箱账户设一个强且唯一的密码，加上通行密钥或安全密钥，因为其他所有重置都要经过它。
• 然后是每家交易所。能用通行密钥或安全密钥的就添加，否则用验证器应用。
• 保存每个服务给你的备份码，写在纸上，和你其他的离线备份放在一起。
• 移除短信这一后备方式：一旦更强的方式可用，只要服务允许，就移除它。
• 开启提币白名单，并添加你自己钱包的地址。

2FA 保护不了什么

2FA 保护的是账户：交易所、邮箱、追踪器。对于你自己掌控的钱包，它毫无作用，那里唯一要紧的钥匙是助记词——怎么保存它。它也阻止不了你批准一笔被骗着发起的转账；常见加密货币骗局讲了这些伎俩。

本指南解释事物如何运作，不构成财务、投资或税务建议。发现错误？请写信至 hi@perly.io，我们会更正。