新手加密货币安全指南:账户防盗防骗该怎么设置

讲加密安全的文章常常走两个极端:要么轻描淡写("开了 2FA 就万事大吉!"),要么危言耸听("错一步就全完了")。实际情况没那么玄。主流平台本身就带着不少实打实的防护功能,多数时候你要做的只是把它们打开,并且别被人三言两语劝着关掉。加密货币确实有特殊的地方:转账一旦发出就撤不回,也没有银行可以打电话追款,所以一时疏忽的代价比在普通网站上大。好在挡住常见攻击的办法都很简单,设好以后就能安心学,不用每收到一封邮件都心里一紧。

本文按保护作用的大小排序,而不是按话题有没有意思。硬件钱包、助记词、冷存储听着更"硬核",可对新手来说,远不如开头那几件枯燥的小事要紧,比如两步验证码到底用哪一种。所以先讲最管用的,再往下讲。开头三件事做到了,新手最容易丢钱的那几条路就已经堵上了。

新手的币一般是怎么丢的

先弄清楚要防的是什么,因为它和很多人想的不一样。新手往往以为是戴着兜帽的黑客在破解加密算法。其实区块链的加密很难攻破,一个足够强的密码也很难靠暴力硬猜出来。真正让人丢币的情形就那么几种,看清了,先做什么后做什么也就有数了。

• 账户被盗。别人登进了你的交易所账户,再把余额提走。常见原因是同一个密码在别的网站用过又泄露了,或者根本没开第二重验证。
• 钓鱼。被骗着把登录信息、2FA 验证码甚至助记词,填进一个和真站一模一样的假页面。
• 社会工程。冒充的"客服"、"招聘方"、刚认识的网友,或者假的空投送币活动,哄你交出账户权限,或者让你自己把钱转出去。对方不用任何黑客技术,转账那一下是你自己点的。
• 自己保管时出错。私钥在自己手里,风险就变成了弄丢助记词、泄露助记词,或者误批了一笔恶意交易。
• 转错地址或网络。地址输错一位、网络选错一个,币就直接没了,因为链上转账撤不回来。

可以看到,这几种情形多数是人被说动了、被骗了,而不是哪台服务器被攻破。最要紧的一条也就在这里:保护你的,首先是遇事不慌、多一分怀疑的心态;各种技术设置,是在你状态不好的那天替你兜底。下面每一节,都对应上面的某一种风险。

两步验证:用验证器 App,别用短信

今天只来得及做一件事的话,就做这件。两步验证(2FA)的意思是,登录(通常还有提现)时除了密码,还要再提供一道证明,一般是每 30 秒刷新一次的 6 位数字验证码。就算对方不知怎么拿到了你的密码,没有这个码也进不了第二道门。上面说的第一种风险,账户被盗,主要就靠它来挡。

不过用哪一种 2FA 差别很大,新手也最容易在这里选错。常见的有两种,安全性并不一样。

为什么验证器 App 比短信验证码安全

短信 2FA是把验证码发到你的手机号上。有总比没有强,但它有个明显的软肋:手机号本身可能被人抢走。在SIM 卡劫持(换卡攻击)里,骗子冒充你联系运营商,说动对方把你的号码转到他手里的一张 SIM 卡上。从这一刻起,短信验证码都发到了对方手机上,他就能重置密码、绕过短信验证。这不是纸上谈兵,而是有据可查、真实掏空过加密账户的手法。美国联邦贸易委员会(FTC)有一篇讲SIM 卡劫持诈骗的通俗说明,可以看看。

验证器 App(Google Authenticator、Authy、Microsoft Authenticator,或者不少密码管理器自带的验证功能)直接在你的设备上生成验证码,全程不走手机网络。换卡的人拦不到任何东西,因为验证码根本不经过短信。它用的是一套开放标准(TOTP,基于时间的一次性密码),断网也能生成,别人劫持你的号码也改不了它的去向。只要账户里有钱,选 App 就对了。美国网络安全机构 CISA 关于多因素认证的页面等权威指引,给出的方向也一样:App 或硬件验证,比短信可靠。

最强的是硬件安全密钥:一个插进设备或用 NFC 碰一下的小硬件,采用 FIDO/通行密钥(passkey)标准。它防钓鱼的能力连 App 验证码都比不上,因为它在响应之前,会先用密码学手段核对当前网站是不是真站。如果你的交易所支持安全密钥,账户里的钱又不算少,花这点小钱很值。对新手来说,验证器 App 在安全和省事之间最平衡,以后再换成密钥也不迟。

建议在注册账户、通过身份认证之后,充值之前,马上把 2FA 设好。先做这一步,就不会出现"账户里已经有钱、却只有一个密码守着"的空档。如果你正照着新手第一次买币的完整流程操作,这一步就排在认证后面。

密码与密码管理器

密码是第一道门,而新手常常在不知不觉中把它变弱了,原因就是一个密码到处用。假如你交易所的密码,和几年前某个论坛用的是同一个,而那个论坛后来被拖库了,那这个密码早就躺在某个泄露数据库里:黑产会互相倒卖,再拿去各个网站挨个试登录。这叫撞库(credential stuffing),全程自动化,一刻不停。

对付它只要两条规矩,听着麻烦,用起来反而省心:

• 重要账户一个一个密码,绝不混用。交易所、邮箱、密码管理器本身,各用一个在别处从没用过的密码。
• 密码交给密码管理器去生成和记忆。靠谱的密码管理器(Bitwarden、1Password,或浏览器、系统自带的那个)会生成又长又随机的密码,还能自动填写,你既不用记也不用手敲。你只需要记住一个足够强的主密码。

好密码的标准是够长、猜不到。目前安全界的主流看法(见美国国家标准与技术研究院的数字身份指南 NIST 800-63B)是看重长度,不再强调那些繁琐的复杂度规则。几个互不相干的单词随机拼成的口令,或者密码管理器生成的 16 位以上字符串,都比为了过表单检查硬塞一个"$"的短密码强。关键就两点:别人猜不出来,泄露库里也没有它。

有两个账户要格外上心,因为其他一切都系在它们身上。一个是邮箱:交易所以及几乎所有账户的找回都要经过它,邮箱一丢,别人就能一路重置下去。给它一个独立的强密码,再单独开验证器 App 两步验证。另一个是密码管理器的主密码:它管着其余所有密码,所以要够长、自己好记,并且记在脑子里,别写在便利贴上贴在电脑旁。也有人会把主密码抄一份纸质版封好,放在真正私密的地方(保险箱、上锁的抽屉),以防忘记;只要这个地方只有你知道,这样做也说得过去。

防钓鱼码,以及怎么认出真网站

钓鱼,就是想方设法让你把真实的账号密码填进假页面。假登录页可以做得分毫不差,假邮件也能用上正版 logo。防它一半靠一个设置,一半靠一个习惯。

先说设置。很多交易所都有防钓鱼码功能:你自己定一个短词或短句,之后交易所发来的每一封正规邮件都会带上这串字。骗子不知道你设的是什么,钓鱼邮件里自然就没有。所以只要一封自称来自交易所的邮件里没有你的防钓鱼码,不管做得多逼真,都可以直接判定是假的。在安全设置里就能开,一个小设置就让一整类攻击失效,去开上。

再说习惯,它更要紧,因为设置管不到的情况都得靠它。不要点邮件、私信、广告或搜索结果里的链接去打开交易所或钱包。自己输入网址、用之前存好的书签,或者从手机应用商店打开官方 App。骗子会投搜索广告,也会注册只差一个字符的仿冒域名(改一个字母、换个后缀、多加个词),这些假站离你往往只有一次点击的距离。点链接跳过去的登录页,是整个加密圈最危险的页面,账号密码就是在这里被截走的。从现在起养成条件反射:要登录,自己找过去,不跟着链接走。

还有一种更隐蔽的变种,专盯用自己钱包的人:假网站让你"连接钱包完成验证"或"领取奖励",接着弹出一笔交易请你授权,甚至直接让你输入助记词,这才是它真正想要的。凡是让你往网站里填助记词的,一律当骗局处理,没有商量余地。后面还会专门讲助记词,但这条太重要,值得说两遍:任何正规网站、App 或个人,都不会需要你的助记词。

提现地址白名单

有个设置能把"全部被盗"变成"有惊无险",那就是提现地址白名单(有的平台叫"地址簿"或"信任地址",开启后只允许向名单内地址提现)。开了以后,账户只能把币提到你事先加进名单的地址。新加的地址通常还要等一段时间才能用,具体多久以你所用平台的页面为准。

从攻击者的角度想一想。假设千防万防,还是有人登进了你的账户。没开白名单,他贴上自己的地址,几秒钟就能把币转空。开了白名单并锁定,他的地址不在名单里,根本提不出去;他要是想新加一个地址,那段等待期又给了你看到提醒、赶紧处理的时间。人进了屋,东西却搬不出门。这个设置除了要你提前规划一下,一分钱不花,保护作用却非常大。

顺手再把两个免费设置开上。一是提现确认邮件,每笔转出都会在邮箱里提醒你。二是如果交易所支持,提现时也要求输入 2FA 验证码,而不只是登录时要。几样叠在一起,要把钱从账户里转走就得过好几道关,攻击者过不去,你也不会漏看。唯一的不便是,你自己要往新地址提币时,得提前把地址加好、等它生效。用这点麻烦换来对最坏情况的防护,很划算。

怎么认出钓鱼、假 App、假客服和假空投

安全设置防的是技术上的硬闯,骗局攻的是人心。骗局不用破解你的密码,它哄你自己把门打开。下面是专找新手的几种套路,以及各自的破绽。更完整的讲解见常见加密骗局识别指南,这里先讲要点。

假 App 和仿冒网站

骗子会做假的交易所和钱包 App,有时还能短暂混进应用商店;也会把仿站架在一个和真网址几乎一样的地址上。你一登录,账号密码就落到了他们手里。怎么防:App 只从官方应用商店下载,仔细核对开发者名称和评价记录;网站靠自己输入网址或用自己的书签打开。别人发来链接引你去的 App 或网站,在你自己核实来源之前,一律当假的看。

假"客服"和冒充身份

你在公开论坛或社群里发了个求助帖,没多久就有热心的"客服"私信你,说要帮你解决。这就是骗子。真客服不会主动私信你,绝不会要你的密码、2FA 验证码或助记词,也绝不会让你把资金转到他们给的"安全钱包"。这套剧本的目的,就是让你一边被洗劫一边觉得自己得救了。怎么防:只通过官方 App 或官网联系客服,凡是主动找上门的"帮助",默认都当成不怀好意。真正的工作人员帮你处理问题,从来用不着你的密码和助记词。

假空投和"转一返二"

你会刷到帖子、视频和广告,说只要往某个地址转点币,就能收回双倍,常常还借着名人的名头,或者搞一场假直播。这种说法一律是骗局,没有例外。算一下就明白:没人会平白把你的钱翻倍,"先转出去才能收到"的机制,钱只会有去无回。同样的道理也适用于另一类空投骗局:让你"连接钱包"、签一笔授权来领代币,你实际授权的,是把钱包搬空的权限。怎么防:绝不为了收到更多而先转出币;不是你自己找到的网站,看不懂的钱包交易一律不签。

钓鱼邮件和"紧急通知"

一条消息说你的账户被锁了、有一笔提现待处理,或者要求你"立即验证",后面附上一个处理链接。点进去就是假登录页。它靠的是制造紧张,人一慌就忘了看地址栏。怎么防:别碰那个链接。自己打开 App 或输入网址,在里面查看账户。真有问题,你在里面就能看到;没问题,你就躲过了一个钩子。这时你设的防钓鱼码,就是一眼认出假邮件的标记。

这些骗局有个共同点:先施压,再递上一条捷径。有人制造紧迫感或兴奋感,顺手给你一个方便点击的链接或地址。放慢速度,不走捷径,用自己的方法去核实,骗局就撑不住了。自己去真网站查看、不被人催着走的人,骗子很难得手。

助记词入门(自己保管币的人必看)

前面讲的内容,不管币放在交易所还是自己的钱包里都适用。这一节是给准备迈下一步、开始自托管的人看的,也就是私钥在你自己掌控的钱包里。如果你目前把币放在交易所,可以先粗略看看,以后再回来细读,刚起步时用不上。想系统了解,可以看我们的加密钱包入门指南,各种类型都讲到了。

创建自托管钱包时,它会给你一组助记词(也叫恢复短语):通常是按固定顺序排列的 12 个或 24 个普通单词。这组词就是你的钱包。谁拿到它,都能在任何设备上把你的钱包恢复出来,瞬间把币全部转走,而且撤不回来。没有"忘记密码",没有客服热线,也没法重置:助记词既是万能钥匙,也是唯一的备份。自托管的本质就是这笔交换:责任全归你,控制权也全归你。

所以保管助记词的规矩很严,最好记牢:

• 离线抄在纸上(或刻在金属板上)。放在私密、防火防潮的地方。也可以备两份,分别存放在两个安全的地方。
• 不要输入任何网站、App 或表单,唯一的例外是在官方钱包软件里恢复你自己的钱包。任何交易所、客服、空投或"钱包验证"页面,都没有正当理由要它。
• 不要拍照,不要存进云笔记或邮件,也不要发进聊天窗口。它一旦碰过联网的地方,就当它已经泄露。
• 不要告诉任何人,包括"客服"。谁有助记词,钱就是谁的。

金额更大时,硬件钱包能再加一道保险:它是一个专用的小设备,私钥离线存在里面,交易也在设备内部签名,所以即使你在日常使用这个钱包,私钥也从不接触联网的电脑。当你持有的金额多到丢了会心疼时,一般就该考虑它了。要买全新的、直接从官方渠道买,不买二手,也不通过电商平台的来路不明链接买,因为被动过手脚的设备,或者附赠一张"预设好"助记词卡片,都是已知的骗局。到手时助记词已经写好的钱包就是陷阱,正品设备会让你自己生成助记词。

手机电脑和网络的安全习惯

登录用的设备不安全,前面做得再好也白搭,所以这里花点功夫很值。都是些老生常谈,和保护网银账户的建议差不多,只是涉及的钱更多,要做得更细一点。

• 系统和 App 及时更新。更新修补的正是恶意软件会利用的安全漏洞。打开自动更新,就不用惦记这件事了。
• 设备要上锁:用强一点的 PIN 码、密码或指纹面容,并设成闲置后很快自动锁屏。一部从不锁屏、账户一直登录着的手机,一旦丢了或被抢,就等于把提现权限拱手送人。
• 装东西要谨慎。浏览器插件和免费 App 能读到你输入和看到的内容。只从信得过的来源装真正需要的,其余的删掉。有种恶意插件会把你复制的钱包地址偷偷换成攻击者的地址,这是真实存在的阴招。
• 不要在公用或借来的电脑上处理敏感操作。图书馆的公用电脑、朋友的笔记本,都可能装着键盘记录程序。凡是跟钱有关的事,用自己的设备。
• 公共 Wi-Fi 默认不可信。随便看看内容没问题;登录金融账户时,优先用手机流量或你自己能管控的网络。对加密做得好的网站来说,这个风险其实被说大了,但它一旦和别的马虎习惯凑在一起,麻烦就来了。

再补一条,专门提醒习惯复制粘贴地址的人:剪贴板劫持木马会盯着你的剪贴板,把你复制的币地址悄悄换成攻击者的。所以每次粘贴地址准备转账时,都要把开头几位和结尾几位跟原地址对一遍。更稳妥的做法是用白名单和地址簿,尽量不去粘贴新地址。先小额测试的习惯(先转一小笔,确认到账后再转剩下的)也能发现这类问题,金额较大的转账花这点成本很值。

"帮你追回被盗币"和其他二次诈骗

这类骗局要单独提醒,因为它专挑人最无助的时候下手。有人被骗或账户被盗之后,第二波骗子就来了,自称"找回服务"或"资金追回专家",说能追踪并追回你被盗的币,当然要先交一笔费用。他们做不到。被盗的币几乎不可能靠这类私人服务追回来,这些人唯一的目的,就是趁你走投无路再坑你一次。FTC 专门就加密骗局以及假冒的追回服务发过警示。如果已经中招,正确的做法是向平台和有关部门报案(见下文),而不是把钱付给一个私信你、说能帮你追回的陌生人。

账户这一头还有个对应的陷阱:假的"账户找回"通知。一封邮件或一个页面说你的账户需要重新验证或找回,再引导你在假表单里"确认"登录信息、2FA 或助记词。这是披着帮忙外衣的钓鱼。真正的账户找回,是你自己在官方 App 或官网里发起的,绝不会通过一条主动发来的消息里的链接进行。拿不准的时候,关掉消息,从自己的书签重新进入。

怀疑账户被盗了怎么办:应急清单

再小心也有失手的时候。如果怀疑账户或钱包出了问题(出现陌生的登录记录、一笔不是你发起的提现,或者你刚意识到之前登录的是个假页面),就要按顺序尽快处理。速度重要,但同样重要的是别慌里慌张再犯第二个错。顺序如下。

交易所账户:

• 先把账户锁住。用一台可信的设备,立刻修改交易所密码。交易所如果有"冻结账户"或"禁止提现"之类的选项,马上用上;很多平台在安全设置里就能暂停账户,只要觉得不对劲就去点。
• 再保住邮箱。邮箱密码也要改,并检查它的安全设置,因为邮箱是所有账户的找回钥匙。如果是邮箱本身被盗了,先处理它再做别的,不然对方会把你的新密码再重置一遍。
• 重新绑定 2FA。解绑旧的验证器,重新绑定一个,防止对方截获过验证码或者你的设备已经中招。
• 排查并撤销。在账户设置里查看当前登录的设备、已创建的 API 密钥和已授权的应用,不认识的一律撤销。再看看提现白名单里有没有你没加过的地址。
• 联系官方客服。只通过 App 或官网上报这件事,他们或许能拦下还在处理中的提现,或者给账户加上风控标记。私信你说要帮忙的人,一个都别理。
• 报案。向当地的消费者保护机构或网络犯罪报案渠道报案;在美国可以向 FTC 举报,网址是 reportfraud.ftc.gov。报案不一定能追回钱,但留下的记录有助于打击这类团伙;如果牵涉到银行,也可能用得上。

自托管钱包(助记词在你手里):

• 尽快转走剩下的币。如果你觉得助记词或设备可能已经暴露,但币还在,就在一台干净的设备上生成一组全新的助记词、创建新钱包,马上把资产转过去。旧钱包从此只能当作不安全的钱包对待。
• 泄露过的助记词不要再用。一组助记词只要可能泄露过,就彻底作废,别再往里转钱。
• 撤销代币授权。如果和恶意网站交互过,用一个口碑可靠的授权检查工具,撤销你给出的所有代币使用权限。这个工具要自己去找,别点别人发来的链接。
• 在区块浏览器里查看损失。把你的地址粘贴进Blockchain.com 区块浏览器这类公开浏览器,就能看清哪些币被转走了。它撤销不了任何交易(没有什么能撤销),但能准确告诉你发生了什么。

最后说一句不太中听的话:在加密世界里,动作快有时能保住还没被转走的币,但已经提走的,现实地讲就是没了,因为链上交易不会回滚。这也正是本文通篇强调预防的原因。开头那几项设置(App 两步验证、独立密码、提现白名单)开起来几乎不费什么事,它们的用处就是把这类事故挡在前面。如果你读到这里还没开,下一步就是去开。

养成不费劲的日常安全习惯

安全不是一次性的苦差事,设好之后,它就是一个几乎感觉不到的小习惯。可以按下面的节奏来,不会成为负担。

一次性设置:交易所和邮箱都开验证器 App 两步验证,把各账户的独立密码存进密码管理器,设好防钓鱼码和提现白名单,并离线保存 2FA 备份密钥。这些做完,大部分工作就完成了。

每次登录或交易:两个条件反射就能兜住剩下的风险:输入任何东西前先看地址栏;转币之前核对收款地址(并先小额测试)。每次只花几秒钟,做多了就成了本能。

遇到不对劲的时候:保持冷静的直觉:先停下,不走捷径,用自己的办法去核实。任何正规的个人或公司,都不会因为你停下来核实一下而为难你。只有骗子才要你赶紧。

对新手来说,需要掌握的真的就这么多。不用成为安全专家,把几件平常事做好,再多一分警惕就行。做到这些,真正让人丢币的那几条路基本就堵上了,你也就能腾出精力,专心做你本来想做的事:用亏得起的钱,慢慢学。准备动手设置时,可以看我们的分步开户指南,里面写了每个设置具体在哪;安全以外的坑,在新手常犯的错误里一并整理好了。

邀请码最高给到 20% 交易手续费减免*;确切费率显示在交易所的注册页面上,可能会变。邀请码绝不会抬高你的手续费。

常见问题

新手最该先做的一项安全设置是什么?

开启验证器 App 两步验证,再给账户用一个存在密码管理器里的独立密码。两样一起,能挡住账户被盗这条最直接的丢币路径。时间不多的话,先把这两件事做了。

短信验证码真的不安全吗?

比完全不开 2FA 强得多,但它是几种方式里最弱的,因为手机号可能被 SIM 卡劫持抢走,验证码就会发到攻击者手上。账户里有钱的话,换成验证器 App 或硬件安全密钥。某个平台如果只支持短信,那就先开着,一有更好的选项就换掉。

正规服务会找我要助记词吗?

不会,任何时候都不会。助记词只在你恢复自己的钱包时,输入你自己的钱包软件。任何找你要它的人、页面、邮件或"客服"对话,都是冲着你的币来的,没有例外。只要有人开口要助记词,就可以断定是骗局。

币放在交易所里安全吗?

如果是还在学习阶段、金额不大的钱,放在一家信誉好、安全设置都开齐了的交易所,既合理又方便。等余额多到丢了会心疼时,不少人会把一部分转到自托管钱包,免得全部押在一家公司身上。这不是非此即彼的选择。无论放哪,2FA、独立密码和白名单这几个习惯都照样要做。

提现白名单真的有用吗?

非常有用。提现只能转到你事先加入名单的地址,就算有人登进了你的账户,也没法把币转到他自己的钱包;他想加新地址,等待期又给了你发现的时间。这是花力气最少、作用最大的设置之一。

被骗了,找"追回服务"能把币要回来吗?

基本不可能。那些要先交钱的"追回服务",本身就是专找受害者下手的骗局。链上交易撤不回来,被盗的币很难追回。该做的是向平台和有关部门报案(在美国可向 FTC 举报),千万别把钱付给说能帮你追回资金的陌生人。

相关指南

• 如何识别加密骗局:那些危险信号
• 加密钱包详解:托管、热与冷
• 新手第一次买币全流程
• 开一个币安账户:分步版
• 新手常犯的错(以及怎么避开)
• 现货 vs 合约:为什么新手守着现货