假 KYC 与假合规通知：仿冒交易所实名认证的识别与补救

这封通知，长得像谁

“您的账户需完成安全认证，逾期未认证将限制提现”“配合监管要求，请重新提交身份证件完成合规升级”“账户存在异常，请点击链接解除风控”——这三类话术的共同点，是都借用了你最熟悉的一个流程：交易所的实名认证（KYC）与账户安全设置。对很多用户来说，注册时确实做过证件上传、人脸核验，这份“似曾相识”正是骗局的通行证。

需要先把事实摆正：正规交易所的 KYC 是在注册或提升权限时，在官方 App 或官网登录后的账户页面内完成的。监管要求以牌照和地区规则为准，平台不会因为“某封邮件”要求你在邮件链接里重新提交证件。凡是脱离登录状态、靠站外链接或客服私聊发起的“二次认证”“合规升级”，默认都应按钓鱼处理。

假认证页面的取证点

这类页面的作案目标不只是你的账号密码，而是一整套身份包：登录凭据、短信验证码、证件照片正反面、人脸识别视频。证件照和活体视频的危害比密码更持久——密码可以改，证件照一旦落入黑产，会被用于注册其他平台的账户、冒名申请服务，甚至反过来社工你的通信与金融渠道。因此识别它要比防普通钓鱼更严格：

1. 入口核验：不点任何通知里的链接。手动打开官方 App 或输入官网域名登录后，到消息中心、站内信或账户安全页查有没有这条通知。站内没有记录，站外通知就是伪造的。
2. 域名逐字核对：仿冒域名的常见构造是替换一个字母、加前后缀、换后缀。判断标准只有一个——和你长期手动访问的官方域名逐字符一致，而不是“看起来差不多”。
3. 流程体感核验：真实 KYC 上传在登录态内完成，不会通过社交软件私聊收件，不会通过会议共享屏幕指导，更不会索要短信或验证器里的六位数字。任何一步要求你“把验证码发我帮你核验”，即刻中止。
4. 话术压力测试：正规通知可以有截止时间，但不会以“不认证立即归零/永久冻结”威胁你跳过正常渠道。紧迫感越强，越要回到第 1 步自己查证。

如果已经填了一部分

按泄露程度分情况处置：只点了链接没输入任何信息，关掉页面、检查设备上是否有异常的浏览器扩展或配置文件即可。提交了账号密码，立即改密码、撤销所有设备的登录会话、复核两步验证方式没被替换、检查 API 密钥和提币地址白名单有没有被动过。提交了证件照或人脸视频，除了上述账户动作，还应意识到身份材料本身已泄露：开启交易所的提币冷静期或白名单功能、对重要平台启用更严格的登录保护，未来遇到“要求手持证件照”的陌生流程一律从严拒绝，并保留本次记录以备将来身份被冒用时的说明。

一条长期习惯

给自己定一条铁律——任何 KYC、绑卡、改安全设置，只在手动打开的官方 App 内完成，页面从哪封邮件来都不重要。这条习惯的价值在于，它把“这条通知是真是假”这个每次都要现场判断的难题，替换成了一次性的、不需要判断的行为规范。对付仿真度越来越高的仿冒页面，最可靠的防线从来不是更强的眼力，而是根本不给自己眼力失手的机会。

同样值得固化的是通知核对习惯：收到任何“账户异常”类消息，先假设它可以伪造，用自己登录后的站内消息中心做对照——真通知在站内一定有副本，只有站外渠道出现的“紧急通知”可以直接判死刑。这一招对所有冒牌客服、假活动、假空投同样有效，练成肌肉记忆之后，几乎不再需要临场分析。