被烦躁点掉的那二十次批准：认证疲劳攻击的信号与处置

吃个晚饭的工夫，手机连着弹出好几条”登录确认：有人正在从陌生城市尝试登录您的账号，是您本人吗？“你没有登录，但被弹窗骚扰得不行，点了十几次”不是我”之后，第二十一次手指一滑，点了”批准”。对拿你密码的人来说，等的就是这第二十一下。

机制：把你的烦躁当武器

攻击者先用撞库或数据泄露拿到你的口令，然后不断发起登录。如果你的第二步验证是”推送点按批准”型，登录请求就会变成轰炸，攻击者等的不是你同意，而是你不耐烦、误点、或者顺手划错的那一下。有的还会在请求里夹一句”不是我操作的请点击拒绝”，诱导你反向点错。这类手法常被称作认证疲劳或推送轰炸，它的本质是把验证码从守门员变成了软肋：验证通道还在正常工作，只是被用到了你身上最脆弱的时刻。

常见信号

没有操作却收到登录确认；提醒短信或推送在短时间密集出现；提示里出现陌生的地区、设备名；邮箱同时收到失败尝试通知。只要出现”你什么都没做却有验证请求”，就应当按凭证已经泄露来处置，而不是当成平台故障。

三个错误动作与正确顺序

错误一，随手点任何一个按钮——点”批准”是开门，点”拒绝”也在向对方报告”这个账号有人、有反应”，两种点击都在泄露信息。错误二，图省事暂时关掉两步验证，等于拆掉门再找攻击者理论。错误三，先站在原地等官方客服——错过的是处置窗口。正确顺序：第一步，不理会任何弹窗，立即用另一台可信设备登录并修改账户口令，让攻击者手里的旧口令失效；第二步，检查账号的登录设备列表、API 密钥、提币地址白名单和绑定的第三方应用，撤销全部可疑会话；第三步，把异常登录的时间与设备信息记录下来，通过官方渠道反馈。

交易所与钱包的差别

不同平台对”第二次验证”的实现差别很大：有的是短信验证码，有的是验证器动态码，有的才是这种”点按批准”推送。防御重点要放在承担资金进出职责的账号上——优先给交易所账号和邮箱升级验证结构，邮箱是所有账号的”总钥匙”，它的推送确认被轰炸时更应当冷静处理。如果平台提供”登录保护 PIN 码”或”提币白名单”类功能，开启它们能把”即使验证被点穿也走不出资金”变成现实。

换更稳的验证结构

如果平台支持带数字核对的确认推送（登录页显示一个数字，你要在 App 里手动输入相同数字才能批准），应当开启，它几乎天然免疫疲劳攻击；如果”点按批准”无法关闭，至少给账号叠加另一个独立的验证因子，并让提现这类操作保持独立通道。验证码应用产生的动态口令应存放在受保护的备份里，防止迁移或换机时被迫降级到验证更弱的方式。

把节奏写进日历，而不是心情

疲劳攻击利用的是情绪，对抗它最好的武器是预设流程：给自己定一条规则——“任何时候收到我没有主动发起的验证请求，第一步永远是改口令，不看弹窗”。规则写下来贴在显示器边，比任何临场判断都可靠。同时检查邮箱的安全通知设置，把登录异常提醒打开，让邮箱先于推送给你信号；如果邮箱本身不支持推送确认，就优先给邮箱换用验证器动态码。账号安全的目标不是”永远不被攻击”，而是让攻击者每一次尝试都在消耗成本、每一次尝试都给你留下证据。

风险提示：账号安全没有绝对方案，本文只提供识别与处置顺序；任何平台的具体功能以其官方说明为准，本文不构成投资建议。