假设明天有人在暗网挂出一批新泄露数据，里面有五年前某个小众论坛的账号表——用这个论坛账号注册过交易所的人，接下来一周收到异常登录尝试的概率会突然升高。这不是危言：绝大多数账户被盗不是密码被“破解”，而是同一串邮箱加密码在别处泄露后，被人拿着逐个网站试开，术语叫凭据填充，圈内俗称撞库。本文讲这条链怎么运转，以及普通用户能建立的四层防御。
一、撞库为什么值得攻击者花时间
用户在论坛、工具站、小游戏上注册的邮箱密码组合，极少人会单独设置；而加密交易所因为直接连着资产，成为试密码的高价值目标。攻击者不需要针对你——他们拿着泄露库批量尝试，撞开一个算一个。这意味着你的风险敞口等于你所有注册过的网站里最弱那一个的平方：泄露一次，等于向全网广播了你这串邮箱和这串密码。理解这一点，就能理解为什么“每个站同一个密码”是加密用户最贵的一次便利。
二、第一层：查一查自己已经在不在库里
有公开的泄露数据库查询服务（例如 Have I Been Pwned 这类由安全研究者维护的站点），输入邮箱可以看到它出现在哪些已公开的事件里；部分密码管理器也内置了常用密码泄露检查功能。查询本身的隐私顾虑可以用它们提供的模糊查询模式缓解（以各服务官方说明为准）。查完不必恐慌：出现在泄露库里只说明“该组合已被公开”，不等于账户已被盗——它给你的是一次提前换码的窗口，而不是判决书。重点看两件事：泄露事件里包含的是不是邮箱加密码（有些只有邮箱或昵称），以及该邮箱是否被用在任何能触达资产的服务上。
三、第二层：分级换码的节奏
不必一夜之间改掉所有密码，按接触资产的距离分级：第一级是交易所、邮箱主账户、密码管理器本身，这三类一旦出现在任何泄露记录里，当天就改，改完顺手把“已登录设备”巡检一遍；第二级是能查到身份信息、绑定过手机号的中间层站点（云盘、社交、招聘），两周内换完；第三级是其余所有，慢慢来。改密码时避免“旧密码加个年份”的变体——撞库工具会测试这类模式。真正的解法是第三层。
四、第三、四层：密码管理器与邮箱分层
第三层是每站一串随机密码，交给密码管理器保管，你只记主密码，从此任何单站泄露都无法移植到其他站；配合浏览器扩展自动填充，还能顺带防住高仿钓鱼页（假站上自动填充不会触发，这本身就是警报）。第四层是注册分层：交易所与重要服务用主邮箱，论坛、空投页、工具站这类必然泄露的场合用别名地址或一次性转发地址（苹果隐藏邮件地址、各邮箱厂商的别名功能，或开源的邮箱转发方案，以对应服务官方说明为准）。这样主邮箱出现在泄露库里的频率趋近于零，而泄露监测的告警也更有意义。
五、一个容易忽略的收尾
换完密码不等于事件结束。泄露库里的旧密码会被永久存档，意味着“用旧密码找回”相关的一切历史安全问题、旧绑定手机都要一并检视；任何站点如果提供“退出所有设备”选项，换码时执行一次。最后把泄露监测设成常驻：部分密码管理器与邮箱服务支持泄露告警，开启它，下次你的邮箱进库时会收到通知，而不是从交易所的异地登录短信里反推。
风险提示：密码与账户操作涉及资产安全，本文只提供通用防护建议，不构成投资建议或买卖建议。
发表评论
还没有评论，来说两句吧。
评论区为展示样式，提交不会被处理。