多数被盗案例复盘到最后，问题都不在「攻击太高级」，而在账户刚建立的那几天里，几个本可以十分钟设置完的开关没人去动。这一篇以欧易 OKX 为例，把新注册账户第一周建议完成的安全动作排成一个顺序。所有功能均以平台帮助文档与账户内实际显示为准，不同地区与产品线可用的功能可能不同；本文只讨论安全设置，不涉及任何产品或交易推荐。
顺序从最基础也最容易被敷衍的一步开始：一个从未在其他网站使用过的独立密码。新账户注册习惯上会用邮箱或手机号加验证码完成，这一步本身是安全的，但要清醒：验证码注册降低了门槛，也意味着你的账户安全此刻几乎完全押在「收验证码的那个邮箱或手机」上。所以第一步的实质是给账户换一个不依赖单通道的门——设置登录密码，密码进密码管理器而不是浏览器自动填充常驻。
第二步开启验证器（虚拟 MFA）。OKX 帮助文档说明，启用验证器后，提币和修改账户安全设置等操作都要求验证器确认码，这一步把「拿到密码也进不去」变成默认状态。设置过程注意两件事：恢复密钥要按官方提示抄到离线介质上，而不是截图存进相册；绑定成功前不要清理旧设备的验证器数据。第三步绑定手机号并开启手机验证，用于提币、改密等敏感操作的二次确认。到这里，常规三件套——密码、验证器、手机——就位。
第四步是很多人直到收到假邮件才想起来的功能：防钓鱼码。按其帮助文档描述，你在应用菜单的安全设置里设定一个自定义字符串后，平台发出的邮件会带上这个字符串；设置过却在邮件里看不到它，即可判定为伪造邮件。这是少数「设置一次、永久自动生效」的防护，成本几乎为零，适合放在第一周清单里。同阶段顺手做一件反向核验：平台官方提醒过，客服不会以任何方式向你索要短信、邮件或验证器验证码——把这句话当成一面镜子，凡是来要码的，无论报出什么工号，都不需要再核实身份，那本身就是攻击。
第五步做减法清点：登录设备列表里有没有不属于自己的设备；有没有创建过用途不明的 API 密钥；注册邮箱是否开了两步验证——交易所账户的安全上限往往不是平台功能决定的，而是注册邮箱的强度决定的，因为多数找回流程都以邮箱为起点。第六步把两端各自走一遍：手机端确认系统商店里 App 的来源与更新通道正常，通知里能看到安全事件推送；网页端则把自己手动核对过字符的官方域名存为书签，形成「只用书签、不点搜索」的登录肌肉记忆。两端设置项目录在账户层是同步的，但入口路径与推送形态不同，任何一端发现功能缺失先换另一端确认，再查帮助文档，不要凭记忆断定「平台没这个功能」。
最后给第一周排一个收尾动作：把恢复密钥、防钓鱼码的设置记录、绑定过的手机号与邮箱列一份离线清单，放在你处理助记词同级的介质上；设一个季度提醒，检查设备会话、API 密钥与订阅的验证方式是否还和今天的你匹配。新账户的安全窗口期其实只有注册后的头几天——攻击者对「刚注册、验证层没建全、急着充值」的账户有成熟的扫描习惯。与其说这一周是在防某个具体的攻击者，不如说是给自己买一个默认状态：此后所有异常都要同时越过密码、验证器和手机三把锁才能得手，而你要维护的，只是别让这三把锁重新变回一把。
发表评论
还没有评论，来说两句吧。
评论区为展示样式，提交不会被处理。