安币安全防护：实名认证场景下的验证与白名单，附示例说明

设备与登录管理

• 登录设备列表要定期看。发现不认识的设备或地理位置，立即下线并改密码。很多人被盗后回看，才发现异常登录记录早就出现过，只是没注意。
• 开启新设备登录提醒。有人在新设备上登录时你会收到通知，这是发现问题最快的渠道。
• 公共设备用完要退出登录，不要只关页面。浏览器会话可能仍然有效，下一个人打开就能直接进入。

出事后的处置顺序

1. 发现异常登录时，顺序是：先改密码，再改二次验证，然后检查提币地址白名单，最后看有没有新增的 API 密钥。顺序错了会给对方留操作窗口。
2. 如果资产已经被转走，立即联系平台提交工单，同时保留所有聊天记录、转账哈希、对方联系方式。链上转账不可逆，追回的可能性取决于是否及时冻结。
3. API 密钥如果泄露，第一时间删除。有的密钥带提币权限，泄露后对方不需要登录你的账户就能转走资产。
4. 怀疑设备中木马时，不要在原设备上改密码。换一台干净设备操作，否则新密码同样会被记录。

常见的几种攻击手法

• 假客服是最常见的入口。对方能准确说出你的账户信息，然后以「账户异常」「需要验证」为由索要验证码或让你远程共享屏幕。记住一点：任何索要验证码的人都是骗子，包括自称客服的。
• 假站点的做法是做一个几乎一样的登录页，你输入账号密码后跳转到真站，让你以为只是登录慢。防范方法只有一条：从自己的收藏或手动输入进入，不点搜索结果和私聊里的链接。
• 「空投」「解冻」「升级」类链接是钓鱼重灾区。这类页面会要求你连接钱包或输入助记词，一旦输入，资产会被立即转走。助记词任何情况下都不能给任何人。
• 远程协助类软件要格外警惕。对方让你装一个「客服工具」并共享屏幕，实际上是在看你的验证码和密码。正规平台不会要求你这么做。

几条实用提醒

• 收到「账户涉及洗钱需要配合调查」这类通知，先通过官方入口核实，不要在通知里给的链接上操作。

三层防护怎么建

• 第一层是登录密码。要求不高但很关键：长度够、不复用、不用个人信息。密码复用是最常见的问题，一个不相关的网站泄露，撞库就能撞到你的交易账户。
• 第二层是二次验证。优先用验证器 App 生成的动态码，而不是短信。短信可以被补卡、被拦截、被社工，验证器只在你手上的设备里，攻击面小得多。
• 第三层是资金密码。它独立于登录密码，用于提币和划转。设置之后，即使有人进了你的账户，没有资金密码也动不了资产。