中心化交易所注册与账户安全设置

注册之前先确认平台和域名。选 CEX 看四点：一、合规资质，官网底部一般有「合规 / Legal / Licenses」页，能查到美国 MSB、香港 VASP、新加坡 MAS、欧洲 MiCA 等牌照信息；二、流动性与提现记录，主流币挂单深度大、历史上没有长时间暂停提现；三、运营年限，优先选择成立 5 年以上、没有重大被盗或挤兑事件的平台；四、地区限制，确认你所在地区不在受限名单里，否则注册后可能被清退。

识别钓鱼站的四个动作：核对域名拼写（常见手法是 binance → blnance、okx → 0kx，用数字 0 或字母 l 替换）；只从官方蓝色认证的 X（Twitter）账号、官方公告页或手机应用商店的开发者名称进入；手动输入域名或使用已收藏的官方书签；在任何页面要求输入助记词、私钥的，一定是假站。

点击官网右上角「注册 / Sign Up」，选择邮箱注册（比手机号注册更便于长期使用和找回）。核心原则：用一个独立的邮箱专门注册交易所，不要用你的主工作邮箱，更不要和社交账号、网购账号共用。

原因是一旦邮箱被撞库或泄露，攻击者能通过「忘记密码」流程直接接管交易所账户；独立邮箱可以把风险隔离在单个平台内。强密码要求：至少 12 位，包含大小写字母、数字和符号，且不与任何其他网站重复，用密码管理器（1Password、Bitwarden）生成并保存。

不要用 QQ 邮箱那种「名字 + 生日 + 123」的弱密码习惯，这类组合已被收录进撞库字典。注册时若邀请码栏可留空，建议留空以避开返佣绑定。

注册后进入「身份认证 / Identity Verification / KYC」。准备材料：身份证（大多数地区可用）或护照（跨境平台常用，接受度更高），以及一台摄像头清晰的手机。

流程一般是三步：填写真实姓名与证件号 → 上传证件正反面照片 → 人脸识别活体检测。拍摄要点：证件平铺在纯色桌面、避免反光与手指遮挡、四个边角完整入框；人脸检测时找光线均匀的环境（正对窗户或室内灯，避免背光造成剪影），摘下口罩帽子眼镜，按提示做眨眼、转头动作，动作放慢一点、别抖。

姓名必须与你的证件、银行卡完全一致，否则后续提现到银行卡会被驳回。审核时间通常几分钟到 24 小时，通过后平台上会显示「已认证 / Verified」等级徽章。

进入「安全设置 / Security」，找到「两步验证 / 2FA」。可选方式对比： | 方式 | 安全性 | 说明 | | --- | --- | --- | | 谷歌验证器 / Authy | 高（推荐） | 离线生成 6 位动态码，不依赖运营商 | | 短信验证码 | 低 | 存在 SIM 卡劫持与补卡风险 | | 邮箱验证码 | 低 | 邮箱被攻破即失效 | | 硬件密钥 / Passkey | 最高 | 支持时优先开启 | 强烈推荐谷歌验证器（Google Authenticator）或 Authy，不要只依赖短信验证码：攻击者可以通过社工运营商「补办 SIM 卡」拦截你的短信，这叫 SIM 卡劫持，一旦成功，短信 2FA 形同虚设。

绑定流程：平台展示二维码 → 在验证器 App 里点「+」扫描 → App 生成 6 位动态码 → 回填平台校验。建议同时在两台设备上绑定（如手机 + 平板），避免手机损坏无法登录。

绑定 2FA 后，平台会给你一个 2FA 恢复码（Backup Codes），验证器 App 里也会有一个 密钥（Secret Key / 一串 16-32 位字母数字）。

这两样东西是你在「手机丢失、换机、重装 App、验证器数据被清空」后唯一的救命稻草，必须立刻备份。做法：一、离线手抄在纸上，与证件分开放置；二、用密码管理器保存一份加密副本；三、有条件可以打印后放进保险柜或银行保管箱。

绝对不要截图存相册、发到微信/邮箱给自己、存到网盘明文记事本里——这三种是攻击者最先翻的地方。恢复码通常是一次性使用的，用掉一个划掉一个，剩最后两个时要重新生成一批。

在「安全设置」里找到「反钓鱼码 / Anti-Phishing Code / 防钓鱼码」。设置一个只有你自己知道的短词（例如 4-8 位的自定义字符串），保存后，平台发给你的所有真实邮件都会在正文或标题里带上这串码。

以后收到「交易所」邮件时，先找这串码：没有反钓鱼码的邮件，一律视为伪造邮件，直接删除。这能有效拦截伪装成「账户异常登录」「提现审核」「活动奖励」的钓鱼邮件，这类邮件通常带一个假登录页链接，目的就是套走你的账号密码和 2FA 动态码。

设置反钓鱼码是零成本、收益极高的一步，几分钟就能完成，务必不要跳过。

在「安全设置 / 提现设置」里开启「提现地址白名单 / Address Whitelist / Withdrawal Address Management」。开启后，你的账户只能向白名单里已登记的地址提币，任何新地址都必须先添加，且平台会强制一段等待期（常见 12-48 小时，部分平台 7 天）才生效，期间通常还会发邮件和 App 推送通知。

这段时间正是用来发现「账户被盗」的黄金窗口：即使攻击者拿到了你的密码和 2FA，把币提到他自己的地址，也要等过等待期，你收到提醒后可以立刻冻结账户、修改密码并联系客服拦截。设置时注意：添加地址要选对网络（同一地址在不同链上完全不同），建议按币种分别登记；白名单里的地址标签写清楚用途（如「冷钱包 1」「OKX 充值」）。

在「安全设置 / 设备管理 / Devices」里检查三件事：一、登录设备列表，逐条核对设备型号、登录时间、IP 归属地，看到不认识的城市或设备立刻「移除 / 登出」，并顺手修改密码；二、登录提醒，打开邮件和 App 推送，让每次新设备登录都有通知；三、提现和改密码提醒，同样全部打开。

平时养成习惯：定期（比如每月）看一次设备列表和「登录历史 / Login History」；发现异常登录记录后，处理顺序是「改密码 → 重置 2FA → 检查提现白名单是否被改动 → 检查 API 密钥是否被新增」。另外，不要在公共电脑、网吧、他人手机上登录交易所，公共网络下谨慎使用，必要时用可信的手机流量。

如果你要用行情工具、记账软件或量化脚本，会创建 API Key。原则只有一条：最小权限。创建时逐项设置：一、权限只勾「读取 / Read」，绝不勾「提现 / Withdraw」，需要交易的程序再单独建一个只勾「现货交易」的 Key，并与资金账户隔离；二、绑定 IP 白名单，只允许你服务器或家宽的公网 IP 调用；三、设置到期时间，避免长期有效；四、启用「仅现货 / 禁用杠杆与划转」等限制项。

API Key 一旦泄露，攻击者可以绕过网页登录和 2FA 直接调用接口，所以「不勾提现权限」是最关键的一刀。生成后立刻保存 Secret（只显示一次），不要把 Key 明文写进脚本提交到 GitHub，用环境变量或密钥管理服务。

不用时直接删除 Key。