先看结论
邮箱、交易所和密码管理器使用不同密码。
启用防钓鱼码与提币地址白名单。
独立密码 · 验证器 · 检查转发规则
验证器或安全密钥 · 离线恢复码
地址白名单 · 新地址等待期 · 通知
API 最小权限 · 关闭提现 · 限制 IP
注册当天完成
开启验证器或硬件密钥、保存离线恢复码、设置防钓鱼码、检查登录设备并开启提币通知。
每月检查
删除不再使用的 API Key、设备和授权应用；确认白名单地址仍属于自己；检查邮箱转发规则是否异常。
先保护邮箱，再保护交易所
邮箱往往用于重置交易所密码，因此应使用独立强密码、验证器或安全密钥，并检查恢复邮箱、手机号和转发规则。邮箱与交易所复用密码，会让一次泄露同时击穿两层账户。
密码管理器可以生成并保存独立密码。恢复码离线保存，不放在与账户同时登录的聊天、邮箱草稿或公开云盘中。
减少提现和 API 风险
启用提币地址白名单、新地址等待期、防钓鱼码和登录通知；添加地址时先小额测试并给地址写清网络备注。定期删除不再使用的设备、授权应用和 API Key。
API Key 只开放策略真正需要的权限，默认关闭提现权限，并限制可信 IP。发现异常登录、邮箱规则或未知 API 后，先冻结账户和撤销权限，再联系官方支持。
每月查看最近登录、提现地址和安全通知，确认没有陌生设备或规则变化。更换手机、邮箱或验证器前先保存恢复方式，并预留可能的提现冷静期。
FAQ
短信验证够安全吗？
短信比没有二次验证好，但更容易受换卡攻击。可用时优先验证器或硬件密钥。
短信和验证器应该同时开吗？
按平台支持配置多因素验证，但重要操作优先使用验证器、通行密钥或硬件安全密钥，并保护手机号免受换卡攻击。
提币白名单会不会影响紧急转账？
可能。新增地址常有等待期，但这正是降低账户被盗后快速转出的保护。提前维护常用可信地址。
API Key 需要单独检查吗？
需要，优先级不低于密码。API Key 是绕开界面直接操作账户的通道，被泄露时不会触发登录提醒。应定期检查现有 Key 的权限，关闭用不到的提现权限，并限制来源 IP。
资料来源与核验
优先引用协议、网络和交易所官方说明。外部页面可能更新，涉及费用与账户状态时仍以登录后的最终确认页为准。