双重验证（2FA）
为账户开启基于时间的一次性密码（TOTP）或硬件密钥，避免仅凭密码即可登录。短信验证易受 SIM 劫持影响，应作为备选而非唯一手段。
features.list --security
核心安全要点
防钓鱼识别
核对域名拼写、检查 HTTPS 证书、收藏官方入口。钓鱼站常通过搜索引擎广告与仿冒邮件投放，任何要求输入助记词或私钥的页面都应立即关闭。
资金分散存储
交易所仅保留交易所需资金，长期持有的资产转入自托管钱包或冷钱包。分散在不同钱包与地址中，降低单点失效带来的全部损失风险。
提币白名单
启用提币地址白名单与延时到账，新增地址需二次确认。即使账号被控制，攻击者也无法立即将资产转往陌生地址。
设备与环境管理
定期清理登录设备授权，避免在公共 Wi-Fi 下操作大额转账。为交易专用设备设置独立系统账户与磁盘加密。
API 密钥最小权限
创建 API 密钥时仅勾选必要权限，禁止开启提币权限，并绑定 IP 白名单。定期轮换密钥，废弃密钥及时删除。
workflow.run --step-by-step
从零开始的安全配置流程
-
注册与身份验证
使用独立邮箱注册，邮箱本身同样开启双重验证。完成实名认证后立即设置资金密码，且与登录密码完全不同。
-
绑定 TOTP 验证器
在安全设置中启用 Google Authenticator 或同类 TOTP 工具，扫描二维码后妥善保存恢复密钥。切勿将恢复密钥截图存放在联网设备相册中。
-
启用提币白名单与延时
开启地址白名单功能，新增地址后等待平台规定的冷却时间。将提币延时设为可接受范围，为异常操作留出人工干预窗口。
-
配置登录与操作通知
开启异地登录、密码修改、提币申请等关键动作的邮件与 App 推送通知，确保异常行为能在数分钟内被发现。
-
资金分层与分散
将资产划分为交易仓、储备仓与冷存储三层。交易仓仅保留短期操作资金，储备仓使用自托管钱包，冷存储保持离线并做好助记词备份。
-
定期安全审计
每月检查一次登录设备、API 密钥、白名单地址与授权应用，撤销不再使用的权限，更新密码与恢复密钥备份位置。
cat ./security_config.sh
终端式安全配置参考
security_config.sh — 只读示例
UTF-8 · LF
# 交易所账户安全基线配置（示例）
export EXCHANGE_2FA="totp" # 启用 TOTP 双重验证
export WITHDRAW_WHITELIST="on" # 提币地址白名单
export WITHDRAW_DELAY="3600" # 延时到账（秒）
export API_WITHDRAW_SCOPE="off"# 禁止 API 提币权限
export API_IP_WHITELIST="enabled" # API IP 白名单
export LOGIN_ALERT="email,push" # 登录通知渠道
export COLD_STORAGE_RATIO="0.7" # 冷存储资金占比
audit_security() {
echo "[*] 检查双重验证状态..."
echo "[*] 校验提币白名单..."
echo "[*] 检查 API 密钥权限..."
echo "[OK] 安全基线校验通过"
}
audit_security
analyze --threat-model
常见威胁模型与防范要点
钓鱼邮件与仿冒域名
攻击者常仿冒官方邮件，要求点击链接「验证账户」或「解除风控」。请始终手动输入官方域名，或从收藏夹进入，不点击邮件中的任何链接。正规平台不会索要密码、验证码或助记词。
SIM 卡劫持
短信验证码可能通过运营商侧攻击被截获。对高价值账户，应优先使用 TOTP 或硬件安全密钥，并将短信验证仅作为辅助手段，避免其成为唯一验证通道。
恶意浏览器插件
部分插件会读取页面内容并篡改钱包地址。建议为交易操作使用干净的浏览器配置文件，仅安装必要扩展，并定期审查插件权限。
假客服与社群诈骗
任何主动联系你、要求远程协助或索要验证码的「客服」都应视为诈骗。官方客服不会主动私信，也不会要求你安装远程控制软件。
剪贴板劫持
转账前务必核对钱包地址的前六位与后六位，避免整段复制粘贴时被恶意程序替换。大额转账建议先小额试转确认。
账户共享风险
不要与他人共享账户或验证器。多人共用账户会破坏审计链路，一旦出现纠纷或被盗，责任与取证都将变得困难。
tail -n 4 ./user_reviews.log
用户真实评价
★★★★★
按照指南开启了 TOTP 和提币白名单，之前一直担心账号被盗，现在操作起来安心很多。步骤写得很清楚，照着做就行。
@coldwallet_lin · 长期持有用户
★★★★★
资金分层存储这一节对我帮助最大，把大部分资产转到自托管钱包后，交易所里只留交易资金，心理压力小了不少。
@quant_shen · 量化交易者
★★★★☆
防钓鱼部分讲得很细，尤其是核对域名和证书。我确实收到过仿冒邮件，现在知道怎么识别了。希望能再多一些 API 权限的示例。
@dev_node_07 · 开发者
★★★★★
作为新手，最怕的就是点错链接。指南里「手动输入域名、收藏官方入口」这两条我直接贴在便签上，简单有效。
@newbie_chen · 入门用户
whoami --team
作者与安全团队
林 昭
安全负责人 / SECURITY_LEAD
十年金融风控经验，负责交易所账户安全策略与应急响应流程设计。
陈 默
安全工程师 / SEC_ENGINEER
专注 API 权限模型与密钥管理，负责编写本指南中的技术配置示例。
周 宁
风控运营 / RISK_OPS
负责异常登录监测与提币审核，长期跟踪钓鱼与社群诈骗的最新手法。
苏 禾
内容编辑 / DOC_EDITOR
将复杂的安全概念转化为可执行的步骤，确保指南对新手同样友好。
ls ./partners/
合作品牌与机构
CIPHER LABS
KEYVAULT SEC
NODEGUARD
TRUSTCHAIN
BLOCKSAFE
ZERO TRACE
AUDIT NEXUS
HASHWATCH
man security --faq
常见问题解答
双重验证一定要用验证器而不是短信吗？
建议优先使用 TOTP 验证器或硬件安全密钥。短信验证码可能因 SIM 卡劫持或运营商漏洞被截获，安全性相对较低。若平台仅支持短信，应同时开启提币白名单与延时到账作为补充防护。
如何判断一个网址是不是钓鱼站？
首先核对域名拼写，注意形近字符替换（如把数字 0 写成字母 o）。其次检查浏览器地址栏的锁形图标与证书颁发机构。最后，任何要求输入助记词、私钥或完整登录密码的页面都应立即关闭，并通过官方入口重新访问。
资金分散存储具体应该怎么分配？
可按用途分为三层：交易仓（占 10%–30%，放在交易所用于日常操作）、储备仓（放在自托管热钱包，便于快速调拨）、冷存储（离线保存，占大部分长期资产）。比例可根据个人交易频率调整，核心原则是交易所内只保留必要资金。
API 密钥被泄露会有什么后果？
若密钥开启了提币权限，攻击者可能直接转走资产。因此创建密钥时应禁止提币权限，仅授予读取与交易权限，并绑定 IP 白名单。发现泄露后应立即删除密钥并检查近期交易记录与提币申请。
收到「账户异常」的邮件或电话该怎么办？
不要点击邮件中的链接，也不要按电话指示操作。请手动输入官方域名登录账户，在站内消息中心核实是否存在真实通知。官方客服不会主动索要验证码、密码或助记词，也不会要求安装远程控制软件。
tail -f ./news.log --last-7-days