先保护能重置账户的邮箱
第一步：给绑定邮箱换一个独立密码，开上它自己的两步验证。攻击者控制邮箱后，可能拦截通知或尝试重置账户；手机号也被转走的话，只靠短信验证就守不住了。邮箱和密码弄好，再依次过验证方式、设备会话、提币地址与 API 权限。顺序大体参照 Binance Academy 的账户安全七个步骤，具体开哪项，看你安全页里实际提供了什么。
每完成一项，回头看一眼自己还剩几条恢复方式；恢复方式开得太多，自己反而管不过来。邮箱那边别漏掉自动转发规则。这东西不一定在收件箱里留痕迹。纸质或加密的离线备份放在自己够得着的地方。别顺手拍张照传进普通相册。
| 层级 | 主要防什么 | 常见薄弱点 |
|---|---|---|
| 唯一密码 | 其他网站泄露后撞库 | 重复使用、聊天中发送 |
| 邮箱安全 | 重置链路被接管 | 邮箱没有独立 2FA |
| 验证器 / Passkey | 只有密码的未授权登录 | 恢复码与设备放在一起 |
| 设备与会话 | 旧设备持续访问 | 长期不检查登录记录 |
| 地址白名单 | 资产被转到新地址 | 白名单本身未严格验证 |
| API 权限 | 密钥被滥用 | 无 IP 限制、长期闲置 |
密码：唯一、够长、不进任何聊天框
让密码管理器生成独立的长密码。别复用邮箱或其他网站的密码，也别把密码填进聊天里的“客服表单”。
怀疑设备中毒？换一台可信设备去处理邮箱和账户。别在原设备上反复改密码，新的输入也可能被记录。改完安全设置，平台通常会暂时限制提币这类敏感操作。这是平台的保护措施，别去找绕过办法。
短信、验证器、Passkey，到底该开哪个？
第二因素管的是密码泄露之后那一步：还得有另一种凭据才能过验证。短信可作为账户提供的一种验证方式，但仍有 SIM 卡换绑、短信转发和号码被他人接管的风险。验证器应用生成的一次性验证码不走短信通道。Passkey 靠设备安全模块、生物识别或系统解锁完成验证，能降低传统钓鱼窃取登录凭据的风险。
按账户支持的方式准备独立的备用验证或恢复方法，避免一台设备损坏后失去所有入口。新增 Passkey 时给设备起个自己认得出的名字。删掉某台设备之前，先确认还剩别的登录和恢复方式。导出验证器、抄恢复密钥的时候，看一眼屏幕共享和录屏关了没有。
绑定邮箱要单独加一把锁
邮箱的密码没变，也可能被人读过。除了独立密码和两步验证，还要查自动转发规则、恢复邮箱、登录设备及第三方授权。
看到“立即解冻”“确认异常提款”这类内容，先把邮件关掉。打开自己装好的官方 App，或者手敲一遍已知域名。再去账户通知里找同一件事。反钓鱼码能提供一条核对线索，正确的码也不能证明整封邮件安全。但域名、页面和账户内记录这三层，它替代不了。
设备清单和提币白名单，每月扫一眼
翻一遍已登录设备、IP 和会话记录。不再用的、认不出来的，删掉。设备名称和位置只是线索，移动网络和代理都会改变显示的归属地。真觉得不对劲，就把时间、操作记录和安全通知摆在一起看。
白名单能把资产限制在预先批准的地址里。但添加这个动作本身风险很高。地址要来自收款方当前页面，网络也得选对。备注写清用途和网络，别叫“钱包 1”。系统给的安全延迟别嫌慢。它挡的正是刚被加进去的陌生地址。要逐项过一遍开关、地址和验证状态，可参考提币地址白名单设置步骤。
没写过程序，也得看一眼 API
以前连过交易机器人、税务工具或者某个第三方服务，都可能留下一把还有效的密钥。不用的直接删。还要用的，只开必要权限，尽量设 IP 白名单，别开提币权限。API 密钥和 Secret 不要放进网页、表格共享链接或代码仓库。
完全想不起某个 API 是干什么用的？别只改个标签留着。先撤销。真需要，再从可信服务按最小权限重新建一把。发现异常交易，除了改密码，还要撤销 API、检查设备和邮箱——攻击路径未必走网页登录。
定期检查这六项
- 查看最近登录设备和安全通知；
- 确认邮箱没有异常转发或恢复方式；
- 检查两步验证与 Passkey 对应的设备仍由本人控制；
- 删除不用的提币地址和 API 密钥；
- 看一眼反钓鱼码，还是不是自己设的那句；
- 更新离线恢复计划，但不把恢复码集中到一个云账户。
这份清单管不到的地方
它消不掉市场风险、平台风险，也挡不住用户自己的误操作。没有哪套设置能让账户绝对安全。安全功能在不同地区、不同账户条件下未必都能用。涉及身份资料、账户冻结或资金争议，走平台官方支持和所在地区适用的渠道。
常换设备、接第三方工具的人，要多看哪一项？
先管好自己实际使用的功能。多设备查会话，交易工具查 API，频繁转账查地址白名单。
手机丢之前，和丢之后
平时就把设备锁和远程擦除打开。验证器或 Passkey 的恢复方式要在手边，恢复密钥离线存好，运营商的挂失渠道单独记一份。账户密码、邮箱密码、验证器备份全塞进手机备忘录？那等于把钥匙和锁装进同一个包。
手机真丢了，先从可信设备保住邮箱和运营商号码。然后进币安撤销旧设备会话和对应 Passkey。再翻一遍最近登录、订单、提币地址和 API。登不进去就走官方身份恢复入口。别在社交平台喊“急需解锁”，更别晒账户细节。
公共电脑和共享 Wi-Fi
公共电脑上可能留着键盘记录、可疑扩展、下载过的报表，还有没退干净的会话 Cookie。共享 Wi-Fi 那头接着什么终端，你也看不见。敏感账户尽量只在自己维护的设备上打开。临时看个价格，不用登录。
在别人的设备登录过，回到可信设备后撤销会话。若怀疑输入被记录，还需更换已泄露的凭据。
恢复计划得能验证，不能只写在纸上
验证时别把所有设备都退掉，也别把账户折腾到锁定。先确认离线材料放在哪、还看不看得清。再列出邮箱、手机号、验证器、Passkey 各自依赖什么设备。至少要有一条路不依赖当前这部手机。
换手机、换邮箱、换号码之后，回来更新这张清单，作废的副本删掉。别写密码正文。只写恢复顺序和官方入口。家人需要知道应急方式，也只需要知道怎么联系本人或官方支持，不该拿到交易权限。
安全通知怎样保留才有用？
留下事件类型、时间、设备，以及是不是自己发起的。验证码和账户总览别公开。正常的新设备登录也标一下，以后才认得出什么算异常。通知里的按钮只当提示看。敏感操作还是从自己存的官方入口进。
邮箱、手机号还在自己手里吗？
账户安不安全，看谁能完成登录、重置和敏感操作。列出这些账号的登录与恢复方式，别写密码正文：币安登录依赖哪个邮箱或号码，邮箱又依赖哪台设备、哪个恢复邮箱，验证器、Passkey、运营商账户和密码管理器分别归谁控制。如果这些验证和恢复方式都只能在同一部手机上使用，手机丢失后可能同时无法访问。
| 需要检查的账户或设备 | 失守后可能影响 | 应独立检查 |
|---|---|---|
| 绑定邮箱 | 验证码、通知与重置链路 | 转发规则、恢复方式、会话 |
| 手机号 | 短信验证与号码恢复 | 运营商账户和换卡保护 |
| 验证器或 Passkey | 登录及安全确认 | 设备归属与离线恢复 |
| 密码管理器 | 多个账户的唯一密码 | 主密码、第二因素和恢复 |
| 第三方应用 | API 或授权访问 | 权限范围、有效期和撤销入口 |
表里任何一项还挂在旧号码、离职设备、共享邮箱或别人的系统账户上，先迁。迁的时候一次只改一层。新路径走得通，再撤旧的。邮箱、号码、验证器一起换，真出事时你根本分不清是哪一步把自己锁在门外的。
退出设备后，API 不会跟着失效
设备会话、API、第三方授权要分别撤销。尤其是旧机器人或报税工具：即便你很久没打开它，密钥也可能仍有效。发现陌生记录时，用可信设备从官方入口处理，不要点通知里的“立即撤销”。
怀疑已经被盗，先看哪篇
真怀疑被盗了，这份清单就先放一放，照登录恢复那篇里“怀疑账号被盗”的步骤处理：先把访问掐断，再存证据，日常使用放到最后。
换设备、换验证方式时，怎么才不会把自己锁在门外？
动手之前，先确认还有一条独立的验证和恢复路径走得通。账户页面给的等待时长、限制提示，抄下来。顺序是先加新因素，在自己设备上试用一次，没问题再撤旧的。旧设备已经丢了？直接走官方重置流程。别找私人服务买“加急解锁”。
换完回头再扫一遍设备、Passkey、API、地址白名单和邮箱通知，看这轮有没有留下重复授权。恢复材料只记存放位置和更新日期，别写进公开日历或共享文档。功能名称、限制时长和可用的验证方式都会变，以登录后的当前页面为准。