沒有人會先讀帳號救回。都是站在新手機前面、看著一個空的驗證器 App，才開始想幣是不是沒了。沒有沒了，而它為什麼還在，正好解釋了後面整條流程：帳號的歸屬寫在身分那邊，第二道驗證是疊在上面的一道檢查，不是歸屬本身。以下寫的是會鎖住什麼、不會鎖住什麼，重設為什麼要走人工審核再接一段等待，那幾個小時裡該做什麼，以及唯一一種「申請重設反而是錯」的情況。

1. 驗證器不是帳號，只是帳號上的一道檢查

先把最常見的誤解拆掉：遺失驗證器並不等於失去帳號。它只是帳號上的一道檢查，不是帳號本身。

帳號的歸屬寫在身分那邊，是註冊時做的實名資料與交易所留下的紀錄。第二道驗證疊在這個歸屬之上， 負責在敏感動作發生時多問一次。所以拿掉這層，只會讓某些動作變難授權，餘額並不會因此變成別人的。

由此也能看出兩件事為什麼待遇不同。密碼靠信箱救回，因為收得到信本身就算證明；第二道驗證 靠身分救回，因為要換掉的正是那道用來擋住「已經知道密碼的人」的檢查，能取代它的只有更硬的證明。

你到底遺失了什麼

六列裡真正危險的只有兩列，而且都不是大家最慌的那一列。手機掉了只是麻煩加排隊；信箱一起丟、或 是有人搶在你前面，才是真的問題。

2. 那六位數是算出來的，不是傳給你的

要理解後面的流程，得先知道那六位數是哪來的。它沒有從任何地方傳過來，是在你的裝置上算出來的， 材料是共用金鑰和時間。

綁定時交易所給的那個 QR Code 裡面裝的是設定金鑰，一串很長的隨機文字。把同一把金鑰放進另一個 App，就會長出一模一樣的代碼，這正是換手機還救得回來的原因。之後雙方各自做同一道運算：拿共用的秘密， 加上被切成三十秒一格的現在時間，算出六位數再比對。這套做法叫 TOTP，時間是配方的另一半。

那把金鑰長什麼樣子

順帶提醒一個順序問題：綁定的時候先把那行文字存好，再按下一步。有些人習慣先完成綁定、想說之後 再回頭抄，但那個畫面通常不會再出現第二次，要拿到同一把金鑰就得先解除再重綁一次。

綁定畫面上除了 QR Code，通常還會有一行可以複製的文字，那就是同一把金鑰的另一種寫法。掃碼與手動 輸入的結果完全一樣，差別只在你有沒有把那行文字留下來。多數人掃完就關掉，等到換手機才發現當初唯一 的那份已經不見了。

三個直接的結果

第一，開飛航模式也能用。沒有任何東西在傳，所以沒有簡訊可攔、也不依賴訊號。這就是它跟簡訊驗證碼 的根本差別。

第二，真正的憑證是設定金鑰，那個 App 只是記住金鑰的計算機。把項目匯出或同步之後， 換手機會變成一件無聊的雜事，而不是事故。

第三，時間跑掉的手機會一邊正常運作、一邊生出錯的代碼。伺服器通常會多收前後各一格，所以剛過期的 還能過，但超出這個範圍就全被拒絕。

3. 代碼被拒，多半是時間不是封鎖

送出任何申請之前，先看跑驗證器那台裝置的時間。慢一分鐘就會落在錯的格子上，代碼全被拒絕，而畫面 只會說代碼不正確，而這句話跟「你的帳號被封了」長得一模一樣。

處理方式很無聊：把日期與時間改成自動，讓裝置跟著網路時間走；或用驗證器內建的時間校正，那個功能 就是為了這件事存在的。改完再用一個剛跳出來的代碼試，不要用已經在畫面上待了二十秒的。

舉個例子：放在抽屜裡一星期沒開機的備用機，或是送修回來時間被歸零的機器，都會一路被拒絕到你修正 為止。帳號完全沒事，這時候去申請重設，等於白白替自己換來一段本來不用受的提款凍結。

另外兩種很像被封、其實不是的情況

一是代碼在你輸入的過程中換了一格。三十秒一輪，如果開始打的時候倒數只剩一點點，送出去的就是上一格。 容許範圍通常只有一格，超過就不收。看到倒數快跑完，等下一組比較穩。

二是驗證器裡有兩筆名字很像的項目。開過第二個帳號、或是曾經重新綁定過的人，很容易讀錯那一筆。 App 裡可以改名字，標清楚就能永久解決這一類的拒絕。

4. 設定金鑰、App、備份碼是三樣東西

有三樣東西在日常對話裡都被叫做「驗證」，分開之後這個主題就清楚一半。

設定金鑰是原料，也就是 QR Code 背後那串文字，它能在任何相容的 App 重新生出同樣的代碼。 驗證器 App 是拿著那把金鑰的計算機，換掉它沒什麼大不了。備份碼是第三樣東西：事先發下來的 一次性清單，在你生不出代碼的時候頂替它。

這張表沒有在排名次，講的是性質。簡訊綁在門號上，App 綁在裝置上，所以要準備的事情不一樣：前者 要防的是門號被搶，後者要防的是手機弄丟。

5. 重設是一條人工流程，不是一個按鈕

接著是重設本身。從登入頁開始，選那個寫著無法完成驗證的選項，指出你遺失的是哪一項，再登記新的 聯絡方式。之後案件交給人工審核，各家說明文件都寫明審核可能要花時間。沒有加速鍵，也沒有能繞過去 的申訴管道。

這個階段真正有用的兩件事

一是從官方 App 或官網送出申請之後就放著。同一件事開好幾張單，只會讓排隊重新開始，不會變快。

二是這個流程只會問你的身分，永遠不會問你的密碼，也不會問錢包助記詞。只要有頁面或有人開口要 其中任何一樣，你就已經不在救回流程裡了。這條線索後面還會再出現。

審核大概會拖多久

沒有一家會保證時間，這點文件寫得很誠實，因為時間取決於你送出的資料能不能一次對上。所以能做的 是把不確定性降到最低：證件拍清楚、四角完整、不要用反光的翻拍；人臉驗證在光線正常的地方做；填寫的 姓名與出生日期跟證件完全一致，包含英文拼法。這些聽起來像小事，卻是被退件重來的主要原因，而每一次 退件都等於重新排一次隊。

審核在看什麼

各家細節不同，但方向一致：現在申請的人，是不是當初開戶的人。所以會出現證件、人臉驗證，以及只有 真正用過這個帳號的人才答得出來的問題。要準備的其實比較像記憶而非文件：大概什麼時候開的戶、最後一筆 出入金是什麼與大約何時、平常從哪些裝置與地區登入。

6. 凍結從重設結束才開始，這段才是重點

重設過了，提款還是打不開。這件事比審核更讓人意外，也是整套設計裡最值得理解的一段。

幣安寫明重設 2FA 裝置之後，提款、P2P 賣出、支付與卡片服務會停用 48 小時。Bybit 在安全項目 變更後套用 24 小時提款限制，範圍涵蓋鏈上提幣、站內轉帳、法幣提領、卡片消費與 P2P 賣單，換信箱或關閉 提幣地址簿保護也是同一套。OKX 在重設或更換驗證器 App 後停止提款 24 小時，換門號、換信箱也一樣。 KuCoin 描述的是 24 小時暫停，時間到自動解除。

為什麼要有這段凍結

把整個流程從對面讀一次就懂了。搶走你帳號的人，一樣按得下「我無法完成驗證」，一樣能登記他自己的 聯絡方式。身分審核是用來攔他的，而等待期不是懲罰：它是萬一審核被騙過去時，用來把獎品收走的 那一手。

換句話說，凍結把盜用流程裡最值錢的那一分鐘，變成一到兩天的空窗，真正的持有人在這段時間裡有機會 發現、通報、要求凍結。反過來想：沒有這段等待，重設流程就是清空一個帳號最快的路，也會是任何攻擊者 第一個去試的地方。

這也讓最惱人的那部分變得好接受一點。等待不代表交易所懷疑你這個人，它是你還有路可以回來的代價。 另外那些因為別的原因而發生的提款凍結，寫在 交易所為什麼會凍結提款。

7. 等待期是你最有用的幾小時

凍結關掉的是提款，通常沒有關掉登入、餘額查看、交易與設定變更。分清楚這件事，等待期就從死時間 變成你手上最有用的幾個小時，因為下面每一項都在關一扇可能還開著的門。

API 金鑰那一列最常被跳過，也最常把帳號搬空。幾個月前為了跑單機器人開的金鑰，可能帶著提款權限， 而它不會跟任何人要六位數。如果你連自己什麼時候開的都想不起來，那正是刪掉它的理由。

順序為什麼是這樣

先金鑰、再工作階段，理由很現實。工作階段是他現在坐著的位置，金鑰是他留下的備用門。只清位置不關 門，他換條路又進來；反過來先關門再清位置，他就得從頭開始，而那時候你已經在改密碼了。

白名單放在後面，是因為它要的是決定，不是點幾下。開啟之後只有清單上的地址提得出去，新加的地址 還會有一段鎖定期。這段期間正好用來想清楚：常用的自管錢包地址、以及真的需要留在清單上的那一兩個。 清單越短，之後任何一次入侵能決定的事情就越少。

凍結期間資產會不會有價格風險

會，這點要說清楚：提款被鎖住的期間，市場不會停下來等你。如果你原本就打算把資產換成穩定幣或 現金，交易通常沒有被限制，換得掉，只是換完之後還是提不出去。這裡並非在建議任何操作，只是把限制的 邊界講明白，免得誤以為整個帳號都被封住。

順手把通知也調一次

大部分人開了通知卻沒在看。提款、登入新裝置、安全設定變更，這三類至少要進得了你會點開的地方， 不管是推播還是信件。凍結期只有在你發現的時候才有用，而發現這件事完全靠通知走完最後一段路。

8. 三道門，守衛各不相同

會慌，有一半是因為不知道什麼還在運作。把交易所帳號看成三道門而不是一道，畫面就清楚了， 因為每道門的守衛不同，壞掉的時候也是分開壞。

安全選單裡那些選項不是彼此的替代品

同樣的邏輯也適用在安全設定那幾個排在一起、常被當成二選一的功能。第二道驗證決定敏感動作准不准， 提幣白名單決定資產能去哪，它把提款限制在你事先加過的地址。防釣魚碼是一小段你自己設定的文字， 交易所會把它放進真的通知信裡，讓你一眼分辨假信。Passkey 則是整個換掉那個會被釣走的因子，改用 裝置的生物辨識或鎖定來驗證。

它們互相取代不了。一個第二道驗證很強、卻沒開白名單的帳號，離被清空只差一次成功登入，因為那個 配置裡沒有任何東西在管去向。

家裡共用一台裝置的情況

還有一種很常見、卻很少被寫出來的配置：驗證器裝在家裡共用的平板上，或是幫長輩代管的手機裡。 它平常很方便，出事的時候會同時踩到兩件事：任何拿到那台裝置的人都拿得到代碼，而裝置一旦被重設或 送修，代碼就一起消失。

要處理它不必大費周章。把設定金鑰另外備份，讓裝置本身變成可以替換的東西；如果是代管，就把 提幣白名單先設好，這樣即使代碼被別人看到，資產也只能往你事先同意過的地址走。

9. 簡訊的弱點來自電信商

在幾種第二道驗證裡，簡訊是最好避開的那個，理由不是手機不安全。

這種攻擊的目標不是你的裝置，是電信商。有人蒐集夠多你的個人資料讓自己聽起來像本人，聯絡電信商， 把門號搬到他控制的 SIM 上。從那一刻起，驗證簡訊與重設連結全部發到他手上。你的手機沒有被入侵， 而且你在手機上做任何事都擋不住這件事。

為什麼現在變快了

用 QR Code 開通的 eSIM 拿掉了原本會拖慢流程的實體步驟。以前要跑門市、要等卡片，現在遠端就能完成， 門號被搬走到帳號被接管之間的距離也跟著縮短。

訊號突然沒了，就是警訊

實際的徵兆意外地容易被忽略：手機莫名其妙沒訊號。如果這件事發生在你交易所裡有資產的時候， 把它當成事故而不是網路問題，同時聯絡電信商與交易所。門號搬走之後的順序是先重設密碼、再處理第二道 驗證、然後提款。這個過程從裡面看起來是什麼樣子，寫在 交易所帳號實際上是怎麼被盜的。

還有一種更難防的版本

門號不一定要被搬走才會出事。有些情況是簡訊在你不知情的時候被別人看到：家裡共用的平板同步了 訊息、舊手機還登著同一個帳號、或是電腦上的訊息鏡像功能一直開著。這幾種都不需要任何技術手段， 只需要那台裝置在別人手上待一分鐘。

檢查方式很直接：看一下有哪些裝置正在同步你的訊息，把不用的登出。這件事跟交易所無關，卻決定了 簡訊驗證在你身上到底有多脆弱。

常出國、或是換地方就換一張當地 SIM 的人，對這件事應該不陌生。驗證器與 Passkey 比較強不是因為比較新， 而是因為它們不掛在門號上，等於把電信商從「可以交出你帳號的人」名單裡拿掉。

另外有個實務細節常被忘記：真的要換號碼的時候，趁舊門號還在的時候先進交易所改掉。拖到停用之後 才處理，一件行政小事會變成完整的救回申請，連著審核與後面的凍結。更麻煩的是空號過一段時間會被 重新賣出，那組留在帳號裡的救援號碼就落到陌生人手上。

10. 真正的單點失效是你的信箱

所有人都盯著驗證器的時候，旁邊那個反而沒人看。既然帳號是靠身分與一個信箱救回來的，那個信箱其實 一直在默默做很多事：重設連結、確認通知、安全提醒，全都寄到那裡。

所以在多數人的配置裡，信箱才是那個單一失效點，第二道驗證反而不是，而它往往只用一組出現在某次外洩清單 裡的密碼守著。拿到信箱的人，可以自己發起重設、自己收確認、再把本來要提醒你的那封信處理掉。

一個很小的檢查

順便看第三個地方：信箱帳號自己的救援方式。很多人的救援號碼還是十年前那一支，或是救援信箱是 一個早就不用、密碼也想不起來的舊帳號。這兩樣東西的權限跟主帳號一樣大，而且它們安靜到你根本不會 想起來要檢查。

現在就去信箱設定裡看兩個地方：自動轉寄規則，還有登入活動。轉寄規則是最安靜的一種入侵，信件照樣 進得來，只是有人也收到一份，你完全不會察覺。登入活動則會告訴你有沒有你不認得的裝置還連著。這兩件 事加起來不用三分鐘，卻是整條救回鏈上最少人檢查的一段。

由此得到的順序

信箱的防護等級不能低於交易所。意思是那邊也要開第二道驗證，而且最好不是簡訊。也要順手看一下信箱 帳號本身的救援方式，因為一條放很久的自動轉寄規則、或一組早就不是你的救援號碼，都是通往後面所有東西 的後門。

兩個小習慣屬於這一段。安全通知信要讀，不要順手清掉，設定被改的通知是你能拿到最早的警報。另外 記住防釣魚碼：真的信件會帶著你設定的那段文字，假的不會。

11. 有人搶在你前面申請重設

前面都假設是你在申請重設。最糟的版本是你到的時候，已經有人先到了，而且它的樣子不一樣。

帳號被接管通常從登入那道門開始。進去之後，攻擊者的下一步是把聯絡方式與第二道驗證換成他自己的， 好把位置坐穩。只要有在看，徵兆是看得見的：設定被改但不是你改的、從你沒去過的地方傳來登入通知、 工作階段裡出現不認得的裝置。有時候是通知信整個消失，因為多了一條轉寄規則。

先確認一件事：真的被接管了嗎

在進入緊急模式之前，值得花一分鐘分辨。有些通知看起來像入侵其實不是：你自己在另一台裝置登入、 交易所改版之後重新要求驗證、或是家人用了共用的裝置。真正的訊號比較具體，通常是聯絡方式被改、 出現你沒申請過的提幣地址、或是安全設定的變更時間點你完全對不上。

分不出來的時候，用最保守的那一邊處理：先要求凍結。凍結錯了，代價是你自己多等一段時間；判斷錯 另一邊，代價是資產已經出去了。這兩個代價不對等，所以答案很清楚。

這種時候順序要換

第一個念頭通常是去申請重設。偏偏在這個情況下，那是第一個錯的動作，因為你等於跟攻擊者排在同一條 流程裡，然後賭審核挑對人。先要求凍結帳號、停止提款。各大交易所都有「帳號被盜」的通報管道，跟一般的 重設流程是分開的。

之後再倒著把清單做完：工作階段、API 金鑰、信箱。如果資產已經出去了， 被盜的加密資產追得回來嗎寫的是實際情況，值得在花錢追討之前先看。 如果損失發生在自管錢包而不是交易所帳號，時間軸與步驟都不一樣，那部分在 助記詞外洩了怎麼辦；自管這一側對應的止血動作，也就是撤銷授權，寫在 怎麼撤銷代幣授權。

12. 第二波攻擊等在搜尋結果裡

還有第二波攻擊，專門等著這個處境的人，而且它打的不是帳號，是你找解法的過程。

搜尋帳號救回的資訊，結果裡就會冒出「我可以替你把它重設好」這一類的提議。它們出現在描述同樣問題的貼文底下、 出現在用交易所名稱與標誌的帳號上、出現在真正客服頁面上方的廣告連結裡。而這個提議之所以看起來合理， 正是因為真正的流程又慢又不透明。

為什麼在這個時間點特別容易上當

這些提議挑的其實是你的狀態，不是你的知識。剛發現進不去、又不確定資產還在不在的人，注意力全放在 「怎麼快點解決」上面，對來源的檢查會自動放鬆。這也是為什麼同一個人平常認得出釣魚訊息，這一天卻 認不出來。

知道這件事本身就有用：把「我現在很急」當成一個訊號，急的時候不要在搜尋結果裡點連結，不要接受 主動找上門的協助，只從你自己輸入的網址或已經裝好的 App 進去。

能一次躲掉全部的規則很簡單：客服對話從官方 App 或官網開始，而且由你發起。從留言、私訊開始的 對話，起點就是錯的。這些手法背後更大的模式，寫在 加密貨幣詐騙是怎麼設計的。

13. 常聽到的說法與文件實際寫的

關於這個處境，有六句話反覆出現。每一句不是錯的，就是只在比它聽起來窄很多的範圍裡成立。

最後一列講清楚

第二道驗證保護的是交易所帳號的存取。在你自己保管私鑰的錢包裡，它沒有位置，因為那裡根本沒有登入 這件事要守。反過來也一樣：硬體錢包保護的是私鑰，不是帳號，面對外洩的密碼或被搬走的 門號，它幫不上任何忙。要先補哪一邊，取決於你的資產實際上放在哪。如果這個分法對你還很新， 加密貨幣錢包是什麼是前一步， 加密貨幣新手怎麼開始再前一步。

那現在該補哪一邊

如果資產主要放在交易所，先做的是信箱的第二道驗證、提幣白名單，還有把設定金鑰另外收好。如果 資產主要在自管錢包，那三件事的重要性就低很多，該花時間的是助記詞的保存方式與授權的定期清理。 兩邊都有的人，順序看金額：先補放得多的那一邊。

名詞放在一起

TOTP。 驗證器代碼背後的做法。共用秘密加上被切成三十秒一格的現在時間，兩邊各自算出同樣的 六位數再比對。

設定金鑰。 你掃的那個 QR Code 背後的文字。它能在任何相容 App 重新生出同樣的代碼，所以它才是 值得留起來的東西。

備份碼。 事先發下來的一次性清單，在你生不出代碼的時候頂替代碼使用。

Passkey。 用裝置的生物辨識或鎖定來驗證的登入方式，取代會被攔截或釣走的代碼。

提幣白名單。 把提款限制在你事先加過的地址的設定，讓單一次入侵決定不了資產的去向。

防釣魚碼。 你自己設定的一小段文字，交易所會放進真的通知裡，讓你一眼分辨仿冒信。

SIM 卡挾持。 把你的門號搬到攻擊者控制的 SIM 上的攻擊，之後簡訊與重設連結都寄到他那裡。

14. 四家說明頁讀完，我的看法

把四家的說明頁排在一起讀完，留下四個想法。

這套設計是自洽的，而且自洽得讓人討厭。身分把帳號還給你，審核去驗那個身分，凍結負責審核看走眼 的那種情況。每一塊都存在，是因為這條救回的路同時也對冒充你的人開放。拿掉任何一塊，這條路就變成 一種攻擊手法。

但它擅長的範圍很窄。它把「裝置弄丟」處理得很好，把「信箱弄丟」處理得很差，而面對有備而來的 冒充者，它的做法是買時間而不是給確定性。這是合理的取捨，但取捨不等於安全。

最弱的假設不在流程裡。在通知能不能送到你眼前。凍結只有在你於期間內發現時才有用，而發現這件事 靠的是一封通知，寄到一個可能已經被控制、或是被丟進你根本不看的資料夾的信箱。機制本身很硬，送達那一段很軟， 所以信箱值得比那個逼你來搜尋的 App 更多的注意。

反方立場站得住的地方。可以說這些限制是拿多數人不會遇到的風險去處罰一般使用者，這話有幾分道理： 多數重設申請就是換了手機的老實人，在替少數不老實的人等。但另一邊是，沒有等待期的版本真的被試過。 即時重設曾經就是帳號被清空的那條路，這個產業不是為了好玩才加摩擦。我不接受的是把等待講成在懷疑你， 它真正的意思是交易所還分不出來，這句話不一樣，也誠實一點。

還有一些事情它從頭到尾都不負責：交易所倒閉、或是私下交易對方不付款，第二道驗證都沒有答案。 每個月固定匯錢給家人的人，對凍結的感受也跟資產放著不動的人不同，因為期限不會等你。所以有一條實務 建議：要匯款的那天不要動安全設定。銀行那一側因為別的原因發生的凍結，寫在 賣幣之後銀行帳戶被凍結。如果你的結論是少放一點在交易所，那麼 交易所倒了會怎樣與怎麼判斷一家交易所是下一步， 交易所比較則涵蓋手續費與帳號規則。

聯盟行銷揭露：部分連結為合作夥伴連結，我們可能會獲得佣金，但不會增加你的任何費用。本文並非投資建議。

常見問題

接著看：交易所帳號實際上是怎麼被盜的