哪种 2FA 更安全？

验证器应用. 短信可以通过 SIM 卡劫持被截获。应用里的验证码直接在你手机上生成，不经过运营商。

只用来查看交易的 API 密钥该给什么权限？

只读. 查看只需要读取权限。有了提现权限，泄露的密钥就能直接动你的钱。

只能提到你的地址. 即使账户被盗，小偷也不能马上把币提到自己的地址：新地址需要 2FA，通常还要等待。

“加密货币”课程第 9 课，共 39 课。免费，有动画和小测验。

图里的三件基本功。2FA，也就是登录时的第二个验证码，用验证器应用，不用短信。独一无二的长密码：如果多个网站用同一个密码，一个网站泄露就全都失守。防钓鱼码：交易所放进自己邮件里的一个词，让你分辨真假邮件。第一天就把这些设置好。

验证器应用每 30 秒在你的手机上生成一个新验证码，就像图里的 482 913。短信验证码更弱：骗子可能让运营商把你的 SIM 卡补办到他手里（SIM 卡劫持），然后收到你的验证码。还要提防钓鱼：仿冒网站会偷走你的密码，所以从书签进入，KYC 证件只在官方网站上传。

提现白名单就是交易所允许你转币过去的地址列表。你提前只把自己的钱包加进去。账户就算被盗，小偷也没法马上提到自己的地址：他得先添加新地址，而这需要 2FA，通常还要等一段时间。剧透：这是最有用的设置之一。

图里展示了它的工作方式。白名单里只有你自己的地址。新地址通常要等一段时间才生效，比如 24 小时，而且需要 2FA 验证码。这段时间足够你发现陌生登录并冻结账户。添加地址时，核对开头、结尾和网络：病毒会替换你复制的内容。

API 密钥是一种密码，机器人或服务凭它不用登录网站就能操作你的账户。交易所替你保管着币，就像图里那样，所以带提现权限的密钥就等于能动你的钱。只给只读权限（Read），并绑定 IP，也就是只能从机器人服务器的地址使用。永远不开提现权限。密钥不要贴进聊天，也不要出现在截图里。