你的資產安全，從這一步開始
加密貨幣的安全性跟傳統金融有一個根本的不同：在銀行，如果你的密碼被盜，你可以打電話給銀行凍結帳戶；在加密貨幣的世界，如果你的私鑰或助記詞被盜，沒有人能幫你把錢追回來。
這不是恐嚇，這是區塊鏈的基本特性——交易不可逆。也正因為如此，你的安全習慣，直接等於你的資產安全。
本文整理了一套完整的安全防線，從最基礎的密碼設定，到進階的冷錢包管理。每一項都不難，但每一項都可能在關鍵時刻救你一命。
第一層防線：帳號安全
1. 密碼：你的第一道門
聽起來基本，但多數安全事件都跟密碼有關。
密碼原則：
- 至少 12 個字元，包含大寫、小寫、數字、特殊符號
- 不要在加密貨幣相關帳號使用你其他網站（社群媒體、購物網站）的密碼
- 不要用生日、身分證字號、電話號碼
- 使用密碼管理器（如 1Password、Bitwarden）來產生和儲存高強度密碼
2. 雙重驗證（2FA）：絕對必須開啟
2FA（Two-Factor Authentication，雙重驗證）是在密碼之外的第二層驗證。即使有人拿到你的密碼，沒有 2FA 也無法登入。
2FA 的三種形式（依安全性排序）：
| 類型 | 舉例 | 安全性 | 便利性 | 建議 |
|---|---|---|---|---|
| 硬體安全金鑰 | YubiKey | 最高 | 中 | 大額資產必備 |
| 驗證器 App | Google Authenticator, Authy | 高 | 高 | 一般使用首選 |
| 簡訊驗證 | SMS | 低 | 高 | 不建議單獨使用 |
⚠️ 為什麼不要只用簡訊驗證？ SIM 卡劫持（SIM Swap）是常見的攻擊手法。攻擊者冒充你的身份向電信公司申請補發 SIM 卡，這樣他就能收到你的簡訊驗證碼。Google Authenticator 等 App 驗證碼不需要經過電信網路，遠比簡訊安全。
設定建議：
- 強烈建議使用 Google Authenticator 或 Authy
- 把 2FA 的備用碼（Recovery Codes）安全地儲存在離線的地方（例如寫在紙上、鎖在抽屜裡）
- 不要把手機上的 2FA App 和交易所 App 放在同一個裝置上（如果你有備用手機的話）
3. 反釣魚碼（Anti-Phishing Code）：防範假郵件
OKX 和多數國際交易所都提供「反釣魚碼」功能。設定一組你自己選擇的代碼（例如 4-6 位數字或英文字），之後該交易所發給你的每一封 Email 都會包含這組代碼。
這為什麼有用？ 詐騙集團可以偽造看起來一模一樣的交易所郵件，但他們不知道你的反釣魚碼。如果你收到一封自稱 OKX 的郵件卻沒有你的反釣魚碼，那就是詐騙信件——立刻刪除。
4. 提領白名單（Withdrawal Whitelist）：鎖定出金地址
開啟提領白名單後，你只能提領到預先核准過的錢包地址。即使你的帳號被盜，攻擊者也無法把錢轉到他自己的地址，因為那個地址不在白名單裡面。
注意事項：
- 新增白名單地址通常有冷卻期（例如 24 小時），期間會收到通知，讓你有時間發現異常
- 定期檢查你的白名單，刪除不再使用的地址
第二層防線：錢包安全
什麼是私鑰和助記詞？
這是加密貨幣安全最核心的概念，請仔細閱讀。
- 私鑰（Private Key）：一組密碼，擁有它就擁有對應錢包中資產的完全控制權。私鑰 = 你的錢。
- 助記詞（Seed Phrase / Mnemonic）：12 或 24 個英文單字，用來產生你的所有私鑰。這是你的錢包「最終恢復密碼」。
🚨 鐵則：任何人拿到你的助記詞或私鑰，就能完全控制你的資產。沒有任何交易所、客服、或官方人員會要求你提供助記詞。任何跟你要助記詞的人，100% 是詐騙。
助記詞保管的黃金法則
| 做法 | ✅ 安全 / ❌ 危險 |
|---|---|
| 寫在紙上，存放在實體保險箱 | ✅ 安全 |
| 使用鋼板刻字（防火防水） | ✅ 安全 |
| 截圖存在手機相簿 | ❌ 危險（雲端同步 = 暴露） |
| 存在電腦記事本或 Word 檔 | ❌ 危險（惡意軟體可讀取） |
| 用 Email 寄給自己 | ❌ 非常危險 |
| 上傳到雲端硬碟（Google Drive, iCloud） | ❌ 非常危險 |
| 告訴任何人（含家人，除非你清楚風險） | ❌ 危險 |
分散保管策略：如果金額很大，可以考慮將助記詞分成幾份，存放在不同地點。例如 24 個單字分成兩組 12 個，分別存放在兩個不同的銀行保險箱。這樣單一地點失竊，攻擊者也無法恢復錢包。
熱錢包 vs 冷錢包
| 類型 | 舉例 | 私鑰存放 | 適合用途 | 安全性 |
|---|---|---|---|---|
| 交易所錢包 | OKX、MAX 帳戶 | 交易所保管 | 日常交易 | 依賴交易所安全 |
| 熱錢包 | MetaMask、Trust Wallet | 裝置上（連網） | 小額日常使用 | 中高 |
| 冷錢包 | Ledger、Trezor | 離線硬體 | 長期存放 | 最高 |
💡 務實建議：日常交易的資金放在交易所或熱錢包，長期持有的大量資產轉移到冷錢包。不要把雞蛋放在同一個籃子裡。
第三層防線：日常安全習慣
防範釣魚攻擊（Phishing）
釣魚攻擊是加密貨幣領域最常見的攻擊手法之一。攻擊者會偽裝成正當來源，誘騙你點擊惡意連結或洩露敏感資訊。關於各種釣魚手法的詳細介紹，請參考加密貨幣詐騙手法全解析。
防釣魚清單：
定期安全檢查
養成定期檢查以下項目的習慣：
- 檢查帳號活動記錄：登入交易所後，查看最近的登入記錄和裝置列表，確認沒有不明的登入
- 檢查 API 金鑰：如果你有建立 API 金鑰（用於程式交易等），定期檢查是否有你不再使用或不認識的金鑰
- 檢查錢包授權：使用 revoke.cash 等工具檢查你的錢包給了哪些智能合約授權，取消不必要或可疑的授權
- 檢查提領白名單：確認白名單上只有你信任的地址
不要在公共場所操作
- 避免使用公共 Wi-Fi 登入交易所或操作錢包
- 如果需要在外操作，使用手機的 4G/5G 網路，或使用 VPN
- 注意身邊是否有人可以看到你的螢幕（肩窺攻擊）
如果出事了怎麼辦？
即使做足了防護，意外還是可能發生。以下是應變步驟：
發現帳號被盜
- 立即更改密碼
- 凍結帳號（大多數交易所的 App 或官網有凍結帳號的功能，或立即聯繫客服）
- 取消所有 API 金鑰
- 重置 2FA
- 聯繫交易所客服，說明情況
- 如果金額重大，向警方報案（台灣：165 反詐騙專線）
手機遺失
- 使用其他裝置登入交易所，凍結帳號或登出該手機的連線
- 使用你的 2FA 備用碼在新手機上恢復 2FA
- 檢查所有帳號的近期活動
懷疑助記詞外洩
- 立即建立一個全新的錢包（產生新的助記詞）
- 把所有資產從舊錢包轉移到新錢包
- 不要再使用舊錢包和舊助記詞
下一步
安全是一個持續的過程，不是一次性的設定。建議按照以下順序建立你的安全體系：
- OKX 註冊與身份驗證完整教學 — 建立帳號後立刻做好安全設定
- 加密貨幣詐騙手法全解析 — 認識攻擊者的手法，知己知彼
- 什麼是資產儲備證明（PoR）？ — 從交易所端確保資產安全
本文為教育內容，不構成投資建議。安全建議僅供參考，無法保證完全杜絕所有風險。請根據自身情況評估和實施安全措施。