安全是从注册那一刻开始的，不是从被盗那一刻。注册时请做到三点：

1. 用专用邮箱。这个邮箱只用来注册交易平台，不订阅任何营销邮件，不在其他网站登录。
2. 密码独立且足够长。12 位以上，包含大小写、数字与符号，绝不复用你其他账号的密码。
3. 在邀请码栏确认填入 BG56789。通过专属链接进入时系统通常会自动带入，但请手动核对一遍。注册完成后无法补填，这个字段决定了你之后每笔交易的手续费返佣比例，属于终身生效的福利。

注册成功后，进入个人中心确认推荐关系已绑定，顺便看一眼自己当前的费率档位。

这是整份清单里最重要的一项。短信验证码的问题在于，它的安全性取决于你的通信运营商，而补卡攻击并不需要你的密码。

• 在安全设置里绑定 Google Authenticator、Authy 或密码管理器生成的一次性密码（TOTP）。
• 绑定成功后，把恢复密钥手抄在纸上，放进抽屉，不要截图、不要存云盘、不要发给自己。
• 如果平台同时提供短信 2FA，建议开启它作为备用，但把验证器设为首选。
• 换手机前，先用旧手机导出或迁移验证器，否则你会锁死自己。

绝大多数盗号事件，最终目的都是把币提走。如果你的提币地址被锁死，攻击者即使登进账户也束手无策。

1. 在安全设置中找到「提币地址管理」或「地址簿」，把你自己的冷钱包地址、常用地址逐个加入白名单。
2. 开启「仅允许提币至白名单地址」。开启后，向新地址提币会有一段等待期（通常以小时或天计），这段时间就是你的救命窗口。
3. 每次添加白名单地址后，系统会发邮件通知。请养成看到通知就核对一次的习惯。
4. 定期检查白名单里有没有你不认识的地址——如果发现异常地址，说明你的账号可能已经被人动过。

请准备三个完全不同的密码，各司其职：

• 登录密码：用于登录账户，长度 12 位以上，唯一。
• 资金密码：用于提币、划转、部分交易确认。这一项很多人从来没设，等于给攻击者开了后门。
• 邮箱密码：邮箱是所有找回流程的根，邮箱被攻破，其他密码基本失去意义。请为邮箱单独开启验证器 2FA。

另外，如果你习惯用浏览器记住密码，请确保浏览器本身有主密码保护，否则一次设备失窃就是全盘失守。

这一项防的不是黑客技术，而是「你自己点错了链接」。

• 设置反钓鱼码：设置一个只有你知道的单词或字母组合。之后所有官方邮件都会带上这个码，没有的一律当假邮件处理。
• 开启登录与提币提醒：邮件和 App 推送都开，让每一次敏感操作都被记录下来。
• 定期查看登录设备管理：清理不认识的设备，注销长期不用的会话。
• 不要在任何搜索广告里点交易平台链接：手动输入网址或使用你保存的书签，这是最便宜也最有效的习惯。

如果你用第三方工具、跟单或量化脚本，一定会创建 API Key。请严格遵守两条原则：

1. 绝不勾选提币权限。除非你非常清楚自己在做什么，否则 API 只留「读取」和「交易」权限。
2. 绑定 IP 白名单。限制 API 只能从你自己的服务器或固定 IP 调用，这样即使密钥泄露，攻击者也无法在其他地方使用。

同时，定期轮换 API Key，删掉不再使用的旧密钥。密钥不是「设好了就不动」的东西。

安全设置做完，别忘了顺手优化成本结构。同样一笔交易，不同账户的费率差距可以到 20% 甚至 30%。

• 通过专属通道注册，把邀请返佣关系绑定好，交易手续费按比例返还。
• 关注平台的 VIP 等级体系，资产量与交易量达标后费率会进一步下调。
• 如果平台有平台币抵扣手续费的功能，可以评估是否适合自己，但要清楚平台币本身也有价格波动风险。
• 把节省下来的费用单独记账，它会成为你升级安全工具（比如硬件钱包）的预算。