如何保护你的交易账户：12步检查清单

披露合作伙伴链接都有标注。如果您使用其中一个，我们可能获得佣金。您不需要多付任何费用，也从不改变我们的结论。我们如何评测

安全的交易账户，是在手机丢失之后你仍能找回的登录。简短的答案是十二个习惯：不重复的密码、不是短信的第二重验证、手机号码上的锁，以及一份资金允许流出去向的短名单。请对你交易账户中的每一个经纪商、交易所和图表登录都这样做。

保护交易账户的简短答案

经纪商或交易所账户被盗，大多以同样的方式开始。有人已经拿到了密码，来自另一个网站的泄露，或来自一个仿冒页面。而第二道检查是一条他们能转走的短信。关上这两扇门，再告诉平台哪些银行账户和币地址是允许的，这就是全部工作。

你不需要新电脑。你只需要一个下午，以及你已经有的登录信息。请按下面的顺序来。前一步还没完成，后一步就会变弱：如果用来重置密码的邮箱，就是你订阅所有新闻通讯的那个收件箱，白名单就帮不上多少忙。

这十二步关乎登录、设备以及资金流出的路径。它们不替你选择交易、市场或仓位大小。订单上的术语请去读指南，仓位开多大请用仓位计算器页面。这份清单到此为止。

保护交易账户的十二个步骤

1. 使用不重复的密码和密码管理器

重复使用的密码，就是一个无关网站的泄露变成经纪商登录的途径。那个网站被攻破，邮箱和密码被公开，脚本会拿同一组组合去试它能找到的每一个经纪商和交易所。如果你在两个地方用过这组组合，两边都会被打开。

为经纪商、交易所、图表网站以及能重置它们的邮箱各设一个不同的密码。记忆的事交给密码管理器。用手机自带的那个，或者一个用你记住的唯一密码打开的独立应用。这个主密码不在其他任何地方使用。让管理器为每个网站生成一个长的随机密码。你不应该能背出经纪商的密码，也不需要背。

为管理器本身也开启第二重验证，即验证器应用或硬件密钥。能用短信打开的管理器，和能用短信打开的经纪商有同样的漏洞。

在别人也用的电脑上，告诉浏览器不要保存经纪商密码，起身离开时锁上管理器。关闭旧账户时，把从那里复制过的密码全部改掉。别在显示器上的便利贴上写任何东西。便利贴就是房间里谁都能读的密码。

2. 开启验证器应用或硬件密钥，而不是短信

第二重验证是仅凭密码过不去的一道检查。强的形式有两种：每半分钟变换一次验证码的验证器应用，以及硬件密钥，一个支持通用FIDO2标准、轻触即可使用的小设备。两者都留在你的口袋里。短信不是这样：它跟着手机号走，而手机号是可以被转走的。

在每个经纪商、交易所和邮箱中打开安全设置，开启应用或密钥。如果网站两者都支持，就把密钥和应用都登记上，这样丢了密钥也不会被锁在外面。保存网站给你的备用码，把它们打印出来。不要放在能重置账户的同一个邮箱里。存在那个邮箱里的验证码，任何拿到邮箱的人都能用。

很多经纪商仍然只支持应用，或只支持短信。有应用就用应用。只有在网站别无选择时才用短信，并且当天完成第3步。用邮件作为第二重验证是很弱的替代品：如果被拿走的正是邮箱本身，它就失效了。

既然已经在设置页面里，就把那些在你不能完全掌控的电脑上，以"此设备已受信任"为由让下次登录跳过第二重验证的选项全部关掉。受信任的设备，就是仅凭密码就能登录的设备。

3. 在运营商那里加上防SIM卡劫持保护

SIM卡劫持，就是把你的手机号转到别人手里的SIM卡上。他们请运营商转移号码，往往只凭几条多年前泄露的个人信息。你的手机安静下来。他们的手机开始收到你的短信，包括密码重置和登录验证码。

给运营商打电话，或使用你已经登录的账户页面，申请给号码转移加锁。常见的名称有转网PIN、转移PIN或号码锁。目的都一样：不提供PIN，运营商就不会为这个号码补发新SIM卡。设置一个你不在别处使用的PIN，把它存在密码管理器里，而不是短信里。

也给SIM卡本身设一个PIN，这样被偷的手机里的卡不能马上插进另一部手机使用。这个SIM卡PIN挡不住运营商那边的转移。两者你都需要。

问问以后你去营业厅时这把锁会怎样。有些运营商仍会为持证件到场的人转移号码。如果政策如此，问问他们能加什么额外验证，并把答案写进第12步的恢复计划。对每一个能接收经纪商验证码的号码都这样做，包括曾经收到过验证码的工作号码。

4. 为经纪商和交易所登录使用单独的邮箱

真正的钥匙是邮箱。如果网站允许通过邮件重置，那么能读到重置邮件的人就能替换密码，接着替换第二重验证。日常邮箱不适合放这种邮件。它在几十个邮件列表上，被输入过商店和论坛，泄露事件里出现的正是这个地址。

创建一个地址，只用于经纪商、交易所和图表登录。给它一个专属的长密码，以及和第2步同样标准的验证器应用或硬件密钥。不要用这个地址订阅新闻通讯、注册商店或发表评论。每多一次注册，就多一个地址可能泄露的地方，也多一封你得辨别真假的邮件。

不要把这个邮箱自动转发到日常收件箱。转发会把重置链接送回你想离开的那个收件箱。单独阅读经纪商邮箱。如果你想要对账单副本，就设一个过滤器，只转发对账单，绝不转发主题是重置、验证码或新设备的邮件。

趁旧登录还能用，在每个经纪商和交易所更新邮箱地址。有些平台会同时向旧地址和新地址发送确认。在关闭标签页之前完成确认。然后从账户中删除旧地址，让重置无法倒回去。

5. 把提现地址和银行账户加入白名单

被盗的会话最有用的时候，是它能把钱转到一个新地方。把这个选项拿掉。在交易所，开启提现白名单，有时也叫地址簿。只添加你真正使用的地址。如果平台有的话，开启新添加地址收款前的等待期。一两天的等待，足够让登录提醒到达你手里，也足够短，计划中的转账照样能完成。

在经纪商那里，同样的思路就是登记在册的银行账户。添加你提现用的账户，并开启所有拒绝向未经你预先批准的账户提现的设置。如果经纪商没有这样的设置，就请客服备注你只会使用这一个账户，并在登录网站内核实之前，把任何关于新银行账户的邮件都视为可疑。

每年检查两次这份名单。删除不再使用的地址。一长串旧地址，就是一份小偷仍能把币转过去的清单。把币地址上的名称与你持有的钱包核对，添加新地址时先提一笔极小的金额，这样一个输入错误就不会成为其余资金的去处。

6. 更新手机、电脑和浏览器

旧软件是一扇厂商已经公开说过是开着的门。他们发布了修复，设备上还没有。在用手机或笔记本登录经纪商之前，安装系统更新并重启。浏览器也一样。落后一年的浏览器能打开网页，也会带着新版本已修好的漏洞。

从官方应用商店，或从你亲手输入地址的经纪商官网安装经纪商应用。即使邮件看起来没问题，也不要从邮件附件安装。在不再获得系统更新的手机上，停止批准提现。如果必须，就只用来看报价。把登录转到仍能获得修复的设备上。

为系统和浏览器开启自动更新，然后每月检查一次它们是否真的运行了。写着"自动"的设置加上一直被你推迟的重启，等于关闭。顺便删掉不再使用的经纪商应用，并退出那些旧应用的登录。旧手机上被遗忘的应用，依然是一个会话。

7. 点击前先核查经纪商邮件

钓鱼邮件会用经纪商的名字，再加一个让你着急的理由：账户被锁、提现失败、今晚到期的文件。着急才是重点。它就是为了让你没看清就点下去。

看@符号后面的域名，而不是显示名称。显示名称可以写任何东西。域名才是真正的发件人。多了一个词、换了一个字母、或结尾不同的域名，就是另一个网站。把鼠标悬停在链接上，或在手机上长按，先读地址再决定。然后，别打开它。自己输入经纪商的地址，或让密码管理器打开它已有的书签。

这就是密码管理器有用的地方。它在真正的域名上填入密码，在仿冒网站上拒绝填写。如果管理器没有提示密码，你很可能在错误的网站上。关闭标签页，从书签重新开始。

真正的经纪商不会让你念出登录验证码，不会让你发送助记词的照片，也不会让你安装远程控制软件好让客服"修复"账户。客服能从他们那边看到账户。需要你验证码的来电者不是他们的人。挂断电话，在经纪商网站上找到号码，自己打过去。

同样的停顿也适用于文件。要求你启用宏的对账单，或一个你没有要求过的程序形式的"平台更新"，都不是对账单。本站的指南是用来读懂交易术语的。习惯是一样的：打开你本来就想打开的东西，而不是邮件让你打开的东西。

8. 清理MT5和TradingView会话

如果登录时勾选了"保存账户信息"，MetaTrader 5会把密码保存在电脑上。在只有你用的机器上这很方便；在共用或可能卖掉的机器上，它就是一把存着的钥匙。只要电脑不是你一个人用，就取消勾选。离开时关闭终端，不要在别人能碰到的桌上开着实时图表。

MT5有两个密码。主密码能下单和改单。投资者密码只能查看。如果你要把账户的视图分享给一个不该交易的人，给的应该是投资者密码，并在不再需要时修改它。绝不要通过邮件或聊天发送主密码。如果已经发出去了，先改密码，再删除那条消息。

把服务器名称与你亲自打开的经纪商客户专区里的名称核对。根据邮件设置的终端，可能指向一个不是你选的服务器。在导航器里删除不再使用的账户，免得旧的保存登录因习惯被重新打开。

在远程机器、虚拟服务器或家里的备用电脑上，终端只要开着，就是一个已登录的会话。使用你掌控的、有自己锁屏的机器，工作结束就关闭终端。

TradingView以及绑定同一邮箱的其他图表网站，在账户设置里有已登录会话列表。打开它。退出所有你不认识的会话，也退出你已经不再拥有的手机。如果列表里有让你意外的东西，就改密码。不要只在受惊之后才做，每次买卖设备时都做一次。

9. 避开公共Wi-Fi，或使用VPN

咖啡馆、机场或酒店的网络，是你无法掌控的网络。运营它的人，或网络上的其他人，可以看到你打开了哪些网站，还能在中途塞进一个仿冒页面。最安全的简单习惯，是登录经纪商和交易所时避开它。使用你掌控的手机热点，或等回到自家网络再说。

如果不得不用那种网络，在打开经纪商之前先开启VPN，并确认已经连上。VPN会加密从你的笔记本到VPN服务商的路径，咖啡馆因此读不到页面内容。它不会让弱密码变强，也挡不住你自己主动打开的钓鱼页面。它是第9步这一个步骤，不能替代其余十一步。

NordVPNPartner是一款可在这类网络上使用的VPN的联盟链接。本页不对VPN排名，也不报告任何一款的试用结果。更全面的比较见适合交易者的VPN，产品笔记见NordVPN评测。价格和条款会变化。付款前请在服务商自己的网站上阅读。

在自家网络上，VPN可用可不用。保持路由器更新，不要让管理员密码和印在给客人的卡片上的Wi-Fi密码相同。如果路由器有访客网络，它能让访客远离你交易用的机器。

10. 不给API密钥提现权限

API密钥是给程序用的密码。交易日志、图表桥接工具或机器人用它读取账户，如果你允许，还能发送订单。危险的权限是提现。能提现的密钥，可以把资金转到程序或复制了密钥的人要求的任何地址。

只有在你选定的工具需要时才创建密钥。在创建页面上，保持提现权限关闭。如果网站还提供"只读"和"交易"之间的选择，就选能完成工作的最小权限。交易日志需要读取，不需要交易。如果页面上没有拒绝提现的选项，就不要创建这个密钥。

如果平台能把密钥限定到某个IP地址，就把它设为将使用它的那台机器的地址。这样被复制的密钥在别处都会失效。每个工具用一个密钥。停用某个工具时，删除那个密钥，保留其他的。凡是出现在截图、聊天、客服工单或会同步的笔记本里的密钥，都要轮换。删除图片删不掉副本。删除密钥才行。

不要把密钥和日常笔记放在同一个地方。密码管理器，或工具自己的密钥存储就够了。不要把密钥当作"备份"发邮件给自己。那封邮件是第二份副本，没有你刚设下的任何限制。

11. 开启登录提醒，并认真阅读

提醒只有送到你会看到的地方、并且你对意料之外的提醒采取行动时才有用。在每个经纪商、交易所和邮箱中，为新设备、新IP地址、密码错误以及提现名单变更开启邮件或推送提醒。把这些提醒发到第4步那个已经开了验证器应用的单独邮箱。落进没有第二重验证的收件箱里的提醒，可能被造成它的那个人删掉。

认真读。收到一条你不认识的提醒的那天，每周扫一眼是不够的。当登录提醒显示一个你没去过的城市或没用过的设备时，把它当成正在发生的事。不要等着看钱会不会动。按下一节的步骤逐一处理。

也为新的提现地址和密码修改开启提醒。这两条告诉你，被动过的不只是登录，还有设置。如果平台提供某个提醒但默认关闭，就趁你为其他步骤待在安全页面时把它打开。这里的五分钟，就是及时得知一个会话与日后发现账户被掏空之间的差别。

12. 趁还来得及，写下恢复计划

恢复计划是一张简短的笔记，在手机丢了或登录已经不对劲时，你可以照着做。在那天到来之前写好。到了那天，你不会想临时琢磨顺序。

写在纸上，和密码管理器的紧急备用资料放在一起，放在笔记本电脑以外的地方。包括：

• 备用码放在哪里，以及每一组属于哪个网站。
• 运营商名称、账户PIN，以及要说的话：锁定号码转移。
• 每个经纪商和交易所、账户编号，以及印在它们自己网站上的客服途径，而不是旧邮件里的号码。
• 哪些银行账户和币地址已经在白名单上，这样新出现的会很显眼。
• 如果你登记了第二把硬件密钥，它放在哪里。

现在就定好打电话的顺序。先打给运营商，让号码停止转移。然后是经纪商和交易所，用你信任的设备修改密码、退出会话并冻结提现。如果重置邮箱本身也可疑，再联系邮件服务商。把这个顺序写成一行，放在页面最上方，让你在紧张时也能读懂。

告诉一个你信任的人这张纸在哪里，而不是密码是什么。如果只有你知道那个抽屉，丢一把钥匙就会变成丢一个账户。每次更换经纪商或手机时检查这页纸，并写上检查日期。三部手机之前的计划，会把你引向一个你早已不用的号码。

检查清单：步骤、为什么重要、所需时间

把它当作工作清单。时间指的是登录信息已在手边时完成该步骤所需的时间。运营商排队可能更久。在花时间做其余步骤之前，先完成第1步和第2步。

如果某条登录提醒不是你本人

请按这个顺序行动，使用你信任的手机或笔记本，连接你信任的网络。手机热点可以。咖啡馆不行。

1. 从你自己的书签打开经纪商或交易所，修改密码。如果登录不了，就使用公司官网上的恢复途径，而不是提醒邮件里的链接。
2. 退出所有其他会话，包括远程机器上的MT5和旧手机上的TradingView。删除网站标记为受信任的所有设备。
3. 检查提现白名单和近期转账。 如果出现了新地址或新银行账户，删除它，并通过平台官网上的号码联系平台。
4. 给运营商打电话，锁定号码转移。如果手机已经没有信号，就用另一部手机，并准备好第3步的账户PIN。
5. 修改邮箱密码；如果有任何重置邮件看起来不对，也修改它的第二重验证，并确认恢复地址仍是你在第4步选定的那个。

然后趁还记得，把发生了什么以及时间写下来。客服会问。账户平稳下来后，把之前跳过的步骤重新做一遍。一条不是你本人触发的提醒，就是清单在告诉你哪一步还开着。

教育内容，不构成财务建议。价格、费用和优惠会变化：注册前请在服务商自己的网站上核实。交易杠杆产品有很高的亏损风险，您可能损失全部资金。