币安允许同时启用多种 2FA。本文给最稳叠加方案。下载入口：币安官网，移动端 币安官方APP，iOS 没装 App 看 iOS 安装教程。
一、可用 2FA 类型
| 类型 | 强度 | 便利 |
|---|---|---|
| 硬件密钥（YubiKey / Passkey） | ★★★★★ | ★★★★ |
| Authenticator（TOTP） | ★★★★ | ★★★★★ |
| 邮箱验证码 | ★★★ | ★★★★ |
| 短信验证码 | ★★ | ★★★★ |
| 备用码 | ★★★（一次性） | ★★ |
二、推荐叠加方案
黄金组合
- 登录主用：YubiKey（最强）
- YubiKey 不在身边时：Authenticator
- 特殊操作：邮箱验证码（带反钓鱼码）
- Authenticator 也失效：备用码
- 通知通道：短信（仅接收，不作验证）
每层都有备用，每层都更弱（攻击成本逐层增加）。
三、最低保护方案
如果只想做最少：
- Authenticator + 备用码 + 邮箱反钓鱼码
三件都做就比 95% 用户安全。
四、不同场景使用
日常登录
- 新设备：YubiKey + 邮箱
- 已信任设备：免（可设置 30 天免）
提币
- YubiKey + 邮箱码（永远要求）
- 大额可能加短信（如绑了）
改设置
- YubiKey + Authenticator + 邮箱
- 改邮箱 / 手机号需 72 小时锁定
应急（YubiKey 丢）
- 用 Authenticator
- 没有 Authenticator 用备用码
- 都没 → 客服重置
五、设置流程
顺序
- 注册账号
- 立即绑 Authenticator + 抄种子
- 绑短信（仅作通知）
- 启用反钓鱼码
- 买 YubiKey 两把 + 绑定
- 保存备用码
- 启用提币白名单
按这顺序来，账户从一开始就处于强保护。
六、定期维护
每月
- 30 分钟审计登录历史 / API / 白名单
- 测试 Authenticator 与备用码（用一个登录验证）
每季度
- 改密码
- 备份种子核对（在备用机重生成验证码）
每年
- 重置 2FA（清理旧种子，绑新）
- 更新硬件密钥固件
- 演习"YubiKey 丢失" 流程
七、攻击者视角
我们站在攻击者角度看你的防御：
攻防 1：拿到密码
攻击者：拿到密码后试登。 你：YubiKey + Authenticator 拦住。
攻防 2：拿到密码 + Authenticator
攻击者：钓到密码 + 30 秒码。 你：YubiKey 是物理无法钓的。挡住。
攻防 3：SIM Swap 拿到短信
你：短信只是通知，不是 2FA 渠道。挡住。
攻防 4：邮箱被攻陷
攻击者：拿邮件验证码 + 重置密码。 你：YubiKey 仍要求物理触摸。挡住。
攻防 5：物理夺走 YubiKey
攻击者：物理夺走 YubiKey + 强迫输密码。 你：这是社会工程级别攻击，最后防线是冷钱包大额。币安热账号资产损失但冷钱包不丢。
八、用户体验权衡
每多一层 2FA = 每次操作多 5-10 秒。日常成本不大。
但初次配置成本高——买 YubiKey + 设种子 + 印备用码可能花一下午。这一下午是终身受益。
FAQ
Q1：能关闭某类 2FA 吗？ 能。账户安全 → 各 2FA 项 → 禁用。但建议至少保持两层。
Q2：多 2FA 影响 API 吗？ API 用单独 API key。2FA 不直接影响 API 调用，但 API key 创建本身需 2FA 验证。
Q3：哪种 2FA 最便宜？ Authenticator 免费。YubiKey ~$50。性价比最高的是 YubiKey。
Q4：能不能"信任设备 30 天"省 2FA？ 能。但提币 / 改设置仍需 2FA。