很多被盜賬號的根因不是釣魚也不是 SIM Swap，而是最基礎的"密碼太弱"。還在用生日 + 姓名的使用者第一件事就是換密碼，之後登入 幣安官網 完成修改，再重新在 幣安官方APP 上用新密碼登入；iPhone 沒裝 APP 的先看 iOS安裝教程 裝好。本文講一套從密碼強度、密碼管理器、撞庫防禦到定期輪換的完整做法。
一、幣安的密碼規則有多寬鬆
幣安的登入密碼規則是：
- 最少 8 位
- 必須包含大小寫字母
- 必須包含數字
- 可以使用特殊字元但不強制
這套規則在 2026 年的安全標準下已經非常弱。一個只有 8 位、大小寫 + 數字的密碼，暴力破解時間約為 5 小時（使用主流消費級 GPU）。也就是說，如果你的密碼只滿足最低規則，被破解只是時間問題。
二、什麼樣的密碼才算夠強
安全研究者推薦的當前強密碼標準是：
- 長度至少 16 位（每多 1 位，破解時間提高 70 倍）
- 字符集覆蓋 4 類：大寫字母、小寫字母、數字、特殊符號
- 完全隨機，不是任何可讀的單詞或片語
- 不在任何已洩露密碼庫裡（可到 haveibeenpwned.com 核對）
一個合格的強密碼示例：xK7@mN9#qL3$vP8!wR2&
這樣的密碼人工暴力破解需要數百億年，足夠在你還活著的時候保持安全。
三、人不應該記密碼，而是用密碼管理器
16 位隨機密碼沒人能記住，這是為什麼密碼管理器是必需工具而不是可選項。主流推薦（按安全性排序）：
| 密碼管理器 | 型別 | 優缺點 |
|---|---|---|
| Bitwarden | 開源、雲同步 | 免費版已夠用，E2E 加密 |
| 1Password | 商業、雲同步 | 體驗最好，每月約 3 美元 |
| KeePassXC | 開源、本地 | 不依賴雲，自己管同步 |
| Dashlane | 商業、雲同步 | 自帶 VPN，但價格高 |
| LastPass | 商業、雲同步 | 不推薦，2022 年有過嚴重洩露事件 |
安裝後的使用流程：
- 用一個極強的主密碼登入密碼管理器（這是你需要記住的唯一一個密碼）
- 讓管理器隨機生成幣安賬號用的 20 位密碼
- 登入幣安時用管理器自動填充
- 主密碼的管理器本身開啟 2FA（再加一層）
四、警惕撞庫攻擊
撞庫（Credential Stuffing）是目前最普遍的賬號盜用方式。攻擊者拿著從其他網站洩露出來的郵箱 + 密碼，批次到幣安嘗試登入。如果你在多個網站用了同一個密碼，只要其中任何一個被洩露，幣安賬號就可能被盜。
自檢方法
到 haveibeenpwned.com 輸入你的幣安註冊郵箱。如果結果提示你的郵箱曾出現在某次資料洩露中，說明：
- 你的郵箱地址已公開
- 你在那個被洩露網站上用的密碼可能已公開
- 如果幣安用了同一個密碼，必須立即修改
預防策略
- 每個網站用不同的密碼——這是密碼管理器最大的價值
- 每 3-6 個月檢查一次 haveibeenpwned
- 發現洩露後立刻改掉那個網站和所有其他用過同密碼的地方
- 給幣安郵箱本身也設一個獨特密碼
五、幣安賬號要不要定期改密碼
傳統觀點是"每 3 個月換一次"，但 NIST 在 2017 年已經更新了建議——如果你的密碼足夠強且沒洩露跡象，定期改並不能提高安全。定期改密碼反而有負面作用：使用者會偷懶把新密碼設成"原密碼 + 年月"的形式，反而降低了密碼強度。
當前建議的改密碼時機：
- 發現郵箱出現在 haveibeenpwned 資料洩露庫中 → 必改
- 感覺有人異地登入過，但你不確定 → 必改
- 在公共電腦或不信任的網路上登入過 → 必改
- 最近沒有啟用 2FA，決定開始啟用的 → 建議改
- 單純"密碼很久沒換了" → 不用改
也就是說，強密碼 + 2FA + 白名單 + 不洩露的情況下，一個密碼可以用 5 年以上。
六、改密碼的安全操作步驟
- 登入幣安官網，確認位址列是 binance.com 主域
- 進入 賬戶 → 安全 → 修改密碼
- 輸入舊密碼驗證身份
- 讓密碼管理器生成新密碼（20 位 + 四類字元）
- 儲存新密碼到管理器
- 確認修改，幣安會要求 2FA 和郵箱驗證碼雙重確認
- 修改成功後自動登出所有其它會話——你需要在其它裝置重新登入
- 檢查一次裝置管理列表，只保留你現在這臺裝置
七、與密碼配套的郵箱/手機號策略
郵箱和手機號是"找回密碼"的兩個關鍵通道，所以它們的安全等級要至少等同於幣安賬號本身：
郵箱
- 用專門的郵箱註冊幣安，不和任何其它賬號混用
- 郵箱本身開啟 2FA（Gmail 綁 Google Authenticator 是最強組合）
- 檢查郵箱的恢復選項裡沒有陌生的手機號或備用郵箱
- 啟用郵箱的"登入活動"監控，異常登入立即告警
手機號
- 用作 2FA 的手機號不要在社交平臺公開
- 大額賬號建議換到不常公開使用的號碼
- 考慮在運營商處申請"號碼保護"服務，防止 SIM Swap
- 條件允許時把簡訊 2FA 換成 Google Authenticator（見本站"2FA設定"分類）
八、密碼 + 2FA 組合的威力
光有強密碼不夠，光有 2FA 也不夠，兩者結合才是目前最佳實踐。攻擊者在面對"20 位隨機密碼 + Google Authenticator"的賬號時，需要同時滿足：
- 拿到你的密碼（撞庫無效，因為密碼是唯一的）
- 拿到你的 Google Authenticator 金鑰或物理手機
- 透過幣安的風控（異地登入需要郵箱驗證）
這三個條件同時達成的機率接近於 0。真正面臨這種攻擊的賬號幾乎都是大資產高價值目標，而你作為普通使用者把基礎打好，大機率永遠不會遇到這個級別的威脅。
常見問題
Q：我忘了主密碼怎麼辦？ A：取決於用的是哪個密碼管理器。Bitwarden、1Password 等無法找回主密碼（這是 E2E 加密的代價），意味著你必須記住主密碼。建議用一個你能記 10 年的強密碼，並把它的恢復線索寫在紙上放保險櫃。
Q：為什麼不推薦 LastPass？ A：2022 年 LastPass 發生了嚴重的資料洩露事件——攻擊者拿到了雲端的加密密碼庫備份。雖然加密密碼仍需暴力破解，但對弱主密碼的使用者已經造成實際損失。推薦遷移到 Bitwarden 或 1Password。
Q：Apple Keychain 和瀏覽器自帶的密碼管理算夠用嗎？ A：對普通使用者算夠用，前提是你的 Apple ID 或瀏覽器賬號本身非常安全（有強密碼 + 2FA）。對持有較大加密資產的使用者，建議單獨用專業密碼管理器。
Q：生物識別（指紋/Face ID）可以代替密碼嗎？ A：不能完全代替，但可以在已登入裝置上簡化每次解鎖。登入幣安本身仍需要密碼 + 2FA；之後在 APP 裡的快速操作可以用生物識別。
Q：密碼強度檢測工具推薦哪個？ A：可以用 zxcvbn（Dropbox 開源）或 howsecureismypassword.net，輸入密碼可以估計破解時間。但不要把真實密碼輸入到任何線上工具，用來測試時輸入結構類似的假密碼即可。