CoinFeeHub
EN

CoinFeeHub 参考资料

用 NordPass 管理交易所账户：独立密码、通行密钥与双重验证

重复使用的密码是进入交易所账户最容易的途径：从某个网站泄露的密码会被自动拿到其他网站上尝试，这称为撞库攻击。NordPass 是一款密码管理器，可以为每个交易所及其绑定邮箱分别保存一个生成的独立密码，存储通行密钥，并检查密码库中的弱密码或重复密码。它不能替代双重验证，也无法阻止你在假网站上手动输入密码；自托管钱包的助记词不应放进 NordPass，也不应放进任何云端密码管理器。

为什么重复使用密码会导致交易所账户被盗

当其他网站泄露了你的邮箱和密码，攻击者就会拿同一组凭据去尝试登录交易所。纽约州金融服务部曾因攻击者利用泄露凭据登录未启用多重身份验证的账户，对 PayPal 处以 200 万美元罚款——这是 交易所账户是如何被盗的 中六种方式之一。CISA 对所有账户的建议都一样：使用长而随机的独立密码，并用密码管理器生成和保存。邮箱账户最重要，因为交易所的密码重置邮件会发到那里。

所有网站同一个密码每个交易所一个密码购物网站数据泄露you@mail · Summer2024!机器人尝试这组凭据交易所 A被登录交易所 B被登录邮箱被登录购物网站数据泄露you@mail · 独立密码 k7#Q…机器人尝试这组凭据交易所 A密码错误交易所 B密码错误邮箱密码错误一次泄露 → 所有用这个密码的账户一次泄露 → 只影响泄露的网站
一张图看懂撞库：只有在密码被重复使用时，无关网站的泄露才会变成交易所账户被盗。密码管理器让“每个网站一个密码”变得可行。

设置顺序

  1. 先处理邮箱账户。 为注册交易所用的邮箱设置一个单独生成的密码，并开启 MFA。谁控制了这个邮箱，谁就能重置你的交易所密码。
  2. 每个交易所一个独立密码。 NordPass 的密码生成器（Password Generator）可生成“独一无二的复杂密码”并直接存入密码库。凡是在其他地方用过的交易所密码都应更换；部分交易所在改密码后会短暂暂停提币（见安全设置对照表）。
  3. 交易所支持时使用通行密钥。 NordPass 表示可以“在密码库中存储和管理通行密钥，并在任何设备上使用”。通行密钥与真实网站绑定，钓鱼页面无法重复使用。哪些交易所提供通行密钥：八家交易所安全设置对照表。
密码你假登录页面exchange-login.example攻击者真实交易所输入复制登录通行密钥你的设备exchange.com 的通行密钥假登录页面exchange-login.example真实交易所exchange.com✕ 域名不匹配✓ 签署登录拿不到可重复使用的信息只有真实域名有效
密码在任何地方输入都有效，包括假页面。通行密钥与交易所的真实域名绑定，仿冒页面拿不到任何可以重放的信息。
  1. 双重验证优先用身份验证器，而不是短信。 SIM 卡劫持窃取的正是短信验证码；身份验证器应用或通行密钥更安全。交易所允许时，移除短信验证方式。
  2. 检查密码库。 NordPass 列出的功能包括密码健康检查（Password Health，找出“弱密码、超过 90 天未更换或被重复使用的密码”）和数据泄露扫描器（Data Breach Scanner，检查你的邮箱地址或银行卡信息“是否已经泄露”）。优先处理交易所和邮箱登录中被标记的问题。
  3. 助记词只离线保存。 把自托管钱包的恢复短语抄写在纸张或金属板上，妥善保管。不要把它输入密码管理器、笔记应用、照片、邮件或云盘。

功能名称与引文来自 NordPass 官方功能页面，核对于 2026-10-07；具体功能可能因应用和方案而异。设置顺序为 CoinFeeHub 编辑建议。

什么该放在哪里

内容放进密码管理器？原因
交易所密码是每个交易所一个生成的密码，其他网站泄露时也无法用来登录。
邮箱账户密码是邮箱可以重置其他所有账户，因此需要最强的独立密码并开启 MFA。
通行密钥是（交易所支持时）与真实网站绑定，比验证码更能抵御钓鱼。
双重验证一次性验证码自行决定——需要权衡NordPass 内置身份验证器（Built-in Authenticator）。把验证码和密码放在一起很方便，但密码库一旦失守，两个验证因素会同时暴露。用手机上单独的身份验证器应用，可以把两者分开。
双重验证备用码 / 恢复码自行决定——同样需要权衡放在同一个密码库里会削弱因素之间的隔离；离线保存一份可以把它们分开。
自托管钱包的助记词或私钥否任何人拿到它就能控制钱包，也没有交易所可以冻结资产。只离线保存。

常见问题

密码管理器会不会成为单点故障？

它把风险集中到主密码上，所以主密码要足够长且独立，并为密码管理器本身开启 MFA——NordPass 的功能列表中包括多重身份验证和生物识别。而另一种选择——重复使用密码——会在所有网站上同时悄无声息地失守。

应该让 NordPass 保存交易所的 2FA 验证码吗？

可以通过其内置身份验证器实现，但这样一个密码库就同时保存了两个验证因素。如果希望分开，就把 2FA 放在单独的身份验证器应用中，密码管理器只保存密码和通行密钥。

可以把助记词存进 NordPass 吗？

不要。助记词就是钱包本身，应离线保存在纸张或金属板上。这一点适用于所有云端密码管理器，不只是 NordPass。

密码管理器能阻止钓鱼吗？

不能完全阻止。你仍可能在假网站上手动输入密码。通行密钥、反钓鱼码和从书签登录可以弥补这一点——参阅 安全设置对照表。

来源与编辑说明

来源核对于 2026-10-07。NordPass 页面为厂商对自身功能的说明；政府页面为一手指引。设置顺序与存放权衡为 CoinFeeHub 编辑建议。

更新记录

2026-10-07 · 新建页面：设置顺序、存放权衡及官方功能来源。