两步验证，就是登录、提币、改安全设置的时候，除了密码，再交一样只在你手里的东西。常见的三种：短信码、邮箱码，还有手机上验证器 App 自己算的 6 位数，每 30 秒换一次。密码被人偷了，他手里没有这第二样，照样进不来。
该用哪种？建议让验证器当主力，短信和邮箱一直绑着，留作找回的路。验证器的码是手机自己离线算的，不走运营商，也不走邮件服务器，半路没东西可截。麻烦出在手机丢了的时候，绑定时那串密钥要是没留，码就跟着没了，只能找平台重置。几种方式摆一起看：
| 方式 | 码从哪来 | 主要风险 | 适合谁 |
|---|---|---|---|
| 短信验证码 | 平台发到你的手机号 | 有人冒充你补办 SIM 卡、把号码转走；携号转网、人在国外没开漫游、欠费停机时，都可能收不到 | 刚注册时先用着，之后留作备用 |
| 邮箱验证码 | 平台发到你的注册邮箱 | 邮箱密码一泄露，码也跟着泄露；邮件进了垃圾箱，或者来得慢 | 人人都该绑着，收通知、找回账户用 |
| 验证器 App | 手机上的 App 按时间自己算 | 手机丢了又没留密钥；开着云同步时，云账户被人盗了 | 账户里有钱、要提币的人 |
| 通行密钥 | 不出码，在手机上按指纹或刷脸确认 | 换了手机或换了云账户，新设备上可能找不到它 | 手机系统够新、想少输码的人 |
收不到短信或邮件验证码是另一回事，得照页面提示分开查，看注册收不到验证码：短信和邮件分开查。
两步验证里的「第二个因素」是什么
能拿来证明「你是你」的东西，大致分三类：你知道的，比如密码；你拥有的，比如手机、手机号、装着验证器的那台设备；你本人的，比如指纹和人脸。两步验证要的，是从不同的类里各拿一样。
为什么非得不同类？假设你在一个假网站上输了密码，骗子拿到的是「你知道的」那一样。第二样如果也能被他顺手拿走，两步就成了一步。
拿这把尺子量，短信码和验证器码都算「你拥有的」，证明那个号码、那台手机在你手上。邮箱码就有点虚：邮箱要是没开两步验证，守着它的也只有一个密码。你的邮箱和交易所再用同一个密码的话，一次泄露就是两样一起丢。
短信码和邮箱码，弱在哪里
短信码认的是号码，不认手机。号码被人冒名补了卡、转了网，码就发到别人手上，你这边最先觉出不对的，可能只是电话、短信突然都收不到了。
美国国家标准与技术研究院（NIST）的数字身份指南 SP 800-63B-4 对这两种都不客气。走电话网的短信、语音验证，被它列为「受限」的验证方式，还提醒验证方在发码前留意换卡、号码转网这类迹象。邮件它干脆不让拿来做这种验证，头一条理由就是光凭一个密码就能进邮箱。
这份指南是写给美国政府系统的，管不到交易所。可它讲的理由，搬到你的交易所账户上照样成立。
验证器的码为什么 30 秒换一次
绑定验证器那一刻，平台给你一串密钥，屏幕上那个二维码装的就是它。从此你的手机和平台各存一份。要码的时候，两边各拿「密钥 + 当前时间」算一遍，算出来一样就放行。所以验证器不用联网。谷歌验证器的帮助页就写着，没网也能生成验证码。
这套算法有公开标准，叫 TOTP，写在 2011 年 5 月发布的 RFC 6238 里。时间按 30 秒切成一格，同一格里算出的码相同，到了下一格就换。为什么偏偏是 30 秒？按 RFC 的说法，格子越长，码被别人看到以后能拿去用的时间也越长；30 秒是它推荐的默认值，在安全和好用之间取了个折中。
既然靠时间算，手机时间就得准。码老是提示错误，先去系统设置里把日期和时间改成自动。谷歌验证器 7.0 版以后已经没有单独的「时间校正」，直接用手机系统的时间。
码一直在变，密钥却一直不变，这点要记牢。验证器删了、手机换了，密钥还在，在新手机上重新添加，出来的码和原来一样。反过来，谁拿到这串密钥，谁就能在自己手机上算出你的码。
换手机、丢手机时，验证器怎么迁
分三种情况。
旧手机还在。 验证器一般自带迁移。谷歌验证器帮助页写的步骤，安卓和 iPhone 一样。旧手机上点菜单，进【转移账号】-【导出账号】，解锁手机、选好要转的账户，点【下一步】，屏幕上会出二维码；新手机装好谷歌验证器，点菜单，进【转移账号】-【导入账号】，扫它。帮助页的步骤里，新手机会先登录谷歌账号，一登录同步就开了；不想开，第一次打开时点【在不登录账号的情况下使用】。这个二维码谁扫了，谁的手机上就有了你那几个账户的码，所以扫完就关，别截图，也别发给任何人。新手机上确认能登录、能出码之前，旧手机别急着恢复出厂。
手机丢了，密钥当初抄下来了。 在新手机的验证器里手动输入密钥，码就回来了。码回来以后，最好再去平台上改绑一次，换一串新密钥。丢的那台手机里存着旧密钥，捡到的人只要能解锁，就算得出你的码。NIST 那份指南讲换设备，也是优先在新设备上重新绑定、让旧的作废。
手机丢了，密钥也没留。 只能找平台重置。这时候能证明是你本人的，就剩还绑着的短信和邮箱。
换手机、重置这几步，最容易被人钻空子。码只输进你自己亲手打开的登录页、提币页。谁打电话、发消息让你念验证码、发密钥截图，或者让你扫一个二维码说「帮你迁移」「帮你解冻」，一律别给。码一交出去，对方就能拿着它登录、提币；万一已经给了，马上改密码，联系交易所客服。
以欧易为例：改绑、重置和云同步
还能登录的话，欧易有两个入口。下面的路径和按钮名，是 2026 年 10 月照帮助中心《如何修改身份验证应用？（Web/App端）》核对的，那页最近一次更新在 10 月 1 日：
- App：首页点左上角图标，进个人中心 -【安全设置】-【身份验证应用】，选【修改身份验证应用】，复制密钥，到验证器里添加好，回来点【下一步】，输入【手机验证码】和新验证器上的码，点【提交】。
- 网页：右上角个人中心 -【安全中心】，点【身份验证应用】后面的【修改】，用验证器扫二维码，再输【短信验证码】和【新身份验证应用码】，点【确定】。
新验证器那一栏最容易填错。这时验证器里可能躺着两条同名的账户，旧的那条要等改完才失效，填的得是刚添加的那条。添加时可以给新的这条起个带日期的名字，改完确认能用，再把旧的删掉。
改完要是收到邮件说旧验证器解绑了，别慌。《身份验证应用常用问题》专门答过这一问，说绑新验证器时系统会自动解绑旧的，是正常的安全措施。
改完之后 24 小时不能提币，也不能 C2C 卖币，这 24 小时是跟着「修改身份验证应用」来的。所以用哪种办法换，先看旧手机的去向。旧手机留在自己手里、也没发现异常，就用上面那种导出迁移，平台这边的绑定没动。旧手机要卖掉或送人，就照 NIST 的顺序在平台上改绑，换一串新密钥，多等一天也值。
已经登不进账户，就只能在 App 里重置：登录时在密码页点【忘记密码？】，确认手机号或邮箱，点【继续】，到双重验证那一步点【无法验证？】-【重置安全验证方式】，选用不了的那一项或几项，再用剩下还能用的方式验证。同一个按钮，另一页《手机/邮箱/身份验证应用无法使用怎么办？》叫它【重设双重验证】，你屏幕上是哪个名字就点哪个。自己冻结过账户的，就重置不了了，这时在登录页点【获取帮助】-【联系客服】，开口前要备哪几样，看找欧易客服之前。
还有云同步。谷歌的帮助页劝你把验证码同步到谷歌账号，怕的是换了手机登不上；欧易帮助页《如何安全使用身份验证 App？》却强烈建议关闭「云同步」，或者把验证器装在一台没装欧易 App 的设备上，理由是谷歌、微软这类账户一丢，验证器里的码也会被人拿到。
通行密钥：不用输码的另一类
通行密钥（Passkey）干脆不让你输码。开通时手机生成一对钥匙，私钥留在手机或密码管理器里，网站只拿到公钥。登录时手机用私钥签个名，你按一下指纹或刷一下脸放行。
前面三种码有个通病：都得你亲手抄进网页。假网站把你刚输的码当场转手，拿到真网站去登录，你输得再快也拦不住。NIST 的指南也写明，靠手动输入的码不算防钓鱼。通行密钥还认网址，换成假网站，手机不会拿这把钥匙去签。
所以用验证器的时候，最后一道关还是你自己看清网址。
开了通行密钥，验证器也别解绑。通行密钥跟着手机或云账户走，换了手机、换了云账户，新设备上可能找不到它，这时候验证器还在，就还有别的办法证明是你。换手机、丢手机以后通行密钥怎么处理，看换手机后通行密钥还能用吗。
怎么搭配：验证器为主，短信和邮箱留后路
按账户里有没有钱来分：
- 刚注册、还没入金：短信和邮箱先用着就行。
- 准备入金、提币：入金之前把验证器绑上。以后再换验证器，平台可能会临时停掉提币，趁账户里没钱先弄好。绑的时候把密钥抄在纸上，收进一个不会随手扔掉的本子里。
验证器的云同步，我建议关掉。同步开着，换手机确实省事，码自己就跟过去了；可码也因此存进了你的谷歌或微软账户，那个账户一被盗，第二样就跟着第一样一起丢。交易所账户里放的是钱，宁可换手机时多费点事，靠纸上抄的那串密钥恢复。具体怎么关，看注册后先开哪几项安全设置。
短信和邮箱，也要照看好：
- 手机号别随手停。它是找回验证器的一条路。真要换号，先在交易所里把手机号改过去，再停旧卡。
- 邮箱用一个跟交易所不一样的密码，邮箱自己也开两步验证。
- 常出国，或者号码携号转网过，更别把短信当成唯一的那一道。