SIM卡交換攻擊和雙重認證安全：如何更好地保護您的加密貨幣帳戶

對於加密貨幣帳戶，簡訊驗證碼不應作為主要的第二重驗證方式。 SIM卡交換攻擊可能使犯罪分子控制接收您簡訊和來電的手機號碼。如果該號碼同時也是您的交易所登入或密碼重設管道，那麼簡訊驗證碼可能不再能證明您正在登入。更實際的做法是將重要帳戶遷移到防釣魚的驗證方式——通常是使用密碼金鑰或硬體安全金鑰（如果支援）——並加強帳戶恢復機制。

但這並不意味著帳戶就絕對安全。惡意軟體、被入侵的電子郵件收件匣、社交工程攻擊、不安全的復原操作以及已解鎖的裝置仍然可能破壞良好的安全習慣。但是，將簡訊從最敏感的路徑中移除，可以消除一個具體且影響深遠的漏洞。

什麼是 SIM 卡交換攻擊？為什麼加密貨幣領域對 SIM 卡交換攻擊的關注度如此之高？

SIM卡交換詐騙，也稱為攜號轉網詐騙，是指有人以欺詐手段將您的手機號碼轉移到他們控制的SIM卡或eSIM卡上。美國聯邦貿易委員會（FCC）表示，如果發生這種情況，應立即聯絡您的電信業者以重新獲得號碼控制權。 FCC也將SIM卡交換詐騙和攜號轉網詐騙列為手機詐騙。

攻擊者無需破解簡訊加密。他們的目標是控制終端：您的手機號碼。一旦得逞，他們就能收到原本發給您的驗證碼、密碼重設簡訊、帳號提醒和來電。這對加密貨幣交易所尤其具有破壞性，因為攻擊者可能試圖重置密碼、批准新設備、更改提現設定或繞過薄弱的恢復流程。

手機訊號突然中斷可能是警示訊號，但這本身並不能作為判斷依據；網路中斷、設備故障和帳戶問題都可能由常見原因造成。如果通話、簡訊和行動數據意外中斷，同時伴隨陌生的密碼重設資訊、登入提醒或帳號變更，則應視為緊急情況。

簡訊雙重驗證比沒有雙重驗證更好嗎？

通常情況下是的。基於簡訊的雙因素認證相比單獨使用密碼仍然是一道額外的安全屏障，可以阻止一些不法分子趁機盜取帳戶的行為。但將其視為重要資產的最後一道防線是錯誤的。

簡訊驗證面臨的風險與身分驗證應用程式或安全金鑰面臨的風險有所不同：SIM卡交換、營運商帳戶盜用、號碼攜號轉網詐欺以及電信系統中的攔截或重新導向。美國國家標準與技術研究院 (NIST) 的數位身分指南將透過公共交換電話網路進行的帶外身份驗證歸類為受限身份驗證器，反映了這些限制。美國網路安全與基礎設施安全局 (CISA) 建議使用防釣魚的多因素身份驗證 (MFA)，並指出，當無法使用更強大的 MFA 時，號碼匹配比普通推送提示或基於短信的攻擊更可取。

此表格僅供決策參考，並非聲稱單一因素就足以滿足所有人的需求。對於數額較大的交易所餘額，請使用交易所實際支援的最強安全措施，然後以同等標準保護電子郵件和恢復管道。

您應該先選擇哪一項升級？

首先檢查能夠解鎖所有其他帳戶的帳戶：您的主郵件收件匣。如果您的 Exchange 密碼重設連結傳送到該收件匣，那麼即使設定了強密碼，如果可以透過簡訊輕鬆重設郵件帳戶，則安全性也無濟於事。盡可能為郵件信箱啟用密碼金鑰或硬體金鑰驗證方式，使用唯一的密碼，並檢查復原信箱位址、復原電話號碼和目前工作階段。

接下來，請自行輸入已知的網址或使用可信任的書籤開啟各交易所的官方安全設定－切勿點選簡訊、私訊或搜尋廣告中的連結。尋找諸如「密碼」、「安全金鑰」、「硬體金鑰」、「FIDO」或「WebAuthn」之類的字眼。例如，Coinbase 目前的說明文件中列出了密碼和安全金鑰的組合，以便在手機遺失時提供備份。這只是一個交易所提供的範例，並不代表所有交易所的設定都相同。

如何在不把自己鎖在門外的情況下設置更強大的雙重身份驗證？

當服務允許時，註冊兩個獨立的身份驗證器。

保留一個主密碼或安全金鑰和一個備用金鑰，且備用金鑰不要存放在同一位置。將第二個硬體金鑰存放在安全的地方通常比每次都使用同一部手機進行備份更簡單。不要註冊您以後無法辨識或控制的備份設備。

特意保存恢復代碼

恢復碼雖然很有用，但它們本質上是帳號金鑰。請將它們離線儲存或保存在安全可靠的密碼管理器中，切勿儲存在雲端筆記、電子郵件草稿或螢幕截圖庫中。請務必確認恢復碼完整且有效；某些服務會在您產生新恢復碼時使舊恢復碼失效。

只有在找到經過驗證的替代方案後，才能移除簡訊功能。

不要先刪除簡訊驗證碼就想當然地認為新方法有效。註冊更安全的驗證方式後，以可控的方式登出登錄，並驗證您是否可以從正常裝置重新登入。如果服務允許，也請驗證備份。然後，如果服務提供此選項，則減少或取消簡訊驗證碼的登入和恢復功能。某些服務需要手機號碼才能進行監管、通知或恢復功能；在這種情況下，請盡量減少簡訊驗證碼的權限，並依賴服務提供的最安全的登入方式。

您還需要保護行動電信商帳戶嗎？

當然。升級雙因素認證會降低被盜號碼的價值，但您的手機號碼仍然會接收來電、簡訊和可能的警報。請向業者諮詢他們為更換SIM卡和號碼轉移提供哪些保護措施，例如帳戶PIN碼、號碼轉移鎖定或額外的驗證方式。使用唯一的運營商帳戶密碼。不要依賴容易被猜到的個人資訊答案來回答帳戶驗證問題。

此外，也要盡量減少公開個人訊息，以免攻擊者利用這些資訊冒充您。避免公開您的完整出生日期、地址或手機號碼。對於運營商主動打來的索要帳號驗證碼的電話或短信，務必保持警惕；請通過已驗證的號碼或其官方應用程序聯繫運營商。

登入後還有哪些因素可以保護加密貨幣？

身份驗證可以確保登入安全，但並不能自動保護之後的所有操作。如果您的服務商支持，請啟用提現地址白名單、提現延遲、新設備提醒和交易確認等功能。定期檢查 API 金鑰，並撤銷不再使用的金鑰。僅保留在交易所交易所需的資金；託管方式的選擇本身就存在風險，因此應謹慎選擇。

為每個 Exchange 帳戶和電子郵件帳戶設定獨特且足夠長的密碼。使用密碼管理器有助於避免重複使用密碼，並能更輕鬆地識別相似的網域名稱。在確認提示訊息之前，請仔細閱讀設備和位置資訊。切勿將驗證碼、恢復碼、助記詞或私鑰透露給來電者、線上客服或即時通訊聯絡人。

如果你的手機突然失去訊號，你該怎麼辦？

1. 使用其他裝置或手機透過官方管道聯絡營運商，通報疑似 SIM 卡更換或攜號轉網的情況。
2. 首先，請使用您信任的裝置保護您的主要電子郵件：如有必要，請變更密碼，撤銷不熟悉的會話，並檢查復原方法。
3. 接下來，請確保您的交易所帳戶安全。如果您發現任何未經授權的活動，請使用交易所的官方帳戶鎖定或支援流程。
4. 更改可能已洩露的密碼，並儘可能移除已洩露的電話號碼作為身份驗證或恢復因素。
5. 記錄時間、運營商簡訊、登入提醒和交易記錄。如遇身份盜竊或詐欺行為，請透過您所在國家/地區的官方管道進行檢舉。

事件發生期間，不要急於回覆收到的「支援」訊息。攻擊者往往會利用這種緊迫感。請直接聯絡服務提供者，並使用其官方網站上的聯絡資訊。

如何判斷你的配置是否真的更強？

如果僅憑被盜手機號碼無法重置您的電子郵件或交易所帳戶；您至少擁有一個經過測試的獨立備份；恢復碼受到保護；並且您可以解釋如果主手機丟失您將採取的措施，則您的加密貨幣帳戶安全得到提升。每當您更換手機、更換電信業者、更換安全金鑰或交易所更改其安全設定時，請重新檢查這些假設。

來源

• 美國聯邦貿易委員會：SIM卡詐騙－如何保護自己
• 美國聯邦通訊委員會：手機詐騙
• CISA：不只密碼——多因素身份驗證
• CISA：實施防釣魚多因素身份驗證
• NIST SP 800-63B：數位身分指南
• Coinbase 說明：設定兩步驟驗證