攻击者先争夺信息入口

诈骗常从搜索广告、群聊私信或假冒客服来电开始。链接页面可能复制品牌视觉，甚至有有效 HTTPS 证书；证书证明传输加密，不证明业务身份。收到信息后，不点击原消息中的入口，改用自己保存的可信地址或官方核验工具检查对方。

Binance Verify 可以核查部分网址、邮箱和社交账号，但核验结果也需要从已确认的官方页面进入。若把假冒 Verify 页面当成核验工具，整个流程会被攻击者接管。检查完整域名、浏览器地址栏和跳转路径，比单看页面 Logo 更有用。

登录层：减少单点失守

使用独立强密码和密码管理器，开启可用的通行密钥或其他双重验证，并保存恢复信息。短信验证码容易受到号码劫持、社工或设备迁移风险影响，不应是唯一防线。邮件账户同样重要，因为重置链接往往由邮箱接收。

反钓鱼码可以帮助识别部分官方邮件，却不能证明所有没有它的消息都是诈骗，也不能抵消对错误域名输入密码的风险。每次收到‘账户异常’通知，先从独立入口查看站内消息，再决定是否采取行动。

交易层：把错误挡在提款前

交易前确认收款地址、网络、资产类型和金额。地址白名单、冷却期、提款通知等功能如有提供，可以减少一次误点造成的损失。尤其在复制粘贴地址后，应核对开头、中段与末尾，不要只比对前后几位。

有人利用 AI 生成与熟人相似的语音催促转账。涉及新地址或大额资产时，用另一个既有联系方式回拨确认；组织内部可规定双人复核。速度要求越急、保密要求越强，越要暂停。

平台风控并非零误报的保险

币安 2026 年 9 月公开称其上半年使用百余个模型支持反欺诈及实时判断，这是平台自述数据，不能解读为所有诈骗都会被阻断。自动系统可能漏掉新型诈骗，也可能把正常交易标为异常，因此仍需要人工审核和申诉路径。

用户应保存操作时间、对方账号、链上交易哈希与截图，但不要将密码、私钥或证件发给自称调查人员的陌生人。若怀疑失守，先停止会话、改密并撤销可疑授权，再通过官方帮助中心报告。

把防线写成日常流程

每月检查登录设备、API 密钥、应用权限和通知设置；换设备时重新审视通行密钥和恢复方式；家人或同事知道紧急联系流程。安全措施需要在平静时配置，事故发生时人很难边辨别真假边设计流程。

最可靠的规则很朴素：入口自己找，权限尽量少，交易多看一遍，异常留证据。AI 时代的攻击成本下降了，但清晰的授权边界和独立核验仍能切断许多常见骗局。