香港证监会要求持牌虚拟资产交易平台和互联网券商逐步停止把一次性密码用于客户登录和设备注册。The Block报道称，这一要求与仿冒和账户接管风险上升有关，机构需要在约12个月内采用更强的认证方式，例如通行密钥和设备绑定。
这件事对交易者的启示很直接：账户访问权限本身就是风控层。即使止损设置合理，如果登录被盗，攻击者仍可能下单、提币或修改安全设置。加密交易所和股票交易App都在面对同一个问题，因为它们都承载着移动端、高价值账户。
用户应检查平台是否支持通行密钥、硬件安全密钥、可信设备管理、提现确认、新设备提醒和会话记录。短信验证码很方便，但在SIM卡劫持和钓鱼攻击面前，安全性往往弱于认证器App或基于加密的passkey。
更好的习惯是像仓位管理一样提前配置安全项：离线保存备用码，清理旧设备，不确认自己没有发起的登录请求，并尽量把交易资金和长期持仓分开。
Sources: The Block; Hong Kong SFC.
风险提示：更强认证可以降低账户被接管风险，但不能消除市场、平台、托管和钓鱼风险。本文仅作教育用途，不构成投资建议。
原创文章，作者：financial transaction，如若转载，请注明出处：https://www.fanbi.net/archives/1894
