硬件密钥双重认证现已成为新账户默认设置

1. The change

自 2026-02-19 起,bitexasia.com 的注册流程会要求新用户在 SMS 或 TOTP 之前先注册一枚 FIDO2 硬件密钥(YubiKey、Solo、Titan,或 Touch ID / Windows Hello 等平台认证器)。等值金额不足 10,000 美元的账户仍可使用 SMS 作为回退方案,但它已不再是阻力最小的路径。

2. 为什么这很重要

纵观 2025 年,平台上每一起成功的账户接管事件,都涉及以下两种情形之一:(a) 针对使用 SMS 保护的账户进行 SIM 卡盗换,或 (b) 钓鱼落地页诱使用户将其 TOTP 验证码输入到伪造的登录界面。 无任何一起事件涉及第二因素仅为硬件密钥的账户。 FIDO2 的签名与网站来源绑定 — 位于 bitexasia-secure.com 的钓鱼页面在密码学上无法生成针对 bitexasia.com 的有效签名。

3. 现在的注册流程

步骤 1 — 验证邮箱

和以前一样。点击验证链接。

步骤 2 — 添加安全密钥

浏览器原生 WebAuthn 提示。插入 YubiKey 并轻触,或使用平台认证器(Touch ID、Face ID、Windows Hello)。零成本,约 5 秒。

步骤 3 — 可选备用方式

如果您想以短信作为备份,现在可以添加。我们强烈建议改为至少两台 FIDO2 设备 — 抽屉里的备用密钥优于一部可能与主设备一起丢失的手机。

第 4 步 — KYC 与支付方式

身份验证和绑定支付方式都在安全设置完成之后进行。这是有意为之 — 您的安全设置不应被当作一个脚注。

4. 现有账户怎么办?

现有用户保留其原有的双重认证。我们将在下一次登录时弹出软提示,引导用户进行一次性的硬件密钥注册升级。余额超过 10,000 美元的账户会收到更强的提示:每次登录都会显示横幅,直到用户添加硬件密钥或 明确忽略。

我们目前不强制任何人放弃短信。在安全控制上强制升级往往会把用户群推向阻力最小的路径,即使那条路径并不好。正确的做法是让更好的路径比更差的路径更轻松。

5. 我们不销售硬件密钥

FIDO2 是一项开放标准。任何符合规范的密钥都可使用。如需推荐:YubiKey 5 系列(45–60 美元)或 Solo 2(60 美元)。请不要从我们这里购买 — 我们不销售密钥,也不从任何供应商处抽成。请直接购买。

6. 我们将关注的指标

• FIDO2 采用率 (新账户,目标: >90 天内达到 85%)。
• 账户接管事件率 (2025 年基线:每月每 10,000 月活用户 0.04 起)。
• 支持工单量 关于「丢失双重认证,无法登录」 — 预计将短期上升,因为用户会丢失硬件密钥,随后随着恢复流程成熟而趋于平稳。

我们将在 90 天后发布跟踪报告。