案例：SIM 卡劫持——短信验证码为什么靠不住

SIM 卡劫持攻击的不是你的手机，而是运营商的客服流程。骗子冒充你致电运营商，声称手机丢失或损坏，要求把号码「补办」到一张他们手里的新 SIM 卡——成功之后，你的短信、通话全部落到骗子手机上，而你只看到手机突然没了信号。对把短信验证码当作第二因子的用户来说，这是釜底抽薪式的一类攻击。

骗局如何实施

美国联邦贸易委员会（FTC）的消费者指南描述了完整路径：骗徒致电你的电信运营商，谎称你的手机丢失或损坏，要求把你的号码激活到一张新 SIM 卡——一张他们自己手机上的卡。运营商客服一旦照办，你的短信、通话和数据都会转到骗徒的设备上，你自己的手机则突然无法上网、收发短信或打电话。

注意这个设计里最关键的一点：全程不需要你参与。你不会收到钓鱼链接，不会看到假网站——被社工的对象是运营商客服，而你只是在几小时后才察觉异常。

为什么交易所账户会跟着失守

FTC 指出，骗徒得手后可以拦截用于多因素认证（MFA）的短信验证码，从而登录你的银行、邮箱、社交媒体等账户——登录后盗取资金、更改密码，并把受害人锁在账户之外。

把这个机制放到加密场景里：如果你的交易所账户用短信作为第二因子，重置密码所需的验证码同样在骗徒手里；邮箱若也依赖短信验证，恢复链会一起沦陷。这不是「交易所被黑」，而是身份验证通道被劫持——任何以短信为第二因子的账户，都在同一风险敞口之下。你的资产被提出交易所后上链，方向由骗徒决定。

两个报警信号

FTC 明确列出了两个预警：

1. 手机突然无信号——显示「无服务/SIM 错误」，而你没有动过任何设置。这可能是号码已被补办。
2. 运营商发来「SIM 卡已在 new device 激活」的通知——如果你没有办理过补卡，这条通知本身就是警报。

两者的正确反应相同：立即联系运营商（用另一个电话或官方 App/网站渠道），核实并冻结号码变更。

防护清单（FTC 口径）

• 不回复索取个人信息的来电、邮件或短信——那可能是钓鱼；如需联系机构，用官方已知的电话或网站。
• 减少在网上公开个人信息（全名、住址、电话等）——这些常被用来回答安全验证问题。
• 为电信账户设置 PIN 码或密码，防止未经授权的变更。这是对「客服被冒充」最直接的对冲。
• 敏感账户使用更强的认证方式：FTC 特别指出，短信验证挡不住 SIM 卡劫持，建议改用认证 App（authenticator app）或安全密钥（security key）。

对交易所用户的落点是明确的：把交易所、邮箱的 2FA 从短信换成认证 App 或硬件密钥；交易所的登录邮箱单独设强 2FA——邮箱是所有密码重置的枢纽。

已经中招怎么办

FTC 的处置顺序：立即联系运营商夺回号码控制权；随后更改所有账户密码；检查信用卡、银行等账户有无未经授权的变动并向机构举报；如个人信息已泄露，按 IdentityTheft.gov 的流程处理。加密资产部分：审查交易所账户的登录与提现记录，必要时联系交易所冻结；涉及犯罪的，通过 ic3.gov 等官方渠道报案。

常见错误

• 把短信 2FA 当成「有总比没有好」的万能选项：FTC 的表述很直接——短信挡不住 SIM 劫持。对高价值账户，短信 2FA 的边际保护可能为负（它给你安全感，却给骗徒通道）。
• 无信号后先重启手机/换 WiFi：排障动作没错，但应同时联系运营商。应对速度以分钟计。
• 只改交易所密码：号码被接管后，所有短信验证的账户都暴露——要按「号码已失守」的假设处理全部关联账户。
• 以为运营商一定不会被骗：FTC 记录的手法就是成功冒充机主。运营商流程是你无法控制的环节，PIN 与强 2FA 是你能控制的。

风险提示

本文不构成投资建议。SIM 劫持是身份验证层面的攻击，与你的钱包安全习惯无关却同样致命——认证方式的选择（短信 vs 认证 App/安全密钥）应在资产规模变大之前完成，而不是之后。