安全與風險
助記詞、私鑰、密碼和 2FA 驗證碼差在哪？哪個給出去資產就沒了
助記詞和私鑰直接控制鏈上資產，洩漏後沒人能撤回；交易所密碼和 2FA 驗證碼保護的是帳戶，平台還能重設與凍結。本文對照四者各自控制什麼、有人索取時怎麼判斷，以及洩漏或弄丟後分別怎麼處理。
有人要你「提供驗證碼」、錢包跳出「請輸入助記詞」、交易所提示「密碼已修改」——這些時刻最常見的困惑是：這串東西到底能打開什麼？給出去會怎樣？
先講結論：助記詞和私鑰直接控制鏈上資產，任何人拿到就能轉走，沒有人能幫你撤回；密碼和 2FA 驗證碼保護的是交易所帳戶，平台有重設與凍結流程可以介入。 搞清楚這條分界，大部分「該不該給」「弄丟了怎麼辦」的問題就有答案。
四樣東西各自控制什麼：一張表對照
| 控制範圍 | 誰能幫你找回 | 洩漏後最壞情況 | |
|---|---|---|---|
| 助記詞 | 自託管錢包裡由它衍生的所有地址 | 沒有人 | 全部地址的資產被轉走 |
| 私鑰 | 一個地址 | 沒有人（除非你有助記詞可重新衍生） | 這個地址的資產被轉走 |
| 交易所密碼 | 登入交易所帳戶 | 平台（重設流程） | 配合 2FA 失守才可能被盜 |
| 2FA 驗證碼 | 登入、提領等敏感操作的第二道確認 | 平台（重設 2FA 流程） | 單獨一組碼通常沒用，但詐騙者會騙你「現在」念出來 |
如果你還不確定自己的資產屬於哪一種保管方式，可以先看〈交易所託管與自託管：資產放在哪裡，各自承擔什麼風險〉。放在交易所裡的幣，你手上沒有私鑰；放在自己錢包裡的幣，平台密碼和 2FA 都管不到它。
助記詞為什麼等於整個錢包
大多數自託管錢包建立時給你的 12 或 24 個英文單字，遵循的是比特幣社群的公開規範 BIP-39。規範寫明：錢包先產生 128 到 256 位元的隨機數，加上校驗位後切成每段 11 位元，每段對應一份 2048 個單字的詞表中的一個字。
上圖是規範原文的對照表：128 位元對應 12 個字，256 位元對應 24 個字。重點不在數學，而在這件事——錢包裡每一個地址的私鑰，都是從這組字推算出來的。 所以：
- 換手機、刪 App、錢包公司倒閉，只要助記詞還在，在任何支援同一規範的錢包輸入，就能把資產叫回來。
- 反過來，別人拿到助記詞，也能在他自己的手機上「叫回」你的資產，你不會收到任何提醒。
BIP-39 還允許在助記詞之外加一段自訂密語（passphrase，有些錢包叫「第 25 個字」）。同一組助記詞配不同密語，會得到完全不同的錢包。如果你設過密語，備份時要連它一起記下，否則只有助記詞也打不開原本的錢包。
判斷規則： 任何網站、客服、「空投領取頁」、「錢包同步工具」要你輸入助記詞，一律是騙局。正常使用錢包時，只有在「恢復／匯入錢包」這個你自己主動點進去的流程才會輸入它。
私鑰和助記詞差在哪
私鑰是單一地址的鑰匙，通常是一長串十六進位字元。有些錢包允許「匯出私鑰」，用途多半是把某一個地址搬到另一個錢包。
- 有助記詞，就能重新推出所有私鑰；有一把私鑰，只能控制那一個地址。
- 洩漏私鑰的損失範圍比助記詞小，但對那個地址來說一樣是全部。
- 一般新手不需要碰私鑰。錢包提示「匯出私鑰」時，先問自己為什麼需要；說不出理由就不要點。
交易所密碼：被盜後平台還能介入的那一層
交易所帳戶的資產在平台的錢包裡，你的密碼只負責「證明你是你」。所以它的性質和助記詞不同：
- 忘記了可以重設：走登入頁的「忘記密碼」，平台會用 Email／手機驗證你的身分。
- 被盜了平台能凍結：只要動作夠快，聯絡平台客服凍結帳戶，攻擊者就提不走。
- 交易所通常會在修改密碼、重設安全設定後暫時限制提領，這是保護措施，不是故障。具體時長各平台不同，以帳戶頁面顯示為準。
要做的事很簡單：每個平台用不同的密碼，並且一定開啟 2FA——密碼單獨失守時，2FA 是擋住對方的那一道關。
2FA 驗證碼：30 秒一換，最常被騙的反而是它
Google Authenticator 這類驗證器 App 產生的 6 位數碼，依據的是 RFC 6238（TOTP），規範建議每 30 秒換一組。它的設計假設是：「碼只出現在你自己的手機上，用完就過期」。
這也是詐騙的切入點。對方已經拿到你的密碼，只差 2FA，於是假扮客服打電話或傳訊息：「為了保護您的帳戶，請告訴我您收到的驗證碼。」你念出來的那 30 秒內，他就完成登入或提領確認。
判斷規則： 驗證碼只輸入到你自己打開的官方 App 或網址裡，不念給任何人、不貼進任何聊天視窗。正規客服不會要你提供驗證碼。
換手機、驗證器 App 被刪掉時怎麼處理，見〈幣安 2FA 換手機與遺失處理：Authenticator、Passkey、備援〉。
有人跟你要其中一樣時，照這個順序判斷
- 對方要的是哪一樣？ 要助記詞或私鑰——直接拒絕，沒有任何正當理由。要驗證碼——拒絕。要密碼——拒絕。
- 是你自己主動發起的操作嗎？ 只有你自己打開官方 App、點了「恢復錢包」或「登入」，輸入才是正常的。對方傳來連結要你點進去輸入，就不是。
- 網址對嗎？ 從自己的書籤或 App 進入，不從訊息、廣告、搜尋結果的贊助連結進入。
- 已經給出去了？ 依下一節處理，越快越好。
已經洩漏了：四種情況分別怎麼救
- 助記詞或私鑰洩漏：立刻建立一個全新錢包（新助記詞），把舊錢包所有地址裡的資產轉過去。先轉價值最高的。如果舊地址沒有原生幣付手續費，要先補一點進去才能轉出。注意新地址要從新錢包裡直接複製，不要從交易紀錄複製——原因見〈從交易紀錄複製地址為什麼會轉錯？〉。
- 交易所密碼洩漏：立刻改密碼，檢查「裝置管理」裡有沒有陌生登入並移除，確認 2FA 和提領地址白名單沒被改過。
- 2FA 驗證碼念給了別人：馬上登入檢查帳戶，同時改密碼；若無法登入或發現異常提領，立即聯絡平台客服要求凍結。
- 助記詞弄丟（不是洩漏）：錢包還能打開的話，趁現在重新抄寫備份；已經打不開，資產無法找回，沒有任何服務能「破解」助記詞，聲稱可以的都是第二次詐騙。