如何在 NoxHash 上启用双因素认证（2FA）
在 NoxHash 上启用双因素认证的分步指南。扫描二维码、验证 6 位数代码、保存 8 个恢复码，不到 3 分钟搞定。
在 NoxHash 上启用双因素认证（2FA）为您的挖矿账户增加了第二层验证 — 即使密码被盗，攻击者也无法掏空您的 BTC 钱包。整个设置不到三分钟：打开个人资料，用 Google Authenticator 或 Authy 扫描二维码，确认六位数验证码，并保存您获得的八个一次性恢复码。
2FA 对您的挖矿账户有何作用
2FA 意味着登录需要两个独立因素：您知道的东西（密码）和您拥有的东西（手机应用生成的基于时间的 6 位数验证码）。如果钓鱼网站或数据泄露曝光了您的密码，攻击者仍然无法进入您的账户 — 他们还需要物理接触您的手机。根据 CISA 的多因素认证指南，启用 MFA 可以阻止超过 99% 的自动账户接管尝试。
对于云挖矿账户，风险非常具体：NoxHash 登录一旦被攻破，攻击者就能更改您的 BTC 支付地址、提交提款请求，或用您的余额租用矿机。2FA 关闭了那扇门，只需三分钟即可启用，零成本。
第二层验证
仅凭被盗或泄露的密码无法登录您的账户 — 攻击者还需要轮转的 6 位数验证码。
8 个恢复码
一次性备用码（格式 XXXX-XXXX），在手机丢失、被盗或被擦除时恢复您的登录。
开放的 TOTP 标准
NoxHash 使用标准 TOTP 协议（RFC 6238），因此任何认证器应用都可以使用 — Google、Authy、1Password、Microsoft、Bitwarden 等。
开始之前 — 选择您的认证器应用
任何兼容 TOTP 的认证器应用都可以与 NoxHash 配合使用。它们都做同样的事 — 将共享密钥（二维码）每 30 秒转换为新的 6 位数验证码。差异在于备份、同步和便利性。以下是四个最常见选项的比较：
| 应用 | 云备份 | 多设备同步 | 最适合 |
|---|---|---|---|
| Google Authenticator | 可选（Google 账户） | 是，通过 Google 账户 | 简单、免费、认知度最高 |
| Authy | 加密云端 | 是，最多 5 台设备 | 需要备份和桌面访问的用户 |
| 1Password | 是（保险库同步） | 是（付费） | 密码管理器用户 — 两者合一的应用 |
| Microsoft Authenticator | 是（Microsoft 账户） | 是 | Microsoft 365 / Outlook 用户 |
如果您尚未安装，Google Authenticator 是最快的选择 — 从 App Store 或 Google Play 安装即可。不要把应用安装在同一个桌面密码管理器里，否则同一个攻击者可能会同时攻破您的密码；将验证码保存在独立设备（通常是手机）上才是 2FA 的核心意义。
5 步启用 2FA
安装好认证器应用后，回到 NoxHash。整个流程都在一个页面上，不到三分钟。下面的每一步都与您在屏幕上看到的完全一致。
打开个人资料设置
登录 NoxHash，点击右上角的头像并选择 Profile — 或直接访问 noxhash.com/profile。滚动到 Security 标题下的 Two-Factor Auth 部分。如果 2FA 尚未激活，您会看到一个灰色横幅：“Two-factor authentication is not enabled”。
点击 “Enable 2FA”
按下绿色的 Enable 2FA 按钮。页面重新加载进入设置模式：出现一个琥珀色横幅（“Scan the QR code with your authenticator app”），显示二维码图像，下方有一个 Verify Code 输入框。此时尚未保存到您的账户 — 流程保持挂起状态，直到您完成第 4 步。
用应用扫描二维码
打开认证器应用并点击 Add account（或 “+” 图标）。选择 Scan a QR code 并将摄像头对准 NoxHash 的二维码。应用中会出现一个新的 “NoxHash” 条目，显示每 30 秒刷新的全新 6 位数验证码。如果摄像头无法读取，大多数应用也支持手动输入 — 长按二维码图像复制密钥，或联系支持以文本形式获取。
输入 6 位数验证码并点击 Verify
将应用中当前的 6 位数验证码输入 Verify Code 字段，然后按下绿色的 Verify Code 按钮。如果验证码正确，NoxHash 会将设置提交到您的账户，横幅将变为绿色：“Two-factor authentication is enabled.” 如果失败，请检查手机的时钟是否自动同步 — 即使偏差 30 秒也会导致验证码被拒绝。
保存您的 8 个恢复码
在二维码下方，您会看到一个包含 8 个恢复码的网格，格式为 A1B2-C3D4。每一个都是一次性的 — 用过一次就作废。点击 Copy 将它们全部复制到剪贴板，然后粘贴到密码管理器、加密笔记中，或打印出来。如果您丢失了装有认证器应用的手机，这些是您唯一的备份。
把那 5 步变成一个被锁定的账户
您已经看到每个屏幕长什么样、该点什么。在新标签页打开 Profile 页面，您的账户将在认证器应用轮转到下一个验证码之前被第二层验证保护起来。
安全存储您的恢复码
如果手机丢失、被盗、恢复出厂设置，或认证器应用数据被擦除，恢复码是您唯一的后备。连同手机一起丢失它们，您就会被锁在外面，只剩支持驱动的恢复作为最后手段。从下面四种存储方式中至少选择两种 — 此处的冗余成本低廉，而全部丢失的代价却很高。
密码管理器
在 1Password、Bitwarden、Proton Pass 或类似工具的 NoxHash 条目中，将它们保存为附加的安全笔记。加密、同步、可搜索。
保险箱中的打印件
把验证码打印在纸上，存放在上锁的抽屉、保险箱或保管箱里。离线存储能躲过任何数字层面的入侵。
加密的文本文件
一个密码保护的 ZIP、加密的磁盘映像，或 USB 上的 VeraCrypt 卷。把它放在与主笔记本不同的地方以实现真正的隔离。
可信赖的实体位置
把一份密封的副本交给可信赖的家庭成员或律师 — 对任何高价值加密账户的继承规划都很有用。
一条必须遵循的规则：永远不要把恢复码存放在与认证器应用同一个地方。如果两者都放在同一部手机上，设备一旦丢失就会让两个因素同时失效。2FA 的全部意义就在于两个因素分处两个不同的位置。
设置后管理 2FA
2FA 开启后，个人资料的 Two-Factor Auth 部分会变为管理面板。那里有三个可用操作，您很少会需要其中任何一个 — 但知道它们存在是好事。
- Show/Hide Recovery Codes — 显示当前的 8 个恢复码，以便您再次复制到新的备份位置。每个码只能用一次；面板无论是否用过都会显示全部 8 个。
- Regenerate Codes — 签发一组全新的 8 个码，并立即使前一组失效。如果怀疑旧码已被他人看到，或者您已用掉几个、想重新拿回一整套 8 个，就用这个功能。
- Disable 2FA — 需要您当前的密码。从账户中彻底移除共享密钥和恢复码，让它回到单因素登录。只有在切换到新的认证器应用时才使用；之后可以立即重新启用。
换新手机？最干净的路径是：在旧手机上打开 Profile，点击 Disable 2FA（输入密码），然后再点击 Enable 2FA 并用新手机的认证器应用扫描新的二维码。不要转移二维码图像 — 每次更换设备都要生成新的密钥。
常见问题
如果我丢了装有认证器应用的手机会怎样？
使用您的 8 个恢复码之一代替 6 位数验证码登录。进入后，立即禁用 2FA，用新设备重新启用，并存储一组新的恢复码。如果手机和验证码都丢了，请带着账户详情联系 NoxHash 支持以进行人工恢复。
我必须专门使用 Google Authenticator 吗？
不必。NoxHash 使用开放的 TOTP 标准（RFC 6238），所以任何认证器应用都可以 — Authy、1Password、Microsoft Authenticator、Bitwarden、Raivo、2FAS 等。选一个与您管理其他账户方式相匹配的。二维码格式在所有应用中都是相同的。
恢复码会过期吗？
不会 — 恢复码永不过期。每个码都是一次性的：您用它登录后，它就永久失效了。如果您从个人资料重新生成这组，之前的 8 个码会立即失效并换成 8 个新码。每次重新生成后都要重新下载并重新保存。
我以后可以禁用 2FA 而不丢失账户吗？
可以。前往 Profile → Two-Factor Auth，输入当前密码，然后点击 Disable 2FA。您的账户、矿机、BTC 余额和设置都不会受影响 — 只是额外的验证层被移除。您可以在之后立即重新启用 2FA，使用新的二维码和新的恢复码。
我有一个很强的密码 — 真的需要 2FA 吗？
强密码有帮助，但它们无法防御钓鱼、恶意软件、键盘记录器，或您在其他网站重用类似密码时的数据泄露。2FA 添加了攻击者无法远程获取的第二个因素。对于任何持有加密货币或 BTC 收益的账户而言，三分钟的设置是您将做出的收益率最高的安全举措之一。
6 位数验证码一直被拒绝 — 哪里出错了？
通常是时钟漂移。TOTP 验证码依赖于您手机的时间与服务器时间在 ~30 秒内匹配。在手机上启用自动时间同步（Settings → Date & Time → Set automatically）后再试。还要检查您读取的是最新的验证码 — 它们每 30 秒轮换一次，就在翻转前读取的验证码可能在您提交时已经失效。
安全是分层的，并非绝对保证
启用 2FA 是一项强有力的防御措施，但任何单一控制都无法消除所有风险。将其与独特的密码、可信赖的设备、谨慎的 URL 习惯以及安全的恢复码存储相结合。本指南仅供教育参考，不构成财务或法律建议 — 账户安全及任何相关加密货币收益的最终责任在于账户持有者。