学院 / 安全
SIM 卡交换攻击：手机验证码怎么被绕过，怎么防
你以为的「双因素」，在攻击者眼里可能只是「单因素」。只要控制你的手机号，短信验证码就不再属于你。
SIM 交换是怎么发生的
- 攻击者先收集你的手机号、姓名、常用地址（社工库、社交平台、快递信息）
- 冒充你联系运营商，声称手机丢失需要补卡
- 部分运营商的客服验证较弱，补卡成功
- 你的手机失去信号，验证码全部转到攻击者手上
- 重置邮箱、交易所密码，转走资产
出现这些信号要立刻警惕
- 手机突然无服务，重启也没用
- 收到运营商「补卡成功」「套餐变更」短信
- 短时间内收到大量验证码
- 邮箱收到密码重置通知但不是你操作
防护要点
| 措施 | 作用 | 优先级 |
|---|---|---|
| 用验证器 App 或硬件密钥替代短信 | 验证码不再依赖手机号 | 最高 |
| 运营商侧设置服务密码/PIN | 补卡需额外验证 | 高 |
| 交易所开启提币白名单 | 即使账号被盗，币也只能转到指定地址 | 高 |
| 邮箱单独使用且开启 2FA | 阻断重置链条 | 高 |
| 不在公开平台留手机号 | 减少社工素材 | 中 |
验证器 App（如 Google Authenticator、Authy、1Password）也有同步风险，硬件密钥（YubiKey）最稳。至少不要只依赖短信。
发现被攻击的头 30 分钟
- 立刻联系运营商冻结号码并核实补卡记录
- 用另一台设备登录邮箱，改密码并踢出所有会话
- 登录交易所撤销可疑登录、改密码、检查提币地址
- 把资产转到新钱包
- 报警并保留运营商记录
为什么这件事对币圈特别致命
银行转账通常还有人工复核与延迟，而链上转账不可逆、秒到。手机号一旦失守，攻击者能在几分钟内清空账户。
常见问题
短信 2FA 还能用吗？
可以，但不应作为唯一方式。至少叠加验证器或硬件密钥。
怎么知道自己被补卡了？
手机突然无服务是最直接的信号，可打运营商客服核实。
运营商能阻止吗？
设置服务密码与本人到场办理可大幅提高门槛。
邮箱也被盗了怎么办？
优先恢复邮箱控制权，再处理交易所与钱包。
需要换手机号吗？
如果已被成功攻击，建议更换号码并更新所有绑定。
本文为信息整理，不构成投资或法律建议。 最后更新：2026-10-20。