改完密码以为安全了，结果资产还是被转走了——这种案子在2024年到2025年并不少见。问题出在你改的是"密码"，而攻击者手里攥的是"登录状态"（Session），后者跟密码是两个独立的认证体系。
简单说，黑客根本不需要知道你的新密码。他们只要偷到了你登录后生成的那串"会话令牌"，就能在你的账户里畅通无阻，直到会话过期或被手动踢掉。密码改了，会话令牌依然是有效的。
理解为什么改密码无效——会话与密码是两套系统
先搞清楚密码和会话令牌的关系。登录时，交易所给你发一个"已登录"的凭证，相当于一张有效期内的门票。这张门票的有效期通常长达数小时甚至数天，独立于你的密码存在。
根据Kraken的安全设置说明，系统默认的自动登出时间为120分钟，用户可以在2到10080分钟之间自定义这个时间。如果黑客在你这张门票过期之前偷到了它，你改密码只相当于换了"大门的锁"，但黑客已经拿着"房间的门卡"在里面了。Binance官方案例中，一名受害者因Chrome插件被植入恶意代码，黑客劫持其交易会话后，完全绕过了密码和2FA直接操作账户。
确认会话令牌是否已被利用——检查活跃设备
改完密码后发现资金仍在变动，说明攻击者还在使用你的有效会话。
操作方法：立即登录交易所App或网页，找到"安全设置"或"设备管理"板块，查看所有活跃会话列表。
以Kraken为例，在"安全">"概览"中向下滚动到"活跃会话"区域，可以看到所有近期会话的日期、时间、设备、地理位置/IP，并可以结束任意会话，或点击"结束所有会话"一次性全部踢掉。Bitget同样在"安全中心">"设备管理"中提供查看和删除未经授权设备的功能，移除操作会立即将该设备登出。OKX也建议用户在检测到异常操作时，前往安全中心的设备管理移除所有未识别的设备。
完成标准：所有非你本人操作的活跃会话已被手动移除，账户登录状态被清零。
风险提醒：修改密码后，部分平台对敏感安全设置的更改（如重置Google Authenticator）会触发24小时提现限制，这是防风险机制，不是出问题了。根据OKX的说明，关闭或更换身份验证器后，资金提现将暂停24小时。但修改密码本身通常不会触发这个禁令，不要误以为"能提现就是安全的"。
清除其他可能残留的访问通道——API Key与第三方登录
会话令牌是风险之一，但API Key和第三方授权同样可能成为"后门"。
操作方法：进入API管理页面，删除所有不是你本人创建的API Key。同时检查账户绑定的第三方登录（如Google、Apple ID、Telegram），解绑任何非你授权的社交账号。
完成标准：API Key列表和第三方登录列表中，仅保留你自己创建的条目。
常见失败原因：很多人以为改个密码就完事了，忽略了"API Key"这个入口。攻击者在侵入账户后，为了后续持续控制，经常顺手创建一个高权限的API Key（可提币、可交易），再绑定一个第三方的Telegram或Google账户。改完密码后，他们通过API照样操作。即使API也被清理了，如果第三方登录未被解绑，攻击者仍可以通过Google或Telegram直接绕过密码再次登录。
阻断会话令牌的偷窃源头——浏览器插件与设备隔离
会话令牌是怎么被偷的？绝大部分情况不是"撞库"，而是"浏览器中毒"。根据OKX 2026年安全半年报的总结，很多攻击已经不再从陌生链接开始，而是从应用商店、搜索结果、朋友账号、招聘流程、客服邮件等用户熟悉且容易放松警惕的入口切入。
2024年6月OKX系列用户被盗事件中，研究机构Dilation Effect指出，黑客通过AI合成的视频申请更换了用户的手机号、邮箱和谷歌验证器，成功绕过了部分安全设置。OKX创始人Star回应时承认，盗取用户谷歌验证器的方式包括设备木马植入、SIM卡复制、伪基站、通过SMS服务商盗取等。同年币安用户因安装看似无害的Chrome插件"Aggr"，导致浏览器cookie被劫持，会话被盗取，损失约100万美元。
操作方法：彻底检查你的浏览器。卸载所有来源不明或功能不明的扩展程序。考虑使用无痕模式进行重要操作，或者将资金相关操作隔离在一台干净的设备（如仅用于交易的手机）上进行。
操作完成的校验方式：完成以上步骤后，不要急于入金。第一，重新登录所有设备，手动结束所有旧会话；第二，开启或重置Google Authenticator（GA），并确保关闭其云端备份功能；第三，设置API时遵循最小权限原则，避免创建"免认证提币地址"等高风险配置。最终确认：在设备管理列表里看不到陌生设备，API列表为空或仅有自己知晓的密钥，且提现记录中无异常。
