旧手机恢复了出厂设置，新手机装好谷歌验证器，打开一看，里面空空如也。交易所的登录页还在等你输入 6 位动态码，而这个码，现在没有任何一部设备能给你。
避开这一幕只要做对三件事：绑定时把备份密钥抄在纸上；换手机前先用验证器的导出功能把账户搬过去，确认新手机能用了再动旧手机；手机真丢了，就用纸上的密钥恢复，没有密钥再走平台的重置流程。
验证器的 6 位码是怎么来的？
验证器的码是手机自己算出来的，不靠短信、也不用联网。绑定那一刻，网站给你一串密钥（二维码里装的就是它），手机和网站服务器各存一份；之后两边各自用“密钥 + 当前时间”算出同一个 6 位数，每 30 秒换一次。你输入的码和服务器算出的对上了，就算通过。
这套做法叫 TOTP，明白它的原理，很多问题就好解释了：
- 为什么没信号也能出码：计算只发生在手机里；
- 为什么码会“过期”：30 秒一到，时间变了，算出来的数就变了，输入时要赶在当前这个码还有效的时候；
- 为什么码总是不对：先查手机时间准不准。手机时间和服务器差太多，两边算出来的数就对不上。到手机的系统设置里打开“自动设置日期和时间”，时区也设成你所在的地方。谷歌的帮助页面说明，新版谷歌验证器已经没有 App 内的时间校正选项，直接使用系统时间，所以要修的是手机的时钟；
- 为什么密钥这么重要：码是用密钥算的，谁有这串密钥，谁就能在任何一部手机上算出你的码。它既是你的备份，也是要守住的秘密。
和短信验证码相比，验证器的好处是码不经过运营商：就算有人冒名补办了你的手机卡、收得到你的短信，也拿不到验证器里的码。坏处也在这里，码只存在于这部手机里，手机一出事，码就跟着没了。
绑定时：这串密钥抄在纸上，别截图
在网站上开启验证器时，页面会同时给出一个二维码和一串由字母数字组成的密钥。扫码之前，先把密钥一个字符一个字符抄到纸上。
- 从正规商店安装。iPhone 在 App Store、安卓在 Google Play 搜索 Google Authenticator，看清开发者是 Google 再装。别从网页或聊天里发来的安装包装。
- 在网站的安全设置里选“验证器”。页面会显示二维码和备份密钥。
- 把密钥抄在纸上。注明是哪个网站、哪个账户。字母 O 和数字 0、字母 l 和数字 1 容易混，抄完对一遍。
- 用验证器扫码。打开验证器，点加号，选扫描二维码；扫不了就选“输入设置密钥”，把那串字符手动输进去。
- 输入当前的 6 位码完成绑定。网站确认码正确后，绑定才算完成。
为什么非要纸，不能截图？相册经常自动同步到云端，云账户一旦被盗，密钥跟着泄露；手机丢了，截图也跟着丢；有些 App 申请了相册权限，也能读到它。发给自己的聊天记录、云笔记，道理一样。纸放在家里一个固定的地方，最好抄两份分开放。
有些网站在绑定完成后，还会另外给一组“恢复码”或“备用码”，每个只能用一次，专门用在验证器不可用的时候登录。看到了，也一起抄在那张纸上。另外，验证器打开就能看到所有码，谁拿到一部解了锁的手机，谁就能看到，所以手机本身一定要设锁屏密码。
谷歌验证器还提供另一种备份：在验证器里登录你的谷歌账户，验证码会同步到这个账户，换新手机后登录同一个账户就能自动恢复。它确实省事，代价是谷歌账户从此也成了你的“钥匙”，用这个办法的话，谷歌账户本身一定要开两步验证、用独立的强密码。两种备份可以同时用，纸上的密钥照样要抄。
换手机前：先导出，确认能用，再动旧手机
换手机最安全的顺序是：旧手机先别动，在新手机上把验证器装好、账户导进去，逐个网站登录试一遍，全部能用了，再处理旧手机。
谷歌验证器自带“转移账户”功能，不登录谷歌账户也能用：
- 新手机装好验证器，打开后点开始。
- 旧手机打开验证器的菜单，选“转移账户”，再选“导出账户”，解锁手机后勾选要搬的账户，点下一步，屏幕上会出现二维码。账户多的时候，可能会依次出现好几个二维码。
- 新手机在菜单里选“转移账户”里的“导入账户”，逐个扫描旧手机上的二维码。
- 逐个网站登录验证。用新手机上的码登录每一个绑过的网站，确认都能通过。
菜单名称会随版本略有不同，有的版本写作“转移验证码”。谷歌的帮助页面还提醒，旧手机上的验证器要先更新到最新版。
这里有两个坑要提前知道：
- 导出用的二维码就等于你全部的密钥。扫完就关掉，别截图、别给任何人看；
- 旧手机没确认前别重置。要是先把旧手机抹掉了才去找验证码，就只能靠纸上的密钥或者平台重置了。
另一种思路是在每个网站的安全设置里“更换验证器”：先用旧手机的码验证，再在新手机上重新绑定一个新的。这样做更干净，但不少平台在更换两步验证后会暂停提币一段时间，换之前看清页面上的提示。
新手机上的交易所 App、邮箱 App 也要重新装，同样只从正规商店下载。怎么认出仿冒的，见怎么分清真假网址和仿冒 App。
短信、验证器、通行密钥，该开哪一种？
能开验证器就别只靠短信。三种方式防的东西不一样：
| 方式 | 码从哪来 | 主要弱点 |
|---|---|---|
| 短信验证码 | 运营商发到你的手机号 | 号码被人补办、转移，或者地区收不到短信 |
| 验证器 App | 手机用密钥和时间自己算 | 手机丢了又没备份密钥，就得走平台重置 |
| 通行密钥（Passkey） | 手机指纹、面容或锁屏密码确认 | 只存在某台设备上时，设备丢了同样麻烦 |
比较稳的组合是：验证器作为主力，密钥抄在纸上；短信留着当备用通道；支持通行密钥的平台再加一个，登录更快，也不怕钓鱼网站骗你输入六位码。哪种都开了，不代表可以把密码随手告诉别人——两步验证是第二道门，第一道门还是密码本身。
手机丢了或坏了：有密钥就自己恢复，没有就走平台重置
如果只是屏幕碎了、手机还能开机，先别急着重置，把手机修好往往比走重置流程省事，修好后马上按上一节的办法把账户导到新手机上。
手机丢了，第一件事是看那张纸。有备份密钥，在任何一部手机上装好验证器，选“输入设置密钥”，把纸上的字符输进去，生成的码和原来完全一样，账户马上恢复正常。
没有密钥，就只能请平台帮你重置两步验证。以币安为例，登录时停在两步验证那一步，选“安全验证不可用”，勾选谷歌验证器不可用，再用你还能用的其他验证方式（比如邮箱、短信）确认；如果连登录都进不去，平台还会要求回答安全问题、上传证件、做人脸验证。全部丢失的情况，要等人工审核，时间不确定。
重置完成后，提币通常会被暂停一段时间，这是为了防止别人冒充你重置成功后立刻把钱转走，具体时长以页面提示为准。
手机丢了还要顺手做几件事：
- 用另一台设备登录各个网站，改密码，在设备管理里删掉丢失的那部手机；
- 联系运营商挂失手机号，防止有人用这张卡收短信验证码；
- 新手机装好验证器后，重新抄一份密钥，别再让同样的事发生第二次。
网上那些声称能“破解”或“找回”验证器的工具和服务，一个都别信。码是用密钥算出来的，没有密钥谁也算不出来，它们要的其实是你的账户密码。
如果有人在这时候私信你，自称客服、说可以“帮你加急重置”，那是骗子，平台的重置只会在官网或官方 App 里进行，不会通过私聊。验证器码一直提示错误、但手机没丢的，先回到上面第一节，把手机时间改成自动同步。
6 位码怎么算出来，按的是 TOTP 这套通用标准；转移账户、谷歌账户同步和时间校正这几处，照着谷歌帐号帮助中心的 Get verification codes with Google Authenticator 写；平台重置两步验证那一段，拿币安帮助中心的 无法登录时如何重置 2FA 当例子。谷歌和币安这两页，2026 年 10 月各核了一次。