功能定位：为什么 SafeW 把 MFA 做成「默认提醒」
SafeW 从 v3.8 开始把「多因子认证（MFA）」从可选项升级为「资产大于 1 kUSD 时的默认提醒」。官方日志给出的理由是：钱包侧本身已做 MPC 分片，但登录端仍依赖单点密码或生物识别，一旦手机系统层被提权，攻击者可直接导出私钥分片。MFA 作为「前端访问隔离」的最后一道锁，可让离线爆破窗口从「分钟级」压缩到「秒级+云端速率限制」。
与交易所常见的「谷歌验证码+短信」不同，SafeW 只支持 TOTP（RFC 6238）与通行密钥（FIDO2）两类，理由是短信可被运营商转移，而 SafeW 不掌握用户手机号。2026-Q1 起，TOTP 默认写入 Apple Secure Enclave / Android StrongBox，即便越狱环境也无法读出密钥，除非硬件熔丝被触发。
版本演进：v3.8→v4.2 的 MFA 变更速览
| 版本区间 | 主要变更 | 迁移提示 |
|---|---|---|
| v3.8 | 首次上线 TOTP；仅支持单设备 | 无向后兼容问题 |
| v4.0 | 新增 FIDO2 通行密钥；允许 3 把免密硬件 | 旧 TOTP 仍有效，但建议绑定通行密钥以支持无网登录 |
| v4.1 | 引入「备用码」离线导出；上限 12 组 | 若此前已启用 MFA，需手动进入设置补生成备用码 |
| v4.2 | AI-Guard 2.0 联动：MFA 校验失败 3 次将触发 30 分钟冻结 | 冻结期无法通过备用码绕过，只能等计时结束或走人工复核 |
操作路径：最短入口与平台差异
iOS / Android 移动端
- 打开 SafeW → 首页右上角「≡」→ 设置 → 安全 → 多因子认证
- 选择「TOTP 动态码」或「通行密钥」；若选前者，系统调用相机扫码，支持 Google Authenticator、Aegis、Ente Auth 等
- 输入 6 位验证码完成首次绑定；此时会弹出「生成备用码」按钮，务必立即导出 PDF 或复制到密码管理器
- 返回首页，顶部出现「🔒 已保护」标识，表示 MFA 已生效
桌面端（macOS/Windows）
桌面端目前仅支持 TOTP，FIDO2 需借助「SafeW-Band」或「YubiKey 5Ci」通过 NFC/USB-C 触碰完成。路径：右上角头像 → Settings → Security → Multi-Factor Auth → Enable TOTP。注意：桌面端不会自动弹出备用码提醒，需手动点击「Backup codes」标签页生成。
备用码：生成、存放、丢失后的三种恢复路线
备用码是 8 位字母数字组合，仅一次性消耗。生成时 SafeW 会本地随机产生 12 组，并立即从内存中清除，不会上传云端。官方建议打印两份，一份放家庭保险柜，一份给可信赖的亲属封存。
若全部备用码用完，可在登录页选择「Lost all codes」→ 走「Social Recovery」：需要 3/5 份 MPC 份额中的 2 份 + 邮箱验证码 + 人工视频核对。经验性观察：整个流程平均耗时 4.7 小时，节假日可能延长。
例外与取舍：什么时候不建议强开 MFA
警告场景
- 测试网开发机：频繁卸载重装会导致 TOTP 被重复绑定，浪费备用码
- 给年迈父母仅用于「查看余额」的只读设备：一旦手机损坏，Social Recovery 视频核验步骤对老年人门槛过高
- 公司财库已用 MPC+多签：登录层 MFA 对整体安全增益边际效应递减，可考虑关闭「AI-Guard 冻结」以减少误杀
故障排查：验证码错误 & 冻结 & 时间漂移
| 现象 | 最常见根因 | 验证步骤 | 处置 |
|---|---|---|---|
| 连续提示「Code incorrect」 | 系统时间偏差 >30 秒 | 对比 time.is 误差 | 开启「自动同步网络时间」 |
| 三次错误后账号冻结 | AI-Guard 2.0 触发 | 查看通知栏「Risk score 85」 | 等待 30 分钟或提交人工复核 |
| TOTP 绑定扫码失败 | 深色模式下二维码对比度不足 | 换浅色背景重试 | 手动输入 16 位密钥亦可 |
与第三方协同：FIDO2 硬件钥匙的权限最小化原则
SafeW 支持「仅登录」与「登录+签名」两档权限。若仅用于 MFA，建议关闭「签名」权限，这样即使硬件钥匙丢失，攻击者也无法直接转走资产。设置路径：Settings → Security → Passkeys → 点击钥匙名称 → 权限 → 关闭「Allow transaction signing」。
适用/不适用场景清单
- 适用：个人资产 >1 kUSD；频繁跨链 DeFi；手机 root/越狱后仍需继续使用；DAO 财库管理员热钱包端
- 不适用：纯测试网账号；给儿童演示用；公司冷签名机已断网；短期活动空投领取后立刻归零
最佳实践 6 条（可打印检查表）
- 绑定完 TOTP 立即生成备用码，PDF 打印两份异地存放
- 把「系统时间自动同步」加入换机必做清单，避免时间漂移
- 桌面端若用 YubiKey，只给「登录」权限，签名仍走 SafeW-Band 冷签
- 每 6 个月检查一次备用码剩余量 <3 组时，手动刷新并销毁旧纸档
- 冻结期不要重复输入，以免 AI-Guard 把等待计时重置
- 升级大版本前，先在测试机把 MFA 走一遍完整流程，确认无 UI 错位
FAQ：社区最高频的 5 个问题
1. 手机丢了，备用码也找不到，还能找回钱包吗？
可以，但需走 Social Recovery：2/3 MPC 份额 + 邮箱 + 人工视频。平均耗时 4–6 小时，节假日可能延长。
2. TOTP 能否同时在两台手机绑定？
官方只提供一次性二维码，但可手动复制 16 位密钥到第二台设备的认证器。注意：两台设备时间必须同步。
3. 开启 MFA 后还能用指纹登录吗？
可以。系统把生物识别当「第一因子」，MFA 为「第二因子」。小额查看无需 TOTP，转账或导出私钥时才会弹出。
4. 为什么桌面端找不到 FIDO2 入口？
桌面端目前仅支持 TOTP。FIDO2 需 NFC/USB-C 硬件钥匙，官方建议搭配 SafeW-Band 或 YubiKey 5Ci，在移动端完成绑定。
5. AI-Guard 冻结期间能否加速解锁？
不能。备用码在冻结期同样失效。唯一加速通道是「人工复核」，平均 8 分钟，但深夜时段可能延长至 1 小时。
收尾：下一步行动建议
读完若你资产已高于 1 kUSD，请立即按「iOS / Android 最短路径」走一遍绑定，并立刻导出备用码。若你刚升级到 v4.2，务必检查「AI-Guard 2.0」是否把旧指纹模板清空，必要时重新录入。最后，把「每半年检查备用码」写进日历，别让一道本来 30 秒能完成的小动作，变成数小时 Social Recovery 的大麻烦。