Diperbarui Aturan dicek 2026-10-18
Untuk keamanan akun exchange, saya menyarankan enam pengaturan ini: ganti autentikasi dua faktor (2FA) ke aplikasi autentikator atau passkey, pasang kode anti-phishing, aktifkan whitelist penarikan, periksa manajemen perangkat dan notifikasi login, jangan aktifkan izin penarikan pada kunci API, dan cadangkan kunci autentikator Anda. Sebagian besar dari 13 exchange ini (Binance, OKX, Bybit, Bitget, MEXC, Gate, BingX, KuCoin, HTX, XT, WEEX, Pionex, dan Ourbit) menaruh opsi-opsi tersebut di menu foto profil, pada “Pusat Keamanan” atau “Pengaturan Keamanan”.
Banyak orang tidak sadar bahwa mengubah pengaturan keamanan saja sudah bisa mengunci penarikan. Dari 13 exchange, 10 menyebutkan dalam panduan resminya bahwa setelah pengaturan keamanan seperti autentikator diubah, penarikan dibatasi selama 24 jam; Binance membatasinya hingga 48 jam setelah 2FA direset, dan Pionex melarang penarikan selama 72 jam setelah Google Authenticator direset. Jadi, beres-bereskan pengaturan keamanan saat sedang senggang, jangan menunggu sampai butuh menarik dana dengan buru-buru baru mengubahnya.
Hal lain yang sering disalahpahami adalah “whitelist”. Di OKX, MEXC, HTX, dan Pionex, whitelist berupa mode pembatasan: setelah diaktifkan, Anda hanya bisa menarik ke alamat yang ada di daftar. Sementara di Gate dan Bybit, whitelist lebih condong ke bebas verifikasi: penarikan ke alamat yang sudah masuk daftar bisa melewati kode verifikasi. Namanya sama, fungsinya berbeda. Di bawah ini saya merangkum panduan resmi tiap exchange menjadi daftar dan tabel perbandingan, dan bagian yang tidak disebutkan secara resmi saya tandai langsung.
Ringkasan: (1) Untuk 2FA, gunakan aplikasi autentikator atau passkey; Bitget secara resmi mengingatkan bahwa verifikasi SMS berisiko terkena pembajakan kartu SIM. (2) Passkey memverifikasi dengan wajah atau sidik jari; 12 dari 13 exchange mencantumkan fitur ini di panduan resminya, sedangkan pusat bantuan Ourbit tidak menyebutkannya. (3) Setelah dipasang, kode anti-phishing akan muncul di email resmi; Binance, Bybit, dan XT menyebutkan SMS juga menyertakannya. “Email resmi” yang tidak memuat kode ini harus dianggap mencurigakan. (4) Whitelist penarikan di OKX, MEXC, dan Pionex sama-sama punya masa tunggu 24 jam untuk alamat baru; di HTX, waktu berlakunya dipilih sendiri oleh pengguna, dan menonaktifkan whitelist masih harus melalui peninjauan administrator. (5) Sejak 2023-01-30, kunci API Binance yang tidak terikat IP hanya bisa diberi izin baca; untuk mengaktifkan izin penarikan, pembatasan IP harus dipasang lebih dulu. (6) Cadangkan kuncinya saat menautkan Google Authenticator; Bybit menyebutkan bahwa “frasa mnemonik” untuk pemulihan ini hanya ditampilkan sekali dan platform tidak menyimpannya.
Data berikut diverifikasi dari halaman resmi pada 2026-10-18 (tanggal pengecekan data) dan disajikan sebagai referensi.
Jenis 2FA mana yang sebaiknya dipilih?
Ada empat jenis 2FA yang umum di exchange: kode verifikasi SMS, kode verifikasi email, aplikasi autentikator (seperti Google Authenticator, yang membuat kode 6 digit setiap 30 detik), dan passkey. Rekomendasi resmi beberapa exchange sama-sama mengutamakan passkey atau aplikasi autentikator, sedangkan SMS ditaruh di urutan belakang. Saran keamanan akun Bitget menyebutkan “sangat menyarankan penggunaan Google Authenticator dan Passkey”, sekaligus mengingatkan bahwa verifikasi SMS bisa bocor akibat pembajakan kartu SIM (praktik terbaik keamanan akun Bitget). Tips keamanan Binance dan XT juga memakai kalimat yang sama untuk menyarankan agar verifikasi SMS diganti dengan passkey atau aplikasi autentikator (tips keamanan akun Binance, tips keamanan akun XT).
Risiko terbesar aplikasi autentikator adalah saat ganti ponsel. Ketika menautkan, layar akan menampilkan sebuah kunci atau kode QR, dan kunci ini harus dicatat dan disimpan terpisah. Bybit menyebutnya “frasa mnemonik” dan menyatakan bahwa frasa ini hanya ditampilkan sekali saat penautan, dan Bybit tidak menyimpannya (Bybit: cara memulihkan kode Google Authenticator). KuCoin juga menyebutkan bahwa jika Anda menyimpan kuncinya, saat ganti ponsel cukup masukkan kunci itu di ponsel baru untuk menautkan ulang (panduan pengaturan Google 2FA KuCoin). Selain itu, di KuCoin, salah memasukkan kode Google 5 kali berturut-turut akan mengunci selama 2 jam; kalau kode terus dianggap salah, periksa dulu apakah jam di ponsel sudah diatur otomatis.
Apa itu passkey?
Passkey adalah metode login berstandar FIDO yang memverifikasi identitas dengan pengenalan wajah, sidik jari, atau kunci layar di ponsel atau komputer Anda sendiri, tanpa perlu memasukkan kata sandi dan kode verifikasi. Penjelasan Pionex cukup jelas: data biometrik disimpan secara lokal di perangkat dan tidak diunggah ke server, jadi meskipun orang lain mendapatkan akun dan kata sandi Anda, tanpa ponsel Anda mereka tidak bisa lolos verifikasi; setelah diaktifkan, penarikan cukup dengan verifikasi biometrik, tanpa harus memasukkan kode email, SMS, dan Google Authenticator satu per satu (Pionex: pengenalan fitur passkey).
Sebelum memasang, cek dulu syarat perangkatnya. OKX mensyaratkan iOS 16.0.0 ke atas atau Android 14.0 ke atas, dan juga bisa memakai kunci keamanan USB yang mendukung FIDO2 (OKX: cara membuat passkey (aplikasi)). HTX menyebutkan iOS 16 atau Android 9 ke atas, dengan maksimal 10 passkey (HTX: cara membuat passkey). XT mendukung iCloud Keychain serta kunci keamanan USB atau NFC, dan Anda juga bisa memindai kode QR untuk membuatnya dengan ponsel lain (XT: cara membuat passkey).
Ada beberapa hal lagi yang perlu diperhatikan. Binance punya sakelar “Must verify using passkey” (wajib verifikasi dengan passkey); setelah diaktifkan, login dan penarikan hanya bisa memakai passkey. Binance memperingatkan bahwa jika passkey hilang, Anda tidak bisa login, dan meminta agar sakelar ini dimatikan sebelum ganti ponsel, ganti akun iCloud, atau menginstal ulang aplikasi (Binance: fitur “Must verify using passkey”). Menghapus passkey juga termasuk perubahan pengaturan keamanan: OKX membatasi penarikan selama 24 jam saat passkey direset, atau dihapus tanpa verifikasi dengan passkey lain; Bybit dan KuCoin juga memasukkan “menghapus passkey” ke dalam pembatasan penarikan 24 jam. Sementara itu, Pionex menyebutkan bahwa passkey akan dinonaktifkan jika situs dibuka lewat browser bawaan aplikasi seperti Telegram atau WeChat, jadi gunakan browser biasa atau aplikasi resmi.
Bagaimana cara memakai kode anti-phishing?
Kode anti-phishing (Anti-Phishing Code) adalah rangkaian teks yang Anda tentukan sendiri; setelah dipasang, email resmi yang dikirim exchange akan menyertakan teks ini. Saat menerima email yang mengaku dari exchange, cek dulu ada tidaknya kode ini: kalau tidak ada atau tidak cocok, jangan klik tautan apa pun di dalamnya. Lokasi tampilan dan batas panjangnya berbeda di tiap exchange:
- Binance: muncul di email dan SMS resmi, panjang 6 sampai 8 karakter, harus memuat minimal tiga jenis dari huruf besar, huruf kecil, angka, dan garis bawah, tanpa simbol khusus. Di versi web, atur lewat [Akun] → [Keamanan] → [Keamanan Lanjutan] (Binance: apa itu kode anti-phishing, diperbarui 2026-08-28).
- Bitget: muncul di halaman login, email, dan SMS; atur lewat “Pusat Keamanan” → “Pengaturan Lanjutan” → “Kode Anti-Phishing” (Bitget: cara memasang kode anti-phishing).
- MEXC: hanya menyebutkan bahwa kode ini muncul di email resmi, panjang 1 sampai 6 karakter, tanpa simbol khusus (MEXC: cara memasang kode anti-phishing).
- KuCoin: muncul di email dan jendela login (penjelasan keamanan akun KuCoin).
- XT: disertakan di email maupun SMS, tetapi saat ini hanya bisa dipasang di versi web, tidak bisa di aplikasi (XT: memasang atau mengubah kode anti-phishing).
- BingX: panjang 4 sampai 20 karakter, dipasang di pengaturan keamanan lanjutan (panduan keamanan akun BingX).
Kode anti-phishing terutama dipakai untuk mengenali email dan SMS; kode ini tidak bisa menangkal telepon dari customer service palsu. Bitget dan KuCoin menampilkan kode anti-phishing di halaman login, jadi kalau saat login kode itu tidak terlihat, curigai alamat situsnya; exchange lain hanya menampilkannya di email atau SMS, sehingga kalau Anda masuk ke situs palsu lewat iklan mesin pencari, tidak ada apa pun yang bisa dicocokkan. Karena itu, selain memasang kode anti-phishing, sebaiknya simpan alamat resmi sebagai bookmark dan selalu masuk dari bookmark tersebut.
Bagaimana cara mengatur whitelist penarikan?
Whitelist penarikan (Withdrawal Whitelist) adalah benteng pertahanan terakhir saat akun dibobol: meskipun pelaku berhasil login, mereka hanya bisa mengirim koin ke alamat yang sudah Anda tambahkan sebelumnya. Pionex menyebutkan bahwa setelah whitelist diaktifkan, penarikan hanya bisa ke alamat yang ditentukan dan alamat lain akan ditolak sistem; alamat whitelist yang baru ditambahkan baru bisa dipakai setelah 24 jam, dan transfer internal pun ikut dibatasi whitelist (Pionex: apa itu whitelist penarikan).
Masa tunggu dan cara menonaktifkannya sangat berbeda di tiap exchange:
- OKX: di aplikasi, buka “Aset” → “Tarik” → “Buku alamat” → “Pengaturan alamat” lalu aktifkan “Mode allowlist alamat”. “Kunci penarikan alamat baru” bersifat opsional; jika diaktifkan, alamat yang baru ditambahkan tidak bisa menerima penarikan selama 24 jam (OKX: cara memakai allowlist penarikan (aplikasi)).
- MEXC: setelah “Pembatasan keamanan whitelist” diaktifkan, alamat baru harus menunggu 24 jam; jika diaktifkan lalu dimatikan lagi, Anda juga harus menunggu 24 jam sebelum bisa menarik (MEXC: cara mengatur pengaturan penarikan).
- HTX: saat mengaktifkan, Anda memilih sendiri kapan whitelist berlaku; misalnya jika memilih “berlaku setelah 3 hari”, alamat baru harus menunggu 3 hari kalender. Mempersingkat waktu berlaku atau menonaktifkan whitelist sama-sama harus melalui peninjauan administrator platform, yang menurut HTX memerlukan “beberapa menit hingga beberapa hari” (HTX: panduan whitelist alamat penarikan (aplikasi)).
- Binance: setelah diaktifkan, penarikan hanya bisa ke alamat whitelist; mengubah whitelist (termasuk menambah alamat) dapat menangguhkan penarikan selama 24, 48, atau 72 jam (Binance: mengelola pengaturan penarikan).
- Bybit: “Whitelist alamat penarikan” bersifat bebas verifikasi; selain itu ada dua sakelar terpisah, “Penarikan hanya ke buku alamat” dan “Pembatasan penarikan ke alamat baru”, dan setelah sakelar yang kedua dinonaktifkan, penarikan dibatasi selama 24 jam (Bybit: cara mengelola keamanan penarikan).
- Gate: setelah alamat whitelist dicentang “Bebas verifikasi”, penarikan tidak lagi memerlukan kode SMS, email, Google Authenticator, maupun kata sandi dana; setiap jaringan harus diatur terpisah (Gate: cara mengatur whitelist alamat penarikan di aplikasi).
Alamat bebas verifikasi di Gate dan Bybit memang praktis, tetapi pahami konsekuensinya: saat akun dibobol, penarikan ke alamat-alamat ini tidak memerlukan kode verifikasi. Jika whitelist Anda hanya berisi cold wallet milik sendiri atau alamat deposit di exchange lain, risikonya kecil; tetapi jangan jadikan alamat yang asal-usulnya tidak jelas sebagai alamat bebas verifikasi. Kalau ingin membatasi tujuan penarikan, yang perlu diaktifkan di Bybit adalah “Penarikan hanya ke buku alamat”. Sebelum menarik, pastikan juga jaringan yang dipilih sudah benar; cara menangani salah pilih jaringan ada di cara menyelamatkan deposit yang salah jaringan.
Apa yang perlu dicek di manajemen perangkat dan notifikasi login?
Daftar perangkat yang sedang login perlu dicek secara rutin, dan perangkat yang tidak dikenal langsung saja di-logout. Di OKX jalurnya adalah “Pusat keamanan” → “Manajemen perangkat”, dan panduan yang sama juga menyarankan untuk mencabut aplikasi pihak ketiga yang sudah tidak dipakai di “Manajemen otorisasi” (OKX: panduan meningkatkan keamanan akun). Di aplikasi Pionex, buka foto profil → “Pengaturan keamanan” → “Perangkat yang login”; di versi web, “Keamanan akun” → “Manajemen perangkat login” (Pionex: peringatan login tidak biasa).
Notifikasi login belum tentu berarti akun dibobol. Pionex menyebutkan bahwa peringatan dikirim begitu terdeteksi IP baru atau perangkat baru, dan berganti Wi-Fi atau menyalakan VPN pun bisa memicunya; lokasi yang ditampilkan untuk IP bergantung pada penyedia jaringan, jadi wajar jika berbeda dengan kota tempat Anda sebenarnya berada. Yang benar-benar perlu diwaspadai adalah notifikasi pada waktu ketika Anda sama sekali tidak melakukan apa pun, atau model perangkat yang tidak Anda kenali. Dalam situasi itu, Pionex menyarankan untuk berturut-turut mengganti kata sandi login, menautkan ulang Google Authenticator, memastikan email terdaftar aman, dan bila perlu menghubungi customer service untuk membekukan fungsi penarikan terlebih dahulu.
Bitget punya pembatasan tambahan untuk perangkat baru: setelah perangkat baru berhasil login, fungsi pembayaran dan penarikan di perangkat itu dibatasi selama 1 jam, tanpa memengaruhi perangkat yang pernah dipakai sebelumnya (Bitget: mengapa penarikan dibatasi). BingX menyediakan “Kunci Akun” sekali ketuk yang bisa langsung dipakai saat Anda mendapati login, penarikan, atau perubahan pengaturan keamanan yang bukan dilakukan oleh Anda (BingX: kode anti-phishing, whitelist penarikan, dan kunci akun). Cara membuka akun yang terkunci atau dibekukan ada di apa yang harus dilakukan jika akun exchange dibekukan.
Bagaimana mengatur izin kunci API agar aman?
Kunci API memungkinkan alat pencatat keuangan, bot trading, atau platform copy trading mengoperasikan akun Anda secara langsung, tanpa perlu login. Dalam penjelasan tentang akun yang dibobol, Pionex menyebutkan bahwa jika kunci API bocor, pihak lain bisa memasang order bahkan menarik dana tanpa login (Pionex: apa yang harus dilakukan jika akun dibobol). Aturan resmi beberapa exchange:
| Exchange | Aturan resmi | Sumber |
|---|---|---|
| Binance | Mengaktifkan izin penarikan wajib disertai pembatasan akses IP; sejak 2023-01-30, kunci tanpa pembatasan IP hanya bisa diberi izin baca | Cara membuat kunci API di Binance (diperbarui 2025-03-20) |
| OKX | Kunci yang tidak terikat IP dan memiliki izin trading atau penarikan otomatis dihapus setelah 14 hari tanpa aktivitas; setiap kunci bisa diikat ke maksimal 20 IP | Tanya jawab API (diperbarui 2026-09-28) |
| XT | Kunci baru secara default hanya punya izin kueri; disarankan mengikat IP; maksimal 10 kunci per orang, dan kunci privat hanya ditampilkan sekali | Cara membuat kunci API (diperbarui 2026-08-01) |
| HTX | Whitelist penarikan hanya membatasi aplikasi dan versi web; pengguna API tidak terikat whitelist dan tetap menarik ke alamat yang didefinisikan di API | Panduan whitelist alamat penarikan (Web) (2025-11-14) |
Sumber data: pusat bantuan resmi tiap exchange pada tabel di atas, diverifikasi 2026-10-18.
Aturan HTX inilah yang paling perlu diperhatikan: whitelist bisa menghadang pembobol akun, tetapi tidak bisa menghadang kunci API yang bocor. Cara yang lebih aman: kunci yang diberikan ke alat pihak ketiga jangan pernah diberi izin penarikan, ikat IP bila memungkinkan, dan langsung hapus kunci yang sudah tidak dipakai. Cara menilai platform copy trading dan bot yang meminta API ada di cara mengenali penipuan copy trading.
Tabel perbandingan fitur keamanan 13 exchange
Pada tabel di bawah, “kunci penarikan” berarti lama penangguhan penarikan yang disebutkan secara resmi setelah pengaturan keamanan diubah. Pemicunya tidak sepenuhnya sama di tiap exchange; detailnya ada di halaman sumber.
| Exchange | Jenis 2FA | Passkey | Kode anti-phishing | Whitelist penarikan | Kunci penarikan setelah pengaturan diubah |
|---|---|---|---|---|---|
| Binance | Passkey, aplikasi autentikator, SMS, email | Ada, bisa mengaktifkan “Must verify using passkey” | Ada, email dan SMS | Mode pembatasan, perubahan dapat menangguhkan 24/48/72 jam | Hingga 48 jam setelah reset 2FA atau penggantian autentikator (sumber) |
| OKX | SMS, email, aplikasi autentikator, passkey | Ada, bisa memakai kunci keamanan USB FIDO2 | Ada, email | Mode allowlist alamat, alamat baru dikunci 24 jam (opsional) | 24 jam setelah mengubah kata sandi login atau metode verifikasi (sumber) |
| Bybit | Email, SMS, Google Authenticator, passkey | Ada | Ada, email dan SMS | Whitelist bersifat bebas verifikasi; ada juga penarikan hanya ke buku alamat dan kunci penarikan alamat baru | 24 jam setelah 9 jenis tindakan, seperti mengubah kata sandi, nomor ponsel, email, Google Authenticator, kata sandi dana, atau menghapus passkey (sumber) |
| Bitget | SMS, Google Authenticator, passkey | Ada, Google Authenticator harus ditautkan dulu | Ada, email, SMS, halaman login | Ada | 24 jam setelah reset kata sandi, kata sandi dana, Google Authenticator, atau mengganti email maupun nomor ponsel (sumber) |
| MEXC | Google Authenticator, SMS, email, passkey | Ada | Ada, email | Mode pembatasan, alamat baru menunggu 24 jam | Penarikan dan transfer dilarang selama 24 jam setelah melepas tautan Google Authenticator (sumber) |
| Gate | SMS, Google Authenticator, email, passkey | Ada, dua metode verifikasi harus diaktifkan dulu | Ada, email | Alamat bebas verifikasi, diatur per jaringan | 24 jam setelah menautkan atau melepas tautan nomor ponsel, Google Authenticator, email, atau reset kata sandi login maupun kata sandi dana; tidak bisa dicabut lebih awal (sumber) |
| BingX | Nomor ponsel, email, Google Authenticator | Ada, secara resmi disebutkan saat ini dipakai untuk login | Ada, email | Mode pembatasan | 24 jam setelah menghapus atau mengganti item keamanan (sumber) |
| KuCoin | Nomor ponsel, email, verifikasi Google, passkey | Ada | Ada, email dan jendela login | Ada, penarikan ke whitelist hanya perlu kata sandi trading | 24 jam setelah 7 situasi, seperti menghapus passkey, mengubah verifikasi Google, kata sandi trading, nomor ponsel, atau email (sumber) |
| HTX | Nomor ponsel, email, Google Authenticator, passkey | Ada, maksimal 10 | Ada (halaman pengaturan), lokasi tampilannya tidak disebutkan di panduan resmi | Mode pembatasan, waktu berlaku dipilih sendiri, menonaktifkan perlu peninjauan | 24 jam setelah mengubah item pengaturan keamanan di Pusat Keamanan (sumber) |
| XT | Verifikasi Google, SMS, email, passkey | Ada, bisa memakai kunci keamanan USB/NFC | Ada, email dan SMS, hanya bisa dipasang di web | Tidak disebutkan secara resmi | Setelah mengubah atau melepas tautan verifikasi, penarikan dan penjualan C2C dibatasi 24 jam (sumber) |
| WEEX | Nomor ponsel, email, Google Authenticator, passkey | Ada, bisa memakai kunci keamanan perangkat keras | Ada, email | Manajemen alamat, alamat baru perlu konfirmasi email | Tidak disebutkan secara resmi |
| Pionex | Email, SMS, Google Authenticator, passkey | Ada | Tidak disebutkan secara resmi | Mode pembatasan, alamat baru menunggu 24 jam | 72 jam setelah reset Google Authenticator (sumber) |
| Ourbit | Google Authenticator, email | Tidak disebutkan secara resmi | Ada, email | Tidak disebutkan secara resmi | 24 jam setelah reset kode Google Authenticator (sumber) |
Sumber data: pusat bantuan resmi dan halaman pengaturan keamanan tiap exchange, diverifikasi 2026-10-18. Data WEEX berdasarkan halaman pengaturan keamanan resmi dan panduan keamanan akun; kode anti-phishing Ourbit berdasarkan panduan verifikasi resmi; whitelist Bitget berdasarkan panduan keamanan akun lanjutan.
Dari tabel ini bisa dihitung berapa lama waktu tunggu dalam kasus terburuk. Ambil contoh reset Google Authenticator yang hilang: peninjauan Binance paling lama 24 jam, lalu setelah reset penarikan masih dibatasi hingga 48 jam lagi, total paling lama 72 jam; peninjauan Pionex selesai dalam 72 jam, lalu setelah reset penarikan dilarang 72 jam lagi, total paling lama 144 jam atau 6 hari; OKX membatasi 24 jam setelah reset. Jika whitelist HTX diatur “berlaku setelah 3 hari”, setiap kali menambah alamat baru Anda harus menunggu 72 jam. Sebelum ganti ponsel, bepergian ke luar negeri, atau berencana memindahkan koin, sebaiknya sisihkan waktu seminggu.
Ganti ponsel atau kehilangan 2FA, apa yang harus dilakukan?
Selagi ponsel lama masih ada di tangan, selesaikan dulu sebelum ganti: tautkan ulang autentikator di ponsel baru dengan kunci yang sudah dicadangkan, atau gunakan kode dari autentikator lama untuk “mengganti” autentikator di Pusat Keamanan. Jika Anda mengaktifkan “Must verify using passkey” di Binance, matikan dulu sebelum ganti ponsel. Pionex menyebutkan bahwa selama ponsel baru login dengan Apple ID atau akun Google yang sama, passkey akan tersinkron otomatis; jika setelah sinkron passkey tidak bisa dipakai, hapus passkey lama lalu buat ulang.
Jika autentikator sudah hilang, ikuti alur reset mandiri di tiap exchange. Pintu masuknya biasanya ada di halaman verifikasi saat login:
| Exchange | Pintu masuk reset | Yang perlu disiapkan | Waktu peninjauan | Pembatasan penarikan setelah reset |
|---|---|---|---|---|
| Binance | Di halaman verifikasi, “Verifikasi keamanan tidak tersedia?” → centang item yang tidak bisa dipakai → “Konfirmasi reset” | Metode verifikasi lain yang masih bisa dipakai; bila perlu, isi nomor ponsel atau email baru | Paling lama 24 jam | Paling lama 48 jam, termasuk penjualan C2C dan transfer internal |
| OKX | “Gunakan metode verifikasi lain” → “Reset verifikasi dua langkah” | Jika sedang login, harus menyelesaikan verifikasi wajah | Tidak disebutkan secara resmi | 24 jam, termasuk penjualan koin C2C |
| Bybit | “Verifikasi keamanan tidak tersedia” → “Verifikasi Google tidak tersedia” | Kode verifikasi yang dikirim ke email atau nomor ponsel terdaftar; jika tidak diterima, ajukan permohonan manual | Permohonan manual: dihubungi dalam 1 sampai 3 hari kerja | 24 jam, termasuk P2P |
| MEXC | Aplikasi: “Reset verifikasi keamanan” / web: “Item keamanan hilang” | Kode verifikasi email, nomor ponsel kontak, foto sambil memegang kartu identitas, serta jawaban tentang tanggal login, wilayah, pasangan trading, dan aset | 1 hari kerja | Penarikan dan transfer dilarang selama 24 jam |
| XT | “Item verifikasi keamanan tidak tersedia” → “Konfirmasi reset” | Foto sambil memegang kartu identitas dan catatan tulisan tangan, ditambah video riwayat penarikan di platform lain (maksimal 50MB) | Tidak disebutkan secara resmi, hasil diberitahukan lewat email | 24 jam, termasuk penjualan P2P |
| Pionex | Halaman login “Kehilangan item verifikasi keamanan?” → “Mulai reset” | Bulan dan tahun pendaftaran, nama panggilan, pasangan trading yang pernah dipakai bot | Dalam 72 jam | 72 jam |
Sumber data: Binance (diperbarui 2026-06-03), OKX (diperbarui 2026-08-25), Bybit (diperbarui 2025-11-25), MEXC, XT (diperbarui 2026-10-06), Pionex, diverifikasi 2026-10-18.
Di KuCoin, pintu masuknya adalah “Forgot password” → “Google Authenticator unavailable” di halaman login, dan setelah reset Anda tidak bisa menarik selama 24 jam. Alur reset OKX, MEXC, dan XT meminta verifikasi wajah atau foto sambil memegang kartu identitas, jadi sebaiknya selesaikan verifikasi identitas sejak awal; alur tiap exchange ada di panduan KYC seperti verifikasi identitas Binance dan verifikasi identitas OKX. Jika customer service meminta nomor akun Anda, cukup berikan UID; apa itu UID dijelaskan di apa itu UID exchange.
Apa saja modus pembobolan akun yang umum?
- Iklan mesin pencari dan situs palsu: tips keamanan XT menyebutkan agar Anda tidak mengklik tautan di iklan mesin pencari, komentar media sosial, atau pesan dari orang tak dikenal, dan hanya masuk dari situs resmi atau toko aplikasi resmi. Situs palsu meniru halaman login untuk menipu Anda agar memasukkan kata sandi dan kode verifikasi.
- Customer service palsu dan kendali jarak jauh: pelaku mengaku sebagai customer service dan meminta Anda memasang perangkat lunak seperti TeamViewer atau AnyDesk untuk “membantu menangani akun”. Pionex menyebutkan bahwa customer service-nya tidak akan pernah meminta pemasangan perangkat lunak akses jarak jauh; jika Anda sudah menurutinya, anggap perangkat itu sudah dibobol.
- Pembajakan kartu SIM: pelaku memakai identitas Anda untuk mengurus kartu SIM pengganti dan menerima kode verifikasi SMS Anda. Bitget dan WEEX sama-sama memakai alasan ini untuk menyarankan aplikasi autentikator sebagai pengganti SMS.
- Aplikasi tidak resmi: Pionex memasukkan pengunduhan APK dari sumber tidak resmi sebagai salah satu penyebab pembobolan yang paling umum.
- Meminta kode verifikasi: HTX menyebutkan bahwa pihak resmi tidak akan pernah meminta kata sandi, kode verifikasi SMS atau email, maupun kode Google Authenticator (HTX: cara memperkuat keamanan akun), dan XT juga menyebutkan tidak akan meminta kata sandi, kunci privat, atau kode 2FA. Siapa pun yang meminta Anda membacakan kode verifikasi, mengirim tangkapan layar, atau berbagi layar adalah penipu.
Untuk memastikan apakah telepon, email, atau alamat situs benar-benar resmi, Anda bisa mengeceknya dengan alat verifikasi resmi tiap exchange; misalnya XT dan Ourbit sama-sama punya kanal verifikasi resmi. Jika berada di Taiwan dan menerima telepon atau pesan mencurigakan, Anda bisa menelepon saluran anti-penipuan 165 (165 反詐騙專線) untuk mengeceknya. Modus lainnya dirangkum di jenis-jenis penipuan exchange yang umum, dan untuk kasus diminta membayar dulu sebelum bisa menarik dana, lihat penipuan penarikan di exchange palsu.
Mendapatkan rebate juga tidak memerlukan penyerahan data verifikasi apa pun. Di exchange yang Anda daftari dengan kode referral situs ini, rebate dibayarkan otomatis oleh exchange berdasarkan hubungan referral. Misalnya, dengan kode referral Binance KEVINWU, rebate otomatis dari exchange saat ini adalah 20% (diperbarui 2026-10-24); semua exchange dirangkum di kumpulan kode referral exchange. Bybit tidak punya rebate otomatis dari exchange yang berlaku untuk situs ini, jadi Anda perlu menautkan UID lewat Fee Otter; rebate tambahan ini dibayar oleh Fee Otter, bukan oleh exchange dan bukan oleh Kevin Wu, dan persentasenya mengikuti halaman Fee Otter. Detailnya ada di rebate biaya trading Bybit: Fee Otter. Jika ada situs rebate yang meminta kata sandi, kode verifikasi, atau kunci API Anda, jangan diberikan; tanda-tanda bahayanya dirangkum di tanda-tanda penipuan rebate.
Pertanyaan umum
Untuk 2FA exchange, mana yang lebih aman: SMS atau Google Authenticator?
Aplikasi autentikator seperti Google Authenticator lebih aman daripada SMS, dan passkey lebih baik lagi. Bitget secara resmi mengingatkan bahwa verifikasi SMS bisa bocor akibat pembajakan kartu SIM, dan Binance serta XT juga menyarankan agar SMS diganti dengan passkey atau aplikasi autentikator. Jika memakai aplikasi autentikator, cadangkan kuncinya saat itu juga ketika menautkan.
Di mana kode anti-phishing muncul?
Kode anti-phishing terutama muncul di email resmi yang dikirim exchange. Binance, Bybit, dan XT menyebutkan SMS juga menyertakannya, Bitget juga menampilkannya di halaman login, dan KuCoin di jendela login. MEXC hanya menyebutkan kode ini muncul di email. Jika menerima “email resmi” tanpa kode anti-phishing, jangan klik tautan di dalamnya.
Kenapa tidak bisa menarik dana setelah mengubah pengaturan keamanan?
Ini mekanisme perlindungan exchange, agar pemilik akun yang sebenarnya punya waktu untuk bertindak jika akunnya dibobol. 10 exchange, antara lain OKX, Bybit, Gate, dan KuCoin, menyebutkan 24 jam; Binance hingga 48 jam setelah reset 2FA, dan Pionex 72 jam setelah reset Google Authenticator. Gate menyebutkan pembatasan ini tidak bisa dicabut lebih awal; Anda hanya bisa menunggu sampai waktunya habis.
Apa bedanya whitelist penarikan dengan buku alamat?
Buku alamat hanya menyimpan alamat yang sering dipakai dan tidak membatasi ke mana Anda bisa menarik; setelah whitelist diaktifkan, penarikan hanya bisa ke alamat yang ada di daftar. Pionex memisahkan keduanya menjadi dua tab. Perlu diingat, whitelist Gate dan Bybit lebih condong ke bebas verifikasi: penarikan ke alamat yang sudah masuk daftar bisa melewati kode verifikasi; untuk membatasi tujuan penarikan di Bybit, aktifkan “Penarikan hanya ke buku alamat”.
Apa yang harus dilakukan sebelum ganti ponsel?
Sebelum ganti ponsel, pindahkan dulu autentikator ke ponsel baru, baru urus passkey. Jika punya cadangan kunci, masukkan kunci itu di ponsel baru untuk menautkan ulang; jika tidak punya cadangan, “ganti” autentikator di Pusat Keamanan selagi ponsel lama masih bisa dipakai. Jika Anda mengaktifkan “Must verify using passkey” di Binance, Binance meminta agar fitur ini dimatikan sebelum ganti ponsel; jika tidak, Anda mungkin tidak bisa login.
Google Authenticator hilang, berapa lama sampai bisa menarik lagi?
Tergantung exchange-nya: OKX membatasi 24 jam setelah reset, Binance paling lama 72 jam, dan Pionex paling lama 6 hari. Waktu peninjauan OKX tidak disebutkan secara resmi. Peninjauan Binance paling lama 24 jam, ditambah pembatasan penarikan paling lama 48 jam setelah reset; peninjauan Pionex dalam 72 jam, lalu setelah reset penarikan dilarang 72 jam lagi. Peninjauan MEXC 1 hari kerja, setelah itu penarikan dilarang selama 24 jam.
Amankah memberikan kunci API ke bot atau alat pencatat keuangan?
Risikonya baru bisa dikendalikan jika Anda hanya mengaktifkan izin baca atau trading, tidak mengaktifkan izin penarikan, dan mengikat IP. Binance mewajibkan pembatasan IP untuk mengaktifkan izin penarikan, dan OKX otomatis menghapus kunci berizin trading atau penarikan yang tidak terikat IP dan 14 hari tidak dipakai. Whitelist penarikan HTX tidak membatasi penarikan lewat API, jadi izin penarikan makin tidak boleh diaktifkan sembarangan.
Bagaimana jika passkey hilang?
Jika passkey hilang, login dengan metode verifikasi lain yang sudah ditautkan, lalu hapus passkey lama dan buat ulang. Pionex menyebutkan bahwa di halaman verifikasi Anda bisa memilih “Verifikasi dengan cara lain”, dan saat menghapus, verifikasi keamanan diselesaikan dengan metode yang sudah ditautkan ke akun. Setelah dihapus, OKX, Bybit, dan KuCoin membatasi penarikan selama 24 jam; jika Anda mengaktifkan “Must verify using passkey” di Binance, Anda harus menempuh alur reset 2FA.
Jika akun menunjukkan aktivitas tidak wajar, dibatasi, atau dibekukan, cara menanganinya ada di apa yang harus dilakukan jika akun exchange dibekukan; riwayat peretasan yang menimpa exchange itu sendiri dirangkum di catatan keamanan exchange. Ketentuan dan aturan dana masuk sebelum menarik ada di penjelasan ketentuan deposit dan penarikan, dan perbandingan biaya penarikan USDT tiap exchange ada di perbandingan biaya penarikan USDT.