Сигурност на акаунта в Binance: 2FA, антифишинг и бели списъци

1. Двуфакторно удостоверяване

Включете го с приложение за удостоверяване, а не чрез SMS.

SMS кодовете се доставят на телефонен номер, а телефонните номера са прехвърляеми. Атаките с подмяна на SIM — при които някой убеждава мобилен оператор да премести номера ви на своето устройство — са стандартна техника точно срещу крипто акаунти, защото печалбата оправдава усилието.

Приложението за удостоверяване генерира кодове на самото устройство. Няма какво да се прихване и няма оператор за манипулиране. Хардуерен ключ за сигурност е още по-силен, където се поддържа.

1. Инсталирайте приложение за удостоверяване на устройство, което контролирате и запазвате.
2. Включете двуфакторното удостоверяване чрез приложение в настройките за сигурност на Binance.
3. Пазете кодовете за възстановяване офлайн — на хартия е добре, в същия мениджър на пароли като паролата — не.
4. Ако двуфакторното чрез SMS вече е включено, изключете го, щом методът с приложение проработи.
5. Тествайте го веднъж, като излезете и влезете отново, преди да депозирате каквото и да е.

Загубата на достъп до приложението без кодове за възстановяване означава процедура по възстановяване чрез проверка на самоличността, която отнема дни. Запишете кодовете в момента на включване, а не по-късно.

2. Антифишинг код

Това е настройката с най-добро съотношение стойност към усилие и повечето хора никога не са чували за нея.

Избирате кратка фраза и Binance я включва във всеки истински имейл, който ви изпраща. Фишинг имейлите — които копират дизайна на Binance точно и иначе често са неразличими — не могат да я съдържат, защото изпращачът им не я знае.

Оттам нататък имейл без вашата фраза е фалшив, колкото и убедително да изглежда. Това е проверка, която правите за секунда, всеки път, без да е нужна преценка.

3. Бял списък с адреси за теглене

Тази настройка определя колко зле става най-лошият случай.

С включен бял списък средствата могат да се теглят само към предварително одобрени адреси, а добавянето на нов адрес задейства период на изчакване, преди да може да се използва. Нападател, който има паролата ви, сесията ви и дори двуфакторните ви кодове, пак не може веднага да премести средства към свой адрес — а това забавяне е точно прозорецът, в който забелязвате и действате.

Без него компрометиран акаунт се изпразва с една транзакция към адрес, който никога не сте виждали, а транзакцията е необратима.

• Включете белия списък преди първото си теглене, а не след него.
• Добавяйте само адреси, които контролирате и смятате да използвате отново.
• Очаквайте забавяне по сигурност при добавяне на нов — това забавяне е функцията.
• Преглеждайте списъка периодично и премахвайте адреси, които вече не използвате.
• Комбинирайте го с двуфакторното удостоверяване: заедно покриват почти всяка реалистична атака.

4. Хигиена на сесии и устройства

Настройките за сигурност на Binance изброяват всяко устройство и всяка активна сесия в акаунта. Прочетете този списък веднъж, а после от време на време.

Всичко, което не разпознавате, трябва да бъде прекратено веднага, последвано от смяна на паролата и нулиране на двуфакторното удостоверяване. Сесиите се задържат далеч по-дълго, отколкото хората очакват, а стара сесия на продадено или изгубено устройство е жив достъп.

Същият раздел съдържа управлението на API ключове. Ако никога не сте създавали API ключ, там не бива да има нито един — ключ, който не сте създали, е най-сериозната възможна находка, защото ключовете могат да търгуват, без да задействат сигнал за вход.

Ако все пак създавате API ключове за бот или проследяване на портфейл, ограничете ги до реално нужните права, вържете ги към IP адрес и никога не включвайте право за теглене.

Как реално се превземат акаунти

Разбирането на обичайните пътища прави настройките по-горе по-малко абстрактни.

Фишингът е доминиращият път. Убедителен имейл или реклама води до страница за вход, която не е Binance, въвеждате данни и двуфакторен код, а нападателят препраща и двете към истинския сайт в рамките на валидността на кода. Антифишинг кодът побеждава версията по имейл; запазването на истинския сайт в отметки и никога да не навигирате от връзка побеждава останалото.

Фалшивата поддръжка е втората. Никой от Binance няма да ви пише пръв в Telegram, Discord или WhatsApp. Разговорите с поддръжката започват от вътре в приложението, по ваша инициатива.

Злонамерените одобрения и зловредният софтуер за клипборда значат повече за самостоятелно съхранявани портфейли, отколкото за борсови акаунти, но навикът, който пази от тях — проверка на първите и последните знаци на всеки поставен адрес — си струва навсякъде.

Подмяната на SIM цели точно двуфакторното чрез SMS, което е причината първият раздел да казва това, което казва.

От какво никоя настройка не ви пази

Яснотата за границите има толкова значение, колкото и списъкът за проверка.

Нито една от тези настройки не ви пази от собствените ви търговски решения, от ликвидация на ливъриджна позиция или от спад в стойността на актив. Това не са инциденти със сигурността и никаква конфигурация не ги предотвратява.

Нито променят основния факт, че активите на една борса се държат от тази борса. За суми, които смятате да държите дългосрочно, самостоятелното съхранение в портфейл, чиито ключове контролирате, е различен рисков профил — със собствени начини на провал, главно трайната и невъзстановима загуба на фраза за възстановяване.

Списъкът за десет минути

По ред, преди първия депозит.

1. Включете двуфакторно удостоверяване чрез приложение и запазете кодовете за възстановяване офлайн.
2. Задайте антифишинг код.
3. Включете белия списък с адреси за теглене.
4. Прегледайте активните сесии, устройства и API ключове; прекратете всичко непознато.
5. Запазете истинския домейн на Binance в отметки и оттук нататък използвайте само тази отметка.
6. Направете малък тестов депозит и теглене, за да потвърдите, че целият път работи, докато залогът е нисък.