אבטחת חשבון ב־Binance: 2FA, אנטי־פישינג ורשימות לבנות

1. אימות דו־שלבי

הפעילו אותו עם אפליקציית אימות, לא ב־SMS.

קודי SMS נשלחים למספר טלפון, ומספרי טלפון ניתנים להעברה. התקפות החלפת SIM — שבהן מישהו משכנע מפעיל סלולרי להעביר את המספר שלכם למכשיר שלו — הן טכניקה סטנדרטית דווקא נגד חשבונות קריפטו, כי הרווח מצדיק את המאמץ.

אפליקציית אימות מייצרת קודים על המכשיר עצמו. אין מה ליירט ואין מפעיל שאפשר לתמרן. מפתח אבטחה חומרתי חזק אף יותר היכן שהוא נתמך.

1. התקינו אפליקציית אימות על מכשיר שאתם שולטים בו ותשמרו.
2. הפעילו אימות דו־שלבי עם אפליקציה בהגדרות האבטחה של Binance.
3. שמרו את קודי השחזור לא מקוונים — על נייר כן, באותו מנהל סיסמאות כמו הסיסמה לא.
4. אם אימות דו־שלבי ב־SMS כבר מופעל, כבו אותו ברגע ששיטת האפליקציה עובדת.
5. בדקו אותו פעם אחת בהתנתקות והתחברות מחדש לפני שאתם מפקידים דבר.

אובדן גישה לאפליקציה בלי קודי שחזור פירושו הליך שחזור דרך אימות זהות שלוקח ימים. רשמו את הקודים ברגע ההפעלה, לא אחר כך.

2. קוד אנטי־פישינג

זו ההגדרה עם יחס הערך למאמץ הטוב ביותר ורוב האנשים מעולם לא שמעו עליה.

אתם בוחרים ביטוי קצר ו־Binance כוללת אותו בכל הודעת דוא״ל אמיתית שהיא שולחת לכם. הודעות פישינג — שמעתיקות את העיצוב של Binance במדויק ואחרת לעיתים קרובות אינן ניתנות להבחנה — אינן יכולות להכיל אותו, כי השולח שלהן אינו מכיר אותו.

מאותו רגע, הודעה בלי הביטוי שלכם היא מזויפת, כמה משכנעת שתיראה. זו בדיקה שאתם עושים בשנייה, בכל פעם, בלי צורך בשיקול דעת.

3. רשימת כתובות למשיכה

ההגדרה הזו קובעת כמה גרוע נהיה המקרה הגרוע ביותר.

כשהרשימה הלבנה מופעלת, אפשר למשוך כספים רק לכתובות שאושרו מראש, והוספת כתובת חדשה מפעילה תקופת המתנה לפני שאפשר להשתמש בה. תוקף שמחזיק את הסיסמה שלכם, את ההפעלה שלכם ואפילו את קודי האימות הדו־שלבי עדיין אינו יכול להעביר כספים מיד לכתובת שלו — והעיכוב הזה הוא בדיוק החלון שבו אתם שמים לב ופועלים.

בלעדיה, חשבון שנפרץ מתרוקן בעסקה אחת לכתובת שמעולם לא ראיתם, והעסקה בלתי הפיכה.

• הפעילו את הרשימה הלבנה לפני המשיכה הראשונה, לא אחריה.
• הוסיפו רק כתובות שאתם שולטים בהן ומתכוונים להשתמש בהן שוב.
• צפו לעיכוב אבטחה בהוספת חדשה — העיכוב הזה הוא התכונה.
• סקרו את הרשימה מדי פעם והסירו כתובות שאינכם משתמשים בהן עוד.
• שלבו אותה עם אימות דו־שלבי: יחד הם מכסים כמעט כל תקיפה ריאלית.

4. היגיינת הפעלות ומכשירים

הגדרות האבטחה של Binance מציגות כל מכשיר וכל הפעלה פעילה בחשבון. קראו את הרשימה הזו פעם אחת, ואחר כך מדי פעם.

כל מה שאינכם מזהים צריך להיסגר מיד, ואחריו שינוי סיסמה ואיפוס האימות הדו־שלבי. הפעלות נשמרות הרבה יותר זמן ממה שאנשים מצפים, והפעלה ישנה במכשיר שנמכר או אבד היא גישה חיה.

אותו מדור מכיל את ניהול מפתחות ה־API. אם מעולם לא יצרתם מפתח API, לא אמור להיות שם אף אחד — מפתח שלא יצרתם הוא הממצא החמור ביותר האפשרי, כי מפתחות יכולים לסחור בלי להפעיל התראת התחברות.

אם בכל זאת אתם יוצרים מפתחות API לבוט או למעקב תיק, הגבילו אותם להרשאות שבאמת נחוצות, קשרו אותם לכתובת IP ולעולם אל תפעילו הרשאת משיכה.

איך חשבונות באמת נלקחים

הבנת המסלולים הרגילים הופכת את ההגדרות למעלה למופשטות פחות.

פישינג הוא המסלול הדומיננטי. הודעת דוא״ל או פרסומת משכנעת מובילה לדף התחברות שאינו Binance, אתם מזינים פרטים וקוד דו־שלבי, והתוקף מעביר את שניהם לאתר האמיתי בתוך תוקף הקוד. קוד האנטי־פישינג מנצח את גרסת הדוא״ל; שמירת האתר האמיתי במועדפים ולעולם לא לנווט מקישור מנצחת את השאר.

תמיכה מזויפת היא השנייה. אף אחד מ־Binance לא יכתוב לכם ראשון בטלגרם, בדיסקורד או בוואטסאפ. שיחות עם התמיכה מתחילות מתוך האפליקציה, ביוזמתכם.

אישורים זדוניים ונוזקת לוח משמעותיים יותר לארנקים בשליטה עצמית מאשר לחשבונות בורסה, אבל ההרגל שמגן מפניהם — בדיקת התווים הראשונים והאחרונים בכל כתובת שהודבקה — שווה בכל מקום.

החלפת SIM מכוונת בדיוק לאימות דו־שלבי ב־SMS, ולכן המדור הראשון אומר מה שהוא אומר.

ממה שום הגדרה אינה מגנה עליכם

בהירות לגבי הגבולות חשובה כמו רשימת הבדיקה עצמה.

אף אחת מההגדרות האלה אינה מגנה עליכם מפני החלטות המסחר שלכם, מפני חיסול של פוזיציה ממונפת או מפני ירידה בשווי נכס. אלה אינם אירועי אבטחה ושום תצורה לא מונעת אותם.

הן גם אינן משנות את העובדה הבסיסית שנכסים בבורסה מוחזקים על ידי אותה בורסה. לסכומים שאתם מתכוונים להחזיק לטווח ארוך, שליטה עצמית בארנק שאתם מחזיקים את מפתחותיו היא פרופיל סיכון אחר — עם דרכי כשל משלה, בעיקר אובדן קבוע ובלתי הפיך של ביטוי השחזור.

רשימת עשר הדקות

לפי הסדר, לפני ההפקדה הראשונה.

1. הפעילו אימות דו־שלבי עם אפליקציה ושמרו את קודי השחזור לא מקוונים.
2. קבעו קוד אנטי־פישינג.
3. הפעילו רשימת כתובות למשיכה.
4. סקרו הפעלות פעילות, מכשירים ומפתחות API; סגרו כל דבר לא מוכר.
5. שמרו את הדומיין האמיתי של Binance במועדפים והשתמשו מכאן והלאה רק במועדף הזה.
6. בצעו הפקדה ומשיכה קטנות לבדיקה כדי לאשר שכל המסלול עובד בזמן שהסיכון נמוך.