Sicurezza dell'account Binance: 2FA, anti-phishing e liste bianche

1. Autenticazione a due fattori

Attivala con un'app di autenticazione anziché via SMS.

I codici SMS vengono consegnati a un numero di telefono, e i numeri di telefono sono trasferibili. Gli attacchi di SIM swap — in cui qualcuno convince un operatore mobile a spostare il tuo numero sul proprio dispositivo — sono una tecnica standard proprio contro gli account crypto, perché il guadagno giustifica lo sforzo.

Un'app di autenticazione genera i codici sul dispositivo stesso. Non c'è nulla da intercettare né alcun operatore da manipolare. Una chiave di sicurezza hardware è ancora più solida dove supportata.

1. Installa un'app di autenticazione su un dispositivo che controlli e che conservi.
2. Attiva la doppia autenticazione basata su app nelle impostazioni di sicurezza di Binance.
3. Conserva i codici di recupero offline — su carta va bene, nello stesso gestore di password della password no.
4. Se la doppia autenticazione via SMS è già attiva, disattivala una volta che il metodo con app funziona.
5. Provala una volta uscendo e rientrando, prima di depositare qualsiasi cosa.

Perdere l'accesso all'autenticatore senza codici di recupero comporta una procedura di recupero tramite verifica dell'identità che richiede giorni. Annota i codici nel momento in cui li attivi, non dopo.

2. Codice anti-phishing

È l'impostazione con il miglior rapporto valore/sforzo, e la maggior parte delle persone non ne ha mai sentito parlare.

Scegli una breve frase e Binance la include in ogni email autentica che ti invia. Le email di phishing — che copiano il design di Binance con precisione e altrimenti sono spesso indistinguibili — non possono contenerla, perché chi le manda non la conosce.

Da quel momento, un'email senza la tua frase è falsa, per quanto convincente sembri. È un controllo che puoi fare in un secondo, ogni volta, senza doverci ragionare.

3. Lista bianca degli indirizzi di prelievo

È l'impostazione che determina quanto può essere grave lo scenario peggiore.

Con la lista bianca attiva, i fondi possono essere prelevati solo verso indirizzi approvati in anticipo, e aggiungere un nuovo indirizzo attiva un periodo di attesa prima che sia utilizzabile. Un attaccante che ha la tua password, la tua sessione e persino i tuoi codici a due fattori non può comunque spostare subito i fondi sul proprio indirizzo — e quel ritardo è esattamente la finestra in cui te ne accorgi e agisci.

Senza di essa, un account compromesso viene svuotato in una sola transazione verso un indirizzo che non hai mai visto, e la transazione è irreversibile.

• Attiva la lista bianca prima del tuo primo prelievo, non dopo.
• Aggiungi solo indirizzi che controlli e che prevedi di riutilizzare.
• Aspettati un ritardo di sicurezza quando ne aggiungi uno nuovo — quel ritardo è la funzionalità.
• Rivedi periodicamente la lista e rimuovi gli indirizzi che non usi più.
• Combinala con la doppia autenticazione: insieme coprono quasi ogni attacco realistico.

4. Igiene di sessioni e dispositivi

Le impostazioni di sicurezza di Binance elencano ogni dispositivo e ogni sessione attiva sull'account. Leggi quell'elenco una volta e poi ogni tanto.

Tutto ciò che non riconosci va terminato subito, seguito da un cambio di password e da un ripristino della doppia autenticazione. Le sessioni durano molto più di quanto si pensi, e una vecchia sessione su un dispositivo venduto o perso è una credenziale viva.

La stessa sezione contiene la gestione delle chiavi API. Se non hai mai creato una chiave API, non dovrebbe essercene nessuna — una chiave che non hai creato è il ritrovamento più grave possibile, perché le chiavi possono operare senza attivare un avviso di accesso.

Se crei chiavi API per un bot o un tracker di portafoglio, limitale ai permessi realmente necessari, legale a un indirizzo IP e non attivare mai il permesso di prelievo.

Come vengono davvero presi gli account

Capire le vie più comuni rende meno astratte le impostazioni qui sopra.

Il phishing è la via dominante. Un'email o un annuncio convincente porta a una pagina di accesso che non è Binance, inserisci credenziali e codice a due fattori, e l'attaccante li inoltra entrambi al sito vero entro la finestra di validità del codice. Il codice anti-phishing batte la versione via email; mettere il sito vero tra i preferiti e non navigare mai da un link batte il resto.

Il falso supporto è la seconda. Nessuno di Binance ti contatterà per primo su Telegram, Discord o WhatsApp. Le conversazioni di assistenza iniziano dall'app, avviate da te.

Approvazioni malevole e malware degli appunti contano più per i wallet auto-custoditi che per gli account su exchange, ma l'abitudine che protegge da essi — verificare i primi e gli ultimi caratteri di ogni indirizzo incollato — vale ovunque.

Il SIM swap punta proprio alla doppia autenticazione via SMS, ed è il motivo per cui la prima sezione dice ciò che dice.

Da cosa nessuna impostazione ti protegge

Essere chiari sui limiti conta quanto la lista di controllo.

Nessuna di queste impostazioni ti protegge dalle tue decisioni di trading, dalla liquidazione di una posizione a leva o da un asset che perde valore. Non sono eventi di sicurezza, e nessuna configurazione li impedisce.

Né cambiano il fatto di fondo che gli asset su un exchange sono detenuti da quell'exchange. Per somme che intendi tenere a lungo termine, l'auto-custodia in un wallet di cui controlli le chiavi è un profilo di rischio diverso — con modalità di fallimento proprie, principalmente la perdita definitiva e irrecuperabile di una frase di recupero.

La lista di controllo in dieci minuti

In ordine, prima del primo deposito.

1. Attivare la doppia autenticazione basata su app e conservare i codici di recupero offline.
2. Impostare un codice anti-phishing.
3. Attivare la lista bianca degli indirizzi di prelievo.
4. Rivedere sessioni, dispositivi e chiavi API; terminare tutto ciò che non è familiare.
5. Mettere tra i preferiti il dominio vero di Binance e usare da ora solo quel preferito.
6. Fare un piccolo deposito e un piccolo prelievo di prova per confermare che l'intero percorso funzioni mentre la posta in gioco è bassa.