Bezpieczeństwo konta Binance: 2FA, antyphishing i białe listy

1. Uwierzytelnianie dwuskładnikowe

Włącz je aplikacją uwierzytelniającą, a nie SMS-em.

Kody SMS trafiają na numer telefonu, a numery telefonów są przenoszalne. Ataki SIM swap — gdy ktoś przekonuje operatora, by przeniósł twój numer na jego urządzenie — to standardowa technika wymierzona właśnie w konta krypto, bo zysk uzasadnia wysiłek.

Aplikacja uwierzytelniająca generuje kody na samym urządzeniu. Nie ma czego przechwycić ani operatora do zmanipulowania. Sprzętowy klucz bezpieczeństwa jest jeszcze mocniejszy tam, gdzie jest obsługiwany.

1. Zainstaluj aplikację uwierzytelniającą na urządzeniu, które kontrolujesz i zachowasz.
2. Włącz dwuskładnikowe uwierzytelnianie aplikacją w ustawieniach bezpieczeństwa Binance.
3. Przechowuj kody odzyskiwania offline — na papierze jest w porządku, w tym samym menedżerze haseł co hasło nie.
4. Jeśli dwuskładnikowe SMS-em jest już włączone, wyłącz je, gdy metoda aplikacyjna zadziała.
5. Przetestuj raz, wylogowując się i logując ponownie, zanim cokolwiek wpłacisz.

Utrata dostępu do aplikacji bez kodów odzyskiwania oznacza procedurę odzyskiwania przez weryfikację tożsamości, która trwa dni. Zapisz kody w chwili włączania, a nie później.

2. Kod antyphishingowy

To ustawienie o najlepszym stosunku wartości do wysiłku, a większość ludzi nigdy o nim nie słyszała.

Wybierasz krótką frazę, a Binance umieszcza ją w każdym prawdziwym e-mailu, który ci wysyła. E-maile phishingowe — które precyzyjnie kopiują wygląd Binance i często są inaczej nie do odróżnienia — nie mogą jej zawierać, bo ich nadawca jej nie zna.

Od tej pory e-mail bez twojej frazy jest fałszywy, niezależnie od tego, jak przekonująco wygląda. To kontrola, którą robisz w sekundę, za każdym razem, bez potrzeby oceny.

3. Biała lista adresów wypłat

To ustawienie decyduje, jak zły staje się najgorszy przypadek.

Z włączoną białą listą środki można wypłacić tylko na wcześniej zatwierdzone adresy, a dodanie nowego adresu uruchamia okres oczekiwania, zanim będzie użyteczny. Atakujący, który ma twoje hasło, twoją sesję, a nawet twoje kody dwuskładnikowe, wciąż nie może natychmiast przenieść środków na własny adres — a to opóźnienie jest dokładnie oknem, w którym zauważysz i zareagujesz.

Bez niej skompromitowane konto zostaje opróżnione w jednej transakcji na adres, którego nigdy nie widziałeś, a transakcja jest nieodwracalna.

• Włącz białą listę przed pierwszą wypłatą, a nie po.
• Dodawaj tylko adresy, które kontrolujesz i zamierzasz używać ponownie.
• Spodziewaj się opóźnienia bezpieczeństwa przy dodawaniu nowego — to opóźnienie jest funkcją.
• Przeglądaj listę okresowo i usuwaj adresy, których już nie używasz.
• Połącz to z dwuskładnikowym uwierzytelnianiem: razem pokrywają niemal każdy realistyczny atak.

4. Higiena sesji i urządzeń

Ustawienia bezpieczeństwa Binance wymieniają każde urządzenie i każdą aktywną sesję na koncie. Przeczytaj tę listę raz, a potem od czasu do czasu.

Wszystko, czego nie rozpoznajesz, należy natychmiast zakończyć, a potem zmienić hasło i zresetować dwuskładnikowe uwierzytelnianie. Sesje utrzymują się znacznie dłużej, niż ludzie się spodziewają, a stara sesja na sprzedanym lub zgubionym urządzeniu to żywe poświadczenie.

Ta sama sekcja zawiera zarządzanie kluczami API. Jeśli nigdy nie tworzyłeś klucza API, nie powinno być tam żadnego — klucz, którego nie utworzyłeś, to najpoważniejsze możliwe znalezisko, bo klucze mogą handlować bez wywoływania alertu logowania.

Jeśli tworzysz klucze API dla bota lub trackera portfela, ogranicz je do faktycznie potrzebnych uprawnień, przypnij do adresu IP i nigdy nie włączaj uprawnienia do wypłat.

Jak naprawdę przejmuje się konta

Zrozumienie typowych dróg sprawia, że powyższe ustawienia przestają być abstrakcyjne.

Phishing to droga dominująca. Przekonujący e-mail lub reklama prowadzi do strony logowania, która nie jest Binance, wpisujesz dane i kod dwuskładnikowy, a atakujący przekazuje oba na prawdziwą stronę w oknie ważności kodu. Kod antyphishingowy pokonuje wersję e-mailową; dodanie prawdziwej strony do zakładek i nienawigowanie nigdy z linku pokonuje resztę.

Fałszywe wsparcie to druga. Nikt z Binance nie napisze do ciebie pierwszy na Telegramie, Discordzie czy WhatsAppie. Rozmowy ze wsparciem zaczynają się w aplikacji, z twojej inicjatywy.

Złośliwe zatwierdzenia i malware schowka liczą się bardziej przy portfelach własnych niż kontach giełdowych, ale nawyk, który przed nimi chroni — sprawdzanie pierwszych i ostatnich znaków każdego wklejanego adresu — wart jest wszędzie.

SIM swap wymierzony jest właśnie w dwuskładnikowe SMS-em, dlatego pierwsza sekcja mówi to, co mówi.

Przed czym żadne ustawienie nie chroni

Jasność co do granic liczy się tak samo jak lista kontrolna.

Żadne z tych ustawień nie chroni cię przed twoimi własnymi decyzjami handlowymi, przed likwidacją lewarowanej pozycji ani przed spadkiem wartości aktywa. To nie są incydenty bezpieczeństwa i żadna konfiguracja im nie zapobiega.

Nie zmieniają też podstawowego faktu, że aktywa na giełdzie są trzymane przez tę giełdę. Przy kwotach, które zamierzasz trzymać długoterminowo, samodzielne przechowywanie w portfelu, którego klucze kontrolujesz, to inny profil ryzyka — z własnymi trybami awarii, głównie trwałą i nieodwracalną utratą frazy odzyskiwania.

Dziesięciominutowa lista kontrolna

Po kolei, przed pierwszą wpłatą.

1. Włącz dwuskładnikowe uwierzytelnianie aplikacją i zapisz kody odzyskiwania offline.
2. Ustaw kod antyphishingowy.
3. Włącz białą listę adresów wypłat.
4. Przejrzyj aktywne sesje, urządzenia i klucze API; zakończ wszystko nieznane.
5. Dodaj prawdziwą domenę Binance do zakładek i od teraz korzystaj wyłącznie z tej zakładki.
6. Zrób małą testową wpłatę i wypłatę, żeby potwierdzić, że cała ścieżka działa, póki stawka jest niska.