Securitatea contului Binance: 2FA, anti-phishing și liste albe

1. Autentificarea în doi pași

Activeaz-o cu o aplicație de autentificare, nu prin SMS.

Codurile SMS ajung la un număr de telefon, iar numerele de telefon sunt transferabile. Atacurile prin schimbarea SIM — în care cineva convinge un operator mobil să îți mute numărul pe dispozitivul lui — sunt o tehnică standard exact împotriva conturilor crypto, pentru că răsplata justifică efortul.

O aplicație de autentificare generează codurile chiar pe dispozitiv. Nu e nimic de interceptat și niciun operator de manipulat. O cheie hardware de securitate este și mai puternică acolo unde este acceptată.

1. Instalează o aplicație de autentificare pe un dispozitiv pe care îl controlezi și îl păstrezi.
2. Activează autentificarea în doi pași prin aplicație în setările de securitate Binance.
3. Păstrează codurile de recuperare offline — pe hârtie este în regulă, în același manager de parole ca parola nu.
4. Dacă autentificarea prin SMS este deja activă, dezactiveaz-o odată ce metoda prin aplicație funcționează.
5. Testeaz-o o dată deconectându-te și reconectându-te, înainte să depui ceva.

Pierderea accesului la aplicația de autentificare fără coduri de recuperare înseamnă un proces de recuperare prin verificarea identității care durează zile. Notează codurile în momentul activării, nu mai târziu.

2. Codul anti-phishing

Aceasta este setarea cu cel mai bun raport valoare-efort și majoritatea oamenilor nu au auzit niciodată de ea.

Alegi o frază scurtă, iar Binance o include în fiecare e-mail autentic pe care ți-l trimite. E-mailurile de phishing — care copiază exact designul Binance și altfel sunt adesea imposibil de deosebit — nu o pot conține, pentru că cine le trimite nu o cunoaște.

De atunci, un e-mail fără fraza ta este fals, oricât de convingător ar părea. Este o verificare pe care o faci într-o secundă, de fiecare dată, fără să fie nevoie de judecată.

3. Lista albă de adrese de retragere

Aceasta este setarea care determină cât de rău devine cel mai rău caz.

Cu lista albă activă, fondurile pot fi retrase doar către adrese aprobate în prealabil, iar adăugarea unei adrese noi declanșează o perioadă de așteptare înainte de a putea fi folosită. Un atacator care are parola ta, sesiunea ta și chiar codurile tale în doi pași tot nu poate muta imediat fondurile către propria adresă — iar acea întârziere este exact fereastra în care observi și acționezi.

Fără ea, un cont compromis este golit într-o singură tranzacție către o adresă pe care nu ai văzut-o niciodată, iar tranzacția este ireversibilă.

• Activează lista albă înainte de prima retragere, nu după.
• Adaugă doar adrese pe care le controlezi și pe care intenționezi să le refolosești.
• Așteaptă-te la o întârziere de securitate când adaugi una nouă — acea întârziere este funcționalitatea.
• Revizuiește lista periodic și elimină adresele pe care nu le mai folosești.
• Combin-o cu autentificarea în doi pași: împreună acoperă aproape orice atac realist.

4. Igiena sesiunilor și dispozitivelor

Setările de securitate Binance listează fiecare dispozitiv și fiecare sesiune activă din cont. Citește lista o dată și apoi din când în când.

Orice nu recunoști ar trebui încheiat imediat, urmat de schimbarea parolei și resetarea autentificării în doi pași. Sesiunile persistă mult mai mult decât se așteaptă oamenii, iar o sesiune veche pe un dispozitiv vândut sau pierdut este o acreditare vie.

Aceeași secțiune conține gestionarea cheilor API. Dacă nu ai creat niciodată o cheie API, nu ar trebui să fie listată niciuna — o cheie pe care nu ai creat-o este cea mai gravă descoperire posibilă, pentru că cheile pot tranzacționa fără să declanșeze o alertă de autentificare.

Dacă chiar creezi chei API pentru un bot sau un tracker de portofoliu, limitează-le la permisiunile chiar necesare, leagă-le de o adresă IP și nu activa niciodată permisiunea de retragere.

Cum sunt preluate conturile în realitate

Înțelegerea căilor obișnuite face setările de mai sus mai puțin abstracte.

Phishing-ul este calea dominantă. Un e-mail sau o reclamă convingătoare duce la o pagină de autentificare care nu este Binance, introduci datele și codul în doi pași, iar atacatorul le transmite pe amândouă către site-ul real în fereastra de valabilitate a codului. Codul anti-phishing învinge varianta prin e-mail; salvarea site-ului real la favorite și navigarea niciodată dintr-un link învinge restul.

Suportul fals este a doua. Nimeni de la Binance nu te va contacta primul pe Telegram, Discord sau WhatsApp. Conversațiile cu suportul încep din aplicație, la inițiativa ta.

Aprobările malițioase și programele care spionează clipboardul contează mai mult pentru portofelele proprii decât pentru conturile de bursă, dar obiceiul care apără de ele — verificarea primelor și ultimelor caractere ale oricărei adrese lipite — merită peste tot.

Schimbarea SIM vizează exact autentificarea prin SMS, motiv pentru care prima secțiune spune ce spune.

De ce nu te protejează nicio setare

Claritatea privind limitele contează la fel de mult ca lista de verificare.

Niciuna dintre aceste setări nu te protejează de propriile decizii de tranzacționare, de lichidarea unei poziții cu levier sau de scăderea valorii unui activ. Acestea nu sunt incidente de securitate și nicio configurație nu le previne.

Nici nu schimbă faptul fundamental că activele de pe o bursă sunt deținute de acea bursă. Pentru sumele pe care intenționezi să le ții pe termen lung, auto-custodia într-un portofel ale cărui chei le controlezi este un profil de risc diferit — cu propriile moduri de eșec, în principal pierderea permanentă și irecuperabilă a unei fraze de recuperare.

Lista de verificare de zece minute

În ordine, înainte de prima depunere.

1. Activează autentificarea în doi pași prin aplicație și păstrează codurile de recuperare offline.
2. Setează un cod anti-phishing.
3. Activează lista albă de adrese de retragere.
4. Revizuiește sesiunile active, dispozitivele și cheile API; încheie orice nu îți este familiar.
5. Salvează domeniul real Binance la favorite și folosește de acum doar acel favorit.
6. Fă o depunere și o retragere mică de test pentru a confirma că întregul parcurs funcționează cât timp miza este mică.