Безпека акаунта Binance: 2FA, антифішинг і білий список

1. Двофакторна автентифікація

Вмикайте її через застосунок-автентифікатор, а не за SMS.

SMS-коди приходять на номер телефона, а номери передаються. Атаки з підміною SIM — коли когось переконують перенести ваш номер на чужий пристрій — це стандартна техніка саме проти криптоакаунтів, бо виграш виправдовує зусилля.

Застосунок-автентифікатор генерує коди на самому пристрої. Перехоплювати нічого і вмовляти оператора не треба. Апаратний ключ безпеки ще надійніший там, де він підтримується.

1. Встановіть автентифікатор на пристрій, який контролюєте і збережете.
2. Увімкніть двофакторну автентифікацію через застосунок у налаштуваннях безпеки Binance.
3. Збережіть коди відновлення офлайн — на папері годиться, у тому самому менеджері паролів, що й пароль, ні.
4. Якщо SMS-підтвердження вже ввімкнено, вимкніть його після перевірки роботи застосунку.
5. Перевірте один раз, вийшовши і зайшовши знову, до будь-якого поповнення.

Втрата доступу до автентифікатора без кодів відновлення означає процедуру відновлення через перевірку особи довжиною в кілька днів. Запишіть коди в момент увімкнення, а не потім.

2. Антифішинговий код

Це налаштування з найвищою віддачею на зусилля, і більшість про нього ніколи не чули.

Ви обираєте коротку фразу, і Binance включає її в кожен справжній лист. Фішингові листи — які копіюють оформлення Binance точно і зазвичай нерозрізнювані інакше — не можуть її містити, бо відправник її не знає.

Із цього моменту лист без вашої фрази підроблений, яким би переконливим він не виглядав. Це перевірка довжиною в секунду, щоразу і без потреби щось оцінювати.

3. Білий список адрес виведення

Це налаштування, яке визначає, наскільки поганим буде найгірший випадок.

З увімкненим білим списком кошти йдуть лише на заздалегідь схвалені адреси, а додавання нової адреси запускає період очікування до її використання. Атакувальник, у якого є ваш пароль, сесія і навіть коди двофакторної автентифікації, все одно не зможе миттєво вивести кошти на свою адресу — і ця затримка і є вікном, у якому ви помічаєте і реагуєте.

Без неї скомпрометований акаунт спустошується однією транзакцією на адресу, яку ви ніколи не бачили, і транзакція незворотна.

• Увімкніть білий список до першого виведення, а не після.
• Додавайте лише адреси, які контролюєте і плануєте використовувати знову.
• Очікуйте затримку безпеки при додаванні нової — ця затримка і є суть функції.
• Періодично переглядайте список і видаляйте адреси, якими більше не користуєтеся.
• Поєднуйте з двофакторною автентифікацією: разом вони закривають майже всі реалістичні атаки.

4. Гігієна сесій і пристроїв

У налаштуваннях безпеки Binance перелічені всі пристрої й активні сесії. Прочитайте цей список один раз, а потім заглядайте іноді.

Усе, чого ви не впізнаєте, треба негайно завершити, потім змінити пароль і скинути двофакторну автентифікацію. Сесії живуть значно довше, ніж очікують, і стара сесія на проданому чи втраченому пристрої — це чинні облікові дані.

У тому самому розділі керуються API-ключі. Якщо ви ніколи їх не створювали, список має бути порожній: ключ, якого ви не створювали, — найсерйозніша знахідка з можливих, бо ключі можуть торгувати, не викликаючи сповіщення про вхід.

Якщо ви все ж створюєте API-ключі для бота чи трекера портфеля, видавайте лише справді потрібні права, прив’язуйте до IP-адреси і ніколи не вмикайте право на виведення.

Як акаунти забирають насправді

Розуміння типових шляхів робить налаштування вище менш абстрактними.

Фішинг — основний шлях. Переконливий лист чи оголошення веде на сторінку входу, яка не є Binance, ви вводите дані й код двофакторної автентифікації, а атакувальник передає їх на справжній сайт, доки код чинний. Антифішинговий код закриває поштовий варіант; закладка на справжній сайт і відмова переходити за посиланнями закривають решту.

Підроблена підтримка на другому місці. Ніхто з Binance не напише вам першим у Telegram, Discord чи WhatsApp. Розмови з підтримкою починаються зсередини застосунку і з вашої ініціативи.

Шкідливі дозволи й підміна буфера обміну стосуються більше самостійних гаманців, ніж біржових акаунтів, але звичка, яка від них захищає — звіряти перші й останні символи будь-якої вставленої адреси, — корисна всюди.

Підміна SIM націлена саме на SMS-підтвердження, і з цієї причини перший розділ написаний саме так.

Від чого жодні налаштування не захистять

Окреслити межі так само важливо, як і скласти чек-лист.

Жодне з цих налаштувань не захищає від ваших власних торгових рішень, від ліквідації позиції з плечем чи від падіння ціни активу. Це не інциденти безпеки, і жодна конфігурація їх не запобігає.

Вони також не скасовують того факту, що активи на будь-якій біржі зберігає ця біржа. Для сум, які ви збираєтеся тримати довго, самостійне зберігання в гаманці з вашими ключами — інший профіль ризику, зі своїми способами все втратити, насамперед безповоротною втратою сід-фрази.

Чек-лист на десять хвилин

По порядку, до першого депозиту.

1. Увімкніть двофакторну автентифікацію через застосунок і збережіть коди відновлення офлайн.
2. Задайте антифішинговий код.
3. Увімкніть білий список адрес виведення.
4. Перегляньте активні сесії, пристрої та API-ключі; завершіть усе незнайоме.
5. Додайте справжній домен Binance у закладки і користуйтеся лише цією закладкою.
6. Зробіть невеликий тестовий депозит і виведення, щоб перевірити весь шлях, доки ставки низькі.