Две вещи определяют безопасность на криптобирже: как площадка распоряжается деньгами клиентов и насколько хорошо вы оберегаете свой аккаунт. В первом случае всё сводится к выбору биржи, во втором — это ваша забота. В уроке — настройки, которые не помешает включить уже сегодня, разбор фишинга и правила обращения с API-ключами.
- Чаще всего крадут не у биржи, а у пользователя: через фишинг, слабый пароль или перехват SMS.
- Включите 2FA через приложение или аппаратный ключ, антифишинговый код и белый список адресов вывода.
- API-ключам для сторонних сервисов никогда не давайте право на вывод средств.
- Не держите на бирже больше, чем нужно для торговли: остальное надёжнее хранить в собственном кошельке.
Откуда берутся угрозы
Новичку кажется, что главный враг — хакеры, которые взламывают биржу целиком. Такое действительно бывает, однако куда чаще деньги теряют из-за взлома отдельного аккаунта: пароль утёк с другого сайта, данные введены на фальшивой странице или мошенник уговорил продиктовать код из SMS.
Есть и риски, которые исходят от самой биржи. Площадка может заморозить вывод, неправильно распорядиться деньгами клиентов или вовсе обанкротиться. История FTX в 2022 году наглядно показала, что даже солидное имя не страхует от краха.
Отсюда и подход в два слоя: оградить аккаунт от посторонних и не держать на одной площадке больше, чем можно себе позволить потерять. На что смотреть при выборе площадки, подробно рассказано в уроке о том, как выбрать биржу для торговли.
Мошенник по поддельным документам или с помощью сотрудника оператора перевыпускает вашу SIM-карту на себя и получает все SMS с кодами. Поэтому SMS — самый слабый второй фактор.
Базовая защита аккаунта: настройка за 15 минут
Сразу после регистрации и верификации, не дожидаясь первого депозита, займитесь настройками. Обычно они спрятаны в профиле, в разделе «Безопасность» или Security.
Двухфакторная аутентификация через приложение надёжнее SMS, а аппаратный ключ или passkey — ещё надёжнее. Их не перехватишь дистанционно и не обманешь на поддельном сайте, так что если биржа их поддерживает, для основного аккаунта это лучший выбор.
Не забывайте про почту и телефон. Через почту восстанавливают пароль, а через номер — доступ к почте, так что слабое звено в этой цепочке ставит под угрозу всё остальное. Не заводите для биржи почту, заваленную рассылками, и поставьте у оператора запрет на перевыпуск SIM-карты без личного визита, если есть такая опция.
- Задайте уникальный длинный пароль, который нигде больше не используется, и храните его в менеджере паролей.
- Включите 2FA через приложение-аутентификатор или аппаратный ключ, а SMS оставьте только как запасной вариант или отключите.
- Сохраните резервный ключ 2FA на бумаге и уберите его туда, где храните документы.
- Установите антифишинговый код: он будет приходить во всех настоящих письмах биржи.
- Включите белый список адресов вывода, чтобы деньги можно было отправить только на заранее добавленные адреса.
- Привяжите к бирже отдельную почту, которая не светится в соцсетях, и защитите её тоже через 2FA.
- Проверьте список активных устройств и сессий и завершите незнакомые.
Даже если злоумышленник проникнет в аккаунт, для добавления нового адреса обычно нужно подтверждение, а вывод на него включается с задержкой. За это время вы успеете заметить уведомление и заблокировать аккаунт.
Фишинг и социальная инженерия
Фишинговый сайт копирует биржу до мелочей: тот же логотип, та же форма входа, а в адресе отличается одна буква. Такие сайты нередко стоят первыми в поисковой рекламе, поэтому заходите на биржу только через сохранённую закладку или официальное приложение из магазина.
Второй популярный сценарий — «поддержка», которая пишет первой в Telegram или в личные сообщения: сообщает о подозрительном входе, просит срочно подтвердить личность и продиктовать код. Не ведитесь: настоящая поддержка не просит коды 2FA, пароли и секретные фразы и не предлагает перевести средства на «безопасный счёт».
С файлами тоже нужна осторожность. Расширения браузера, «торговые боты» и «сигнальные программы» из сомнительных источников могут красть пароли и подменять адреса в буфере обмена. После вставки адреса всегда сверяйте его первые и последние символы.
Срочность — главный инструмент мошенника. Вас торопят и просят пароль, код или перевод? Остановитесь и спросите себя: зачем это от меня настоящей бирже?
API-ключи: удобно, но только с ограничениями
API-ключ даёт внешней программе доступ к вашему аккаунту: она может показывать баланс, выставлять ордера, вести статистику. Через ключи к биржам подключают торговые терминалы, ботов и сервисы учёта. Это удобно, но каждый ключ — ещё одна дверь в ваш аккаунт.
Главное правило — давать ключу минимум прав. Сервису для просмотра портфеля хватит чтения, терминалу для сделок нужна торговля, но вывод — никогда. По возможности привяжите ключ к IP-адресам сервиса и ограничьте срок действия.
Секретную часть ключа биржа показывает только один раз. Не пересылайте её в мессенджерах, не храните в заметках телефона и сразу удаляйте ключи, которыми больше не пользуетесь.
| Право ключа | Что позволяет | Когда включать |
|---|---|---|
| Чтение | Смотреть балансы, ордера и историю | Сервисы учёта и аналитики портфеля |
| Спотовая торговля | Покупать и продавать на споте | Торговые терминалы и проверенные боты |
| Фьючерсы | Открывать позиции с плечом | Только если вы сами торгуете фьючерсами |
| Вывод средств | Отправлять монеты с биржи | Практически никогда для сторонних сервисов |
Не держите всё на бирже
Пока монеты лежат на бирже, вы владеете не ими, а лишь обещанием биржи их вернуть. Для текущей торговли это нормально, но долгосрочные накопления лучше держать в собственном кошельке, где ключи только у вас. Для крупных сумм имеет смысл завести аппаратный кошелёк — подробнее в уроке про кошельки Ledger, Trezor и MetaMask.
Некоторые биржи публикуют доказательство резервов (proof of reserves) — отчёт о том, что активы клиентов на площадке есть. Полезный сигнал, но не гарантия: отчёт отражает картину на конкретную дату и не всегда учитывает обязательства биржи.
Разумная схема для большинства: на бирже — столько, сколько нужно для текущей торговли, остальное — в личном кошельке, а при большом объёме торгов средства стоит разнести по двум-трём площадкам.
Если пользуетесь несколькими биржами, ведите простую таблицу: что и где лежит, какая почта привязана, какие ключи и для каких сервисов выпущены. В экстренной ситуации это поможет не растеряться и не забыть про старый аккаунт с остатком, о котором вы давно не вспоминали.
Если аккаунт взломали
Здесь важнее всего скорость: чем быстрее вы заблокируете аккаунт, тем меньше шансов, что злоумышленник успеет вывести деньги.
Когда ситуация разрешится, найдите, где была брешь: повторный пароль, вход с чужого компьютера, установленная программа, переписка с «поддержкой». Без такого разбора следующая атака может пройти тем же путём, даже если вы смените все пароли.
- Заблокируйте аккаунт через функцию экстренной блокировки в приложении или на сайте биржи.
- Напишите в поддержку только через официальный сайт или приложение и приложите время и описание подозрительных операций.
- Смените пароль от почты, привязанной к бирже, и проверьте, не появилось ли в ней правил пересылки.
- Удалите все API-ключи и завершите все сессии.
- Проверьте компьютер и телефон антивирусом, прежде чем снова входить в аккаунт.
- Если средства украдены, сохраните хеши транзакций и обратитесь в полицию: биржи иногда замораживают похищенное по запросу.
Пользователь получил письмо о входе с нового устройства без своего антифишингового кода, понял, что это подделка, и не перешёл по ссылке. Одна настройка, включённая заранее, сработала лучше любой реакции после взлома.
Пройдите по списку из раздела «Базовая защита аккаунта» в своём аккаунте на бирже, а если его ещё нет — в почте, которую собираетесь к нему привязать. Отметьте, что уже сделано, а что нет: 2FA через приложение вместо SMS, резервные коды на бумаге, незнакомые сессии, правила пересылки в почте. В итоге у вас должен остаться короткий список дыр, которые можно закрыть сегодня же.
Вход бесплатный, торговля на демо-счёте — свои деньги не нужны. В бесплатных турнирах выигрывают Tour Pass, а с ними заходят в турниры с призами в USDT. Лучшие идут дальше — к funded-счёту на $5 000.
Частые вопросы
Что надёжнее: SMS, Google Authenticator или аппаратный ключ?
Самый уязвимый вариант — SMS: их можно перехватить, подменив SIM-карту. Приложение-аутентификатор заметно надёжнее, а лучшую защиту от фишинга дают аппаратный ключ или passkey: на фальшивом сайте они просто не сработают.
Безопасно ли хранить криптовалюту на бирже?
Для текущей торговли это допустимо, если аккаунт защищён. Но долгосрочные накопления надёжнее держать в собственном кошельке: биржу могут взломать, а вывод — заморозить.
Что такое антифишинговый код на бирже?
Это слово или фраза, которую вы задаёте в настройках, и биржа вставляет её во все свои письма. Если в письме «от биржи» вашего кода нет, это подделка.
Можно ли вернуть деньги после взлома аккаунта?
Гарантий нет. Шансы выше, если вы быстро заблокировали аккаунт и сообщили бирже и полиции: иногда биржи замораживают похищенное на других площадках, но вернуть его удаётся далеко не всегда.
Обсуждение
Комментарии из BuyCrypt Live. Войдите через Google или Apple — аккаунт BuyCrypt создадим сразу, тот же, что в приложении.
