Безпеку на криптобіржі визначають дві речі: як майданчик розпоряджається грошима клієнтів і наскільки добре ви бережете свій акаунт. Перше зводиться до вибору біржі, друге — ваша турбота. В уроці — налаштування, які варто ввімкнути вже сьогодні, розбір фішингу та правила поводження з API-ключами.
- Найчастіше крадуть не в біржі, а в користувача: через фішинг, слабкий пароль або перехоплення SMS.
- Увімкніть 2FA через застосунок або апаратний ключ, антифішинговий код і білий список адрес виведення.
- API-ключам для сторонніх сервісів ніколи не давайте права на виведення коштів.
- Не тримайте на біржі більше, ніж потрібно для торгівлі: решту надійніше зберігати у власному гаманці.
Звідки беруться загрози
Новачкові здається, що головний ворог — хакери, які зламують біржу цілком. Таке справді трапляється, проте значно частіше гроші втрачають через злам окремого акаунта: пароль витік з іншого сайту, дані ввели на підробленій сторінці або шахрай умовив продиктувати код із SMS.
Але є й ризики, що йдуть від самої біржі. Майданчик може заморозити виведення, неправильно розпорядитися грошима клієнтів або взагалі збанкрутувати. Історія FTX у 2022 році наочно показала: навіть гучне ім’я не вберігає від краху.
Звідси й підхід у два шари: захистити акаунт від сторонніх і не тримати на одному майданчику більше, ніж ви можете собі дозволити втратити. На що дивитися під час вибору, докладно розказано в уроці про те, як обрати біржу для торгівлі.
Шахрай за підробленими документами або за допомогою працівника оператора перевипускає вашу SIM-картку на себе й отримує всі SMS із кодами. Тому SMS — найслабший другий фактор.
Базовий захист акаунта: налаштування за 15 хвилин
Одразу після реєстрації та верифікації, не чекаючи першого депозиту, займіться налаштуваннями. Зазвичай вони заховані в профілі, у розділі «Безпека» або Security.
Двофакторна автентифікація через застосунок надійніша за SMS, а апаратний ключ чи passkey — ще надійніші. Їх не перехопиш дистанційно й не обдуриш на підробленому сайті, тож якщо біржа їх підтримує, для основного акаунта це найкращий вибір.
Не забувайте про пошту й телефон. Через пошту відновлюють пароль, а через номер — доступ до пошти, тож слабка ланка в цьому ланцюжку ставить під загрозу все інше. Не прив’язуйте до біржі скриньку, засмічену розсилками, і, якщо є така можливість, установіть в оператора заборону на перевипуск SIM-картки без вашого особистого візиту.
- Задайте унікальний довгий пароль, який ніде більше не використовується, і зберігайте його в менеджері паролів.
- Увімкніть 2FA через застосунок-автентифікатор або апаратний ключ, а SMS залиште лише як запасний варіант або вимкніть.
- Збережіть резервний ключ 2FA на папері й покладіть його туди, де зберігаєте документи.
- Встановіть антифішинговий код: він буде в усіх справжніх листах біржі.
- Увімкніть білий список адрес виведення, щоб гроші можна було надіслати лише на заздалегідь додані адреси.
- Прив'яжіть до біржі окрему пошту, яка не світиться в соцмережах, і захистіть її теж через 2FA.
- Перевірте список активних пристроїв і сесій та завершіть незнайомі.
Навіть якщо зловмисник проникне в акаунт, для додавання нової адреси зазвичай потрібне підтвердження, а виведення на неї вмикається із затримкою. За цей час ви встигнете помітити сповіщення й заблокувати акаунт.
Фішинг і соціальна інженерія
Фішинговий сайт копіює біржу до дрібниць: той самий логотип, та сама форма входу, а в адресі відрізняється одна літера. Такі сайти нерідко стоять першими в пошуковій рекламі, тому заходьте на біржу лише через збережену закладку або офіційний застосунок із магазину.
Другий поширений сценарій — «підтримка», яка пише першою в Telegram чи в особисті повідомлення: повідомляє про підозрілий вхід, просить терміново підтвердити особу й продиктувати код. Не ведіться: справжня підтримка не просить кодів 2FA, паролів і секретних фраз і не пропонує переказати кошти на «безпечний рахунок».
З файлами теж будьте обережні. Розширення браузера, «торгові боти» та «сигнальні програми» із сумнівних джерел можуть красти паролі й підміняти адреси в буфері обміну. Тож після вставлення адреси завжди звіряйте її перші й останні символи.
Терміновість — головний інструмент шахрая. Вас квапить і просять пароль, код чи переказ? Зупиніться й запитайте себе: навіщо це справжній біржі?
API-ключі: зручно, але лише з обмеженнями
API-ключ дає зовнішній програмі доступ до вашого акаунта: вона може показувати баланс, виставляти ордери, вести статистику. Через такі ключі до бірж під’єднують торгові термінали, ботів і сервіси обліку. Це зручно, але кожен ключ — ще одні двері до вашого акаунта.
Головне правило — давати ключу мінімум прав. Сервісу для перегляду портфеля вистачить читання, терміналу для угод потрібна торгівля, але виведення — ніколи. За можливості прив’яжіть ключ до IP-адрес сервісу й обмежте термін його дії.
Секретну частину ключа біржа показує лише один раз. Не пересилайте її в месенджерах, не зберігайте в нотатках телефона, а ключі, якими більше не користуєтеся, одразу видаляйте.
| Право ключа | Що дозволяє | Коли вмикати |
|---|---|---|
| Читання | Дивитися баланси, ордери та історію | Сервіси обліку й аналітики портфеля |
| Спотова торгівля | Купувати й продавати на споті | Торгові термінали й перевірені боти |
| Ф'ючерси | Відкривати позиції з плечем | Лише якщо ви самі торгуєте ф'ючерсами |
| Виведення коштів | Надсилати монети з біржі | Практично ніколи для сторонніх сервісів |
Не тримайте все на біржі
Поки монети лежать на біржі, ви володієте не ними, а лише обіцянкою біржі їх повернути. Для поточної торгівлі це нормально, але довгострокові заощадження краще тримати у власному гаманці, де ключі тільки у вас. Для великих сум має сенс завести апаратний гаманець — докладніше в уроці про гаманці Ledger, Trezor і MetaMask.
Деякі біржі публікують доказ резервів (proof of reserves) — звіт про те, що активи клієнтів справді є на майданчику. Це корисний сигнал, але не гарантія: звіт показує картину на конкретну дату й не завжди враховує зобов’язання біржі.
Розумна схема для більшості: на біржі — стільки, скільки потрібно для поточної торгівлі, решта — в особистому гаманці. А якщо обсяг торгів великий, кошти варто розподілити між двома-трьома майданчиками.
Якщо користуєтеся кількома біржами, ведіть просту таблицю: що й де лежить, яку пошту прив’язано, які ключі й для яких сервісів випущено. У разі надзвичайної ситуації це допоможе не розгубитися й не забути про старий акаунт із залишком, про який ви давно не згадували.
Якщо акаунт зламали
Тут найважливіша швидкість: що швидше ви заблокуєте акаунт, то менше шансів, що зловмисник устигне вивести гроші.
Коли все владнається, знайдіть, де була вразливість: повторно використаний пароль, вхід із чужого комп’ютера, встановлена програма, листування з «підтримкою». Без такого розбору наступна атака може пройти тим самим шляхом, навіть якщо ви зміните всі паролі.
- Заблокуйте акаунт через функцію екстреного блокування в застосунку або на сайті біржі.
- Напишіть у підтримку лише через офіційний сайт або застосунок і додайте час та опис підозрілих операцій.
- Змініть пароль від пошти, прив'язаної до біржі, і перевірте, чи не з'явилося в ній правил пересилання.
- Видаліть усі API-ключі та завершіть усі сесії.
- Перевірте комп'ютер і телефон антивірусом, перш ніж знову входити в акаунт.
- Якщо кошти вкрадено, збережіть хеші транзакцій і зверніться до поліції: біржі іноді заморожують викрадене на запит.
Користувач отримав лист про вхід із нового пристрою без свого антифішингового коду, зрозумів, що це підробка, і не перейшов за посиланням. Одне налаштування, увімкнене заздалегідь, спрацювало краще за будь-які дії після зламу.
Пройдіться за списком із розділу «Базовий захист акаунта» у своєму акаунті на біржі, а якщо його ще немає — у пошті, яку збираєтеся до нього прив'язати. Позначте, що вже зроблено, а що ні: 2FA через застосунок замість SMS, резервні коди на папері, незнайомі сесії, правила пересилання в пошті. У підсумку у вас має залишитися короткий список дір, які можна закрити сьогодні ж.
Вхід безкоштовний, торгівля на демо-рахунку — власні гроші не потрібні. У безкоштовних турнірах виграють Tour Pass, а з ними заходять у турніри з призами в USDT. Найкращі йдуть далі — до funded-рахунку на $5 000.
Часті запитання
Що надійніше: SMS, Google Authenticator чи апаратний ключ?
Найвразливіший варіант — SMS: їх можна перехопити, підмінивши SIM-картку. Застосунок-автентифікатор помітно надійніший, а найкращий захист від фішингу дають апаратний ключ або passkey: на фальшивому сайті вони просто не спрацюють.
Чи безпечно зберігати криптовалюту на біржі?
Для поточної торгівлі це допустимо, якщо акаунт захищений. Але довгострокові заощадження надійніше тримати у власному гаманці: біржу можуть зламати, а виведення — заморозити.
Що таке антифішинговий код на біржі?
Це слово або фраза, яку ви задаєте в налаштуваннях, а біржа вставляє її в усі свої листи. Якщо в листі «від біржі» вашого коду немає, це підробка.
Чи можна повернути гроші після зламу акаунта?
Гарантій немає. Шанси вищі, якщо ви швидко заблокували акаунт і повідомили біржу та поліцію: іноді біржі заморожують викрадене на інших майданчиках, але повернути його вдається далеко не завжди.
Обговорення
Обговорення цієї статті — у BuyCrypt Live у застосунку. Увійдіть через Google або Apple, і акаунт BuyCrypt створиться автоматично.
