امنیت حساب صرافی: 2FA، لیست سفید آدرس‌ها و محافظت در برابر فیشینگ
with ArbitrageScanner!
امنیت حساب صرافی: 2FA، لیست سفید آدرس‌ها و محافظت در برابر فیشینگ
محافظت از حساب صرافی یعنی بستن همه راه‌های میان‌بر به پول شما. رمز عبور به‌تنهایی این راه‌ها را نمی‌بندد؛ عامل دوم، محدودیت‌های برداشت و عادت‌های شما تعیین‌کننده‌اند.
در ادامه یک چک‌لیست تنظیمات، جدول تهدیدها و ترتیب اقدامات برای زمانی که پایگاه داده مشتریان یک فروشگاه یا سرویس نشت می‌کند آمده است.
چرا امنیت حساب برای آربیتراژگر اهمیت ویژه‌ای دارد
یک سرمایه‌گذار معمولی پولش را در یکی دو صرافی نگه می‌دارد. آربیتراژگر موجودی‌اش را میان صرافی‌های زیادی پخش کرده تا معاملات را همزمان ببندد.
هر صرافی یک در جداگانه است. طبق مشاهدات ما، معمولاً ضعیف‌ترین حساب هدف حمله قرار می‌گیرد، نه بزرگ‌ترین: حسابی که هنوز محافظت SMS دارد یا یک کلید API قدیمی با حق برداشت.
کدام 2FA را برای صرافی انتخاب کنیم: SMS، اپلیکیشن یا کلید سخت‌افزاری
SMS ضعیف‌ترین عامل دوم است. شماره را می‌توان روی سیم‌کارت دیگری صادر کرد و آن‌وقت کدها به دست مهاجم می‌رسند.
اپلیکیشن احراز هویت (Authenticator) مطمئن‌تر است، چون کدها روی دستگاه خود شما تولید می‌شوند. کلید سخت‌افزاری از این هم بهتر است: ورود را فقط روی سایت واقعی صرافی تأیید می‌کند، بنابراین نسخه جعلی فیشینگ به کد دست پیدا نمی‌کند.
به نظر ما، حداقل معقول این است: اپلیکیشن احراز هویت در همه صرافی‌ها و کلید سخت‌افزاری در جایی که بخش اصلی سرمایه نگهداری می‌شود. SMS را به‌عنوان عامل دوم هر جا که ممکن است غیرفعال کنید.
چک‌لیست امنیت حساب در صرافی کریپتو
- کلید سخت‌افزاری یا اپلیکیشن احراز هویت به جای SMS
- لیست سفید آدرس‌های برداشت، افزودن آدرس جدید فقط با تأیید
- کد ضدفیشینگ در ایمیل‌های صرافی
- ایمیل جداگانه فقط برای صرافی‌ها که هیچ‌جای دیگر استفاده نشده باشد
- کلیدهای API بدون حق برداشت و محدود به IP
- رمز عبور طولانی و یکتا برای هر صرافی با کمک مدیر رمز عبور
- بررسی منظم نشست‌ها و دستگاه‌های فعال
چگونه لیست سفید آدرس‌های برداشت را تنظیم کنیم
لیست سفید فهرست آدرس‌هایی است که صرافی برداشت به آن‌ها را مجاز می‌داند. به هر آدرسی که در این فهرست نباشد نمی‌توان چیزی فرستاد.
در بسیاری از صرافی‌ها افزودن آدرس جدید نیاز به تأیید دارد و برداشت را برای مدتی به تأخیر می‌اندازد. اگر کسی به حساب دسترسی پیدا کند، فرصت دارید ایمیل را ببینید و برداشت را مسدود کنید.
برای آربیتراژگر راحت است که آدرس‌های واریز صرافی‌های خودش را در شبکه‌های مورد نیاز به این فهرست اضافه کند. آن‌وقت انتقال‌های روزانه بدون مراحل اضافه انجام می‌شوند و افزودن آدرس غریبه هم به این سادگی ممکن نیست.
کد ضدفیشینگ چیست و چه کاربردی دارد
کد ضدفیشینگ عبارتی است که خودتان در تنظیمات تعیین می‌کنید. صرافی آن را در همه ایمیل‌هایش درج می‌کند.
اگر ایمیلی «از طرف صرافی» بدون عبارت شما رسید، جعلی است. لینک‌های چنین ایمیلی را نباید باز کرد.
چگونه کلیدهای API را امن تنظیم کنیم
کلید API ورودی جداگانه به حساب برای نرم‌افزارها است. ما معتقدیم حفره‌های فراموش‌شده بیش از هر جای دیگر همین‌جا باقی می‌مانند.
کلید تقریباً هیچ‌وقت به حق برداشت نیاز ندارد. بهتر است کلید را به آدرس‌های IP مشخص محدود کنید و کلیدهای قدیمی سرویس‌هایی را که دیگر استفاده نمی‌کنید حذف کنید.
تهدیدها و راه‌های محافظت: چه چیزی از چه چیزی محافظت می‌کند
تهدید | چه شکلی دارد | محافظت |
صدور مجدد سیم‌کارت | کدهای SMS به دست فرد دیگری می‌رسد | اپلیکیشن احراز هویت یا کلید سخت‌افزاری |
سایت فیشینگ | نسخه جعلی صرافی نام کاربری و کد می‌خواهد | کلید سخت‌افزاری، بوکمارک به جای لینک |
ایمیل جعلی | درخواست تأیید فوری برداشت | کد ضدفیشینگ |
هک ایمیل | بازنشانی رمز عبور از طریق ایمیل | ایمیل جداگانه با 2FA خودش |
نشت کلید API | نرم‌افزار غریبه معامله یا برداشت می‌کند | کلید بدون حق برداشت، محدود به IP |
تصاحب حساب | تلاش برای برداشت به آدرس جدید | لیست سفید و تأخیر برای آدرس‌های جدید |
هنگام نشت پایگاه داده مشتریان یک فروشگاه یا سرویس چه کنیم
نمونه تازه، فروشگاه کیف پول‌های سخت‌افزاری Keystone است. این شرکت از دسترسی غیرمجاز به فروشگاه اینترنتی‌اش خبر داد: نام‌ها، اطلاعات تماس، آدرس‌های تحویل و جزئیات سفارش‌ها نشت کرده، اما کلیدها و عبارت‌های بازیابی نه.
به کاربران درباره فیشینگ هشدار داده شد. چنین نشتی مستقیماً به کوین‌های شما آسیب نمی‌زند، اما کلاهبرداران دقیقاً می‌دانند که شما کریپتو دارید و چه دستگاهی خریده‌اید.
- به ایمیل‌ها، تماس‌ها و پیام‌های مربوط به «به‌روزرسانی فوری» کیف پول پاسخ ندهید
- عبارت بازیابی را هرگز و هیچ‌جا وارد نکنید؛ هیچ سرویسی آن را نمی‌خواهد
- رمز ایمیلی را که در سفارش ثبت شده عوض کنید و 2FA آن را بررسی کنید
- بررسی کنید که همین ایمیل در صرافی‌ها استفاده نشده باشد
مثال فرضی: یک در ضعیف چقدر هزینه دارد
اعداد فرضی‌اند. یک آربیتراژگر 12,000 USDT در شش صرافی نگه می‌دارد، در هر کدام 2,000 USDT.
در پنج صرافی اپلیکیشن احراز هویت و لیست سفید فعال است و در ششمی فقط SMS و یک کلید API قدیمی با حق برداشت. با اینکه پنج حساب به‌خوبی محافظت شده‌اند، 2,000 USDT یعنی یک‌ششم سرمایه در معرض تهدید واقعی است.
یک ساعت وقت برای تنظیم صرافی ششم این حفره را می‌بندد. امنیت حساب‌ها به اندازه ضعیف‌ترین حلقه است.
ابزارهای ما
هر چه زمان کمتری صرف جست‌وجوی دستی اختلاف قیمت میان صرافی‌ها شود، زمان بیشتری برای مرتب کردن حساب‌ها می‌ماند و نگه داشتن همه صرافی‌ها در یک پنجره راحت‌تر است. اسکنر آربیتراژ ما ده‌ها صرافی را در یک پنجره نگه می‌دارد، قیمت‌ها را هر ثانیه به‌روز می‌کند و هر فاصله را همراه حجمی که واقعا پشتش است نشان می‌دهد. ماشین‌حساب اسپرد کمک می‌کند ببینید در حجم شما پس از کارمزد، هزینه شبکه و لغزش چه می‌ماند. ربات کاملا دستی است. هرگز به کلیدهای API صرافی شما وصل نمی‌شود.
برای آزمودن ابزارها روی بازار زنده، ArbitrageScanner یک روز دسترسی رایگان به کل اکوسیستم می‌دهد.
پرسش‌های پرتکرار
1. کدام احراز هویت دو مرحله‌ای برای صرافی بهتر است؟
کلید سخت‌افزاری یا اپلیکیشن احراز هویت. SMS به دلیل خطر صدور مجدد سیم‌کارت ضعیف‌ترین گزینه است.
2. لیست سفید آدرس‌ها در صرافی چیست؟
فهرست آدرس‌هایی است که برداشت به آن‌ها مجاز است. به هیچ آدرس دیگری نمی‌توان وجه برداشت کرد و افزودن آدرس جدید معمولاً نیاز به تأیید دارد.
3. کد ضدفیشینگ چیست؟
عبارتی که صرافی در همه ایمیل‌هایش درج می‌کند. ایمیلی که این عبارت را نداشته باشد جعلی است.
4. آیا باید به کلید API حق برداشت داد؟
تقریباً هرگز. بهتر است کلید را فقط با دسترسی‌های لازم بسازید و به آدرس‌های IP محدود کنید.
5. اگر فروشگاهی که از آن کیف پول خریده‌ام هک شود چه کنم؟
منتظر فیشینگ باشید: روی لینک‌های ایمیل‌ها کلیک نکنید، عبارت بازیابی را برای هیچ‌کس وارد نکنید و رمز ایمیل ثبت‌شده در سفارش را عوض کنید.
6. آیا می‌توان فقط با رمز عبور از حساب صرافی محافظت کرد؟
نه. عامل دوم، لیست سفید آدرس‌ها و ایمیل جداگانه لازم است، وگرنه رمز عبور تنها مانع باقی می‌ماند.
نتیجه
امنیت حساب صرافی از چند لایه تشکیل می‌شود: کلید سخت‌افزاری یا اپلیکیشن احراز هویت به جای SMS، لیست سفید آدرس‌ها، کد ضدفیشینگ، ایمیل جداگانه و کلیدهای API بدون حق برداشت.
برای آربیتراژگری که پولش در صرافی‌های زیادی است، به‌ویژه مهم است که هیچ حساب ضعیفی باقی نگذارد. مهاجمان ساده‌ترین در را هدف می‌گیرند، پس تنظیمات را در هر صرافی بررسی کنید و هنگام نشت اطلاعات یک فروشگاه یا سرویس، بی‌درنگ منتظر فیشینگ باشید.
مهم! ما توسعه‌دهنده نرم‌افزار هستیم. توصیه و وعده سود نمی‌دهیم و به شما پیشنهاد نمی‌کنیم پولتان را جایی سرمایه‌گذاری کنید. نرم‌افزار ما کاملا دستی است و تمام پول شما زیر مدیریت شخصی خودتان می‌ماند. نمونه‌هایی از سود مشتریان ما در گذشته روی آربیتراژ را نشان می‌دهیم، اما توصیه نمی‌کنیم آن اقدامات را مو به مو تکرار کنید. سود شما تنها به اقدامات خودتان و به عوامل بازار بستگی دارد.
Want to learn more about crypto arbitrage?
Get a subscription and access the best tool on the market for arbitrage on Spot, Futures, CEX, and DEX exchanges.
