Как защитить аккаунт на бирже: 2FA, белые списки адресов и защита от фишинга

Как защитить аккаунт на бирже: 2FA, белые списки адресов и защита от фишинга

Защитить аккаунт на бирже - значит закрыть все короткие пути к вашим деньгам. Пароль сам по себе их не закрывает, решают второй фактор, ограничения на вывод и привычки.

Ниже - чек-лист настроек, таблица угроз и порядок действий на случай утечки клиентской базы у магазина или сервиса.

Почему арбитражнику особенно важно защитить аккаунт

Обычный инвестор держит деньги на одной-двух биржах. У арбитражника балансы разложены по многим площадкам, чтобы закрывать сделки одновременно.

Каждая биржа - отдельная дверь. По нашим наблюдениям, атакуют обычно самый слабый аккаунт, а не самый крупный: тот, где осталась SMS-защита или старый API-ключ с правом вывода.

Какую 2FA выбрать на бирже: SMS, приложение или аппаратный ключ

SMS - самый слабый второй фактор. Номер можно перевыпустить на чужую сим-карту, и тогда коды приходят злоумышленнику.

Приложение-аутентификатор надёжнее, потому что коды генерируются на вашем устройстве. Аппаратный ключ ещё лучше: он подтверждает вход только на настоящем сайте биржи, поэтому фишинговая копия код не получит.

На наш взгляд, разумный минимум - аутентификатор на всех биржах и аппаратный ключ там, где лежит основная часть капитала. SMS как второй фактор лучше отключить везде, где это возможно.

Чек-лист защиты аккаунта на криптобирже

• аппаратный ключ или приложение-аутентификатор вместо SMS
• белый список адресов вывода, новые адреса только через подтверждение
• антифишинговый код в письмах биржи
• отдельная почта только для бирж, нигде больше не засвеченная
• API-ключи без права вывода и с привязкой к IP
• уникальный длинный пароль для каждой биржи через менеджер паролей
• регулярная проверка активных сессий и устройств

Как настроить белый список адресов вывода

Белый список - перечень адресов, на которые биржа разрешает вывод. Всё, чего нет в списке, отправить нельзя.

У многих бирж добавление нового адреса требует подтверждения и включает задержку на вывод. Если кто-то получит доступ к аккаунту, у вас будет время заметить письмо и заморозить вывод.

Арбитражнику удобно внести в список адреса депозитов на своих же биржах по нужным сетям. Тогда ежедневные переводы идут без лишних шагов, а чужой адрес так просто не добавить.

Что такое антифишинговый код и зачем он нужен

Антифишинговый код - фраза, которую вы задаёте в настройках. Биржа вставляет её во все свои письма.

Если письмо «от биржи» пришло без вашей фразы, это подделка. Ссылки из такого письма открывать нельзя.

Как настроить API-ключи безопасно

API-ключ - отдельный вход в аккаунт для программ. Мы полагаем, что именно здесь чаще всего остаются забытые дыры.

Право вывода ключу почти никогда не нужно. Ключ стоит привязать к конкретным IP-адресам, а старые ключи от сервисов, которыми вы больше не пользуетесь, удалить.

Угрозы и защита: что от чего спасает

Что делать при утечке клиентской базы магазина или сервиса

Свежий пример - магазин аппаратных кошельков Keystone. Компания сообщила о несанкционированном доступе к веб-магазину: утекли имена, контакты, адреса доставки и сведения о заказах, но не ключи и не фразы восстановления.

Пользователей предупредили о фишинге. Ваши монеты от такой утечки напрямую не страдают, зато мошенники точно знают, что вы держите крипту и какое устройство купили.

• не отвечать на письма, звонки и сообщения о «срочном обновлении» кошелька
• никому и никуда не вводить фразу восстановления, ни один сервис её не спрашивает
• сменить пароль от почты, указанной в заказе, и проверить её 2FA
• проверить, не используется ли эта же почта на биржах

Условный пример: сколько стоит одна слабая дверь

Цифры условные. Арбитражник держит 12 000 USDT на шести биржах, по 2 000 USDT на каждой.

На пяти биржах стоят аутентификатор и белый список, на шестой - только SMS и старый API-ключ с правом вывода. Под реальной угрозой оказываются 2 000 USDT, то есть шестая часть капитала, хотя пять аккаунтов защищены хорошо.

Час на настройку шестой биржи закрывает эту дыру. Защита аккаунтов работает по самому слабому звену.

Наши инструменты

Чем меньше времени уходит на ручной поиск расхождений по биржам, тем больше его остаётся на порядок в аккаунтах, а все площадки удобнее держать в одном окне. Наш скринер арбитража держит десятки бирж в одном окне, обновляет котировки каждую секунду и показывает разницу вместе с доступным объёмом. Прикинуть, что останется после комиссий, сетевых сборов и проскальзывания, помогает калькулятор спредов. Бот полностью ручной. К API ваших бирж он не подключается.

Хотите видеть расхождения на десятках бирж, не открывая каждую по отдельности, у ArbitrageScanner есть 1 день бесплатного доступа ко всей экосистеме инструментов.

FAQ (Часто задаваемые вопросы)

1. Какую двухфакторную аутентификацию лучше выбрать для биржи?

Аппаратный ключ или приложение-аутентификатор. SMS - самый слабый вариант из-за риска перевыпуска сим-карты.

2. Что такое белый список адресов на бирже?

Это перечень адресов, на которые разрешён вывод. На любой другой адрес вывести средства нельзя, а добавление нового обычно требует подтверждения.

3. Что такое антифишинговый код?

Фраза, которую биржа вставляет во все свои письма. Письмо без неё - подделка.

4. Нужно ли давать API-ключу право вывода?

Почти никогда. Ключ лучше создать только с нужными правами и привязать к IP-адресам.

5. Что делать, если взломали магазин, где я купил кошелёк?

Ждать фишинга: не переходить по ссылкам из писем, никому не вводить фразу восстановления, сменить пароль от почты из заказа.

6. Можно ли защитить аккаунт на бирже только паролем?

Нет. Нужны второй фактор, белый список адресов и отдельная почта, иначе пароль остаётся единственным барьером.

Вывод

Защита аккаунта на бирже складывается из нескольких слоёв: аппаратный ключ или аутентификатор вместо SMS, белый список адресов, антифишинговый код, отдельная почта и API-ключи без права вывода.

Арбитражнику с деньгами на многих биржах особенно важно не оставлять слабых аккаунтов. Атакуют самую простую дверь, поэтому настройки стоит проверить на каждой площадке, а при утечке у магазина или сервиса - сразу ждать фишинга.

ВАЖНО! Мы - разработчики программного обеспечения. Мы не даём рекомендации и обещания по заработку, не советуем вам куда-то вкладывать свои деньги. Наш софт полностью ручной, все ваши деньги только под вашим личным управлением. Мы приводим примеры, как на арбитраже в прошлом заработали наши клиенты, но мы не советуем повторять действия один в один. Ваш заработок зависит исключительно от ваших действий и от факторов рынка.