Захват аккаунта

Захват аккаунта — это исход, при котором на бирже или в кошельковом сервисе как вы аутентифицирован кто-то другой, и перед ним ваши балансы, ваши права на вывод и ваша история. Его стоит называть отдельно от техник, которые к нему приводят, потому что значение имеют те защиты, которые держатся вне зависимости от выбранного маршрута. На пять маршрутов приходится большинство реальных случаев. Пароль, переиспользованный с взломанного сайта и подставленный массово. Сессионная кука, снятая с заражённой машины: она проходит мимо верного пароля и верного одноразового кода, потому что сессия уже аутентифицирована. Номер телефона, уведённый подменой SIM-карты, что обходит SMS-коды, а часто и сброс пароля. Почтовый ящик, скомпрометированный первым, ведь именно почта — путь восстановления ко всему остальному. И сама служба поддержки, которую уговорили на восстановление, располагая достаточным объёмом личных данных, чтобы звучать как владелец счёта. Отвечайте слоями: passkey или аппаратный ключ безопасности вместо SMS, отдельный почтовый адрес, не используемый больше нигде, белый список адресов вывода, чтобы украденная сессия не могла придумать новое направление, временная задержка на добавление адреса и API-ключи с правами только на торговлю и отключённым выводом. Повторяющийся урок реальных инцидентов в том, что второй фактор остановил вход, а контроли вывода остановили потерю.