Двухфакторная аутентификация для криптоаккаунтов

Аккаунт на бирже — это право требования на активы, а не сами активы: тот, кто может войти и вывести средства, фактически ими и владеет. Двухфакторная аутентификация стоит между утёкшим паролем и таким исходом, но выбранный тип определяет, сколько защиты вы получите на деле.

SMS — самый слабый фактор

Коды в сообщениях завязаны на ваш номер, а номер можно перевести на SIM-карту злоумышленника, обманув оператора связи. Это SIM-своп, и его не раз применяли против людей, известных владением криптовалютой. Поскольку тот же номер часто служит и каналом восстановления доступа, его потеря отдаёт сразу и сброс пароля, и второй фактор. Если биржа позволяет, вовсе уберите телефон из способов восстановления.

Приложения-аутентификаторы

Приложение с одноразовыми кодами по времени генерирует их на устройстве из общего секрета, без участия сети, — оператор из схемы исчезает. Это большой шаг вперёд по сравнению с SMS и доступно почти везде. Слабое место остаётся одно: фишинг. Убедительная поддельная страница входа попросит код и успеет использовать его в короткое окно действия. При подключении сохраните секрет установки или резервные коды офлайн, иначе потеря телефона означает потерю доступа.

Аппаратные ключи — самый сильный вариант

Аппаратный ключ по стандарту FIDO2 или WebAuthn подписывает запрос, привязанный к настоящему домену сайта. Фишинговая страница на похожем домене не сможет получить корректный ответ, поэтому это единственный распространённый второй фактор, устойчивый к фишингу по устройству, а не за счёт бдительности пользователя. Зарегистрируйте два ключа, если биржа позволяет, и храните второй отдельно.

Закройте и вывод

Защита входа — только половина дела. Включите белый список адресов вывода, чтобы средства уходили лишь на заранее одобренные адреса, и не отключайте паузу, которую биржа применяет при добавлении нового адреса. Задайте антифишинговый код, если он есть: тогда настоящие письма будут содержать фразу, известную только бирже.