Если биржа поддерживает ключ безопасности или passkey, устойчивые к фишингу, используйте их; в противном случае выберите отдельное приложение-аутентификатор. Храните коды восстановления офлайн, зарегистрируйте запасной фактор и уберите SMS-восстановление, которое может незаметно ослабить аккаунт.
Контрольный список действий#
- Сначала смените пароль и завершите остальные сеансы. При настройке 2FA сделайте это до того, как изменятся доступ к средствам или полномочия подписи, а затем проверьте итоговое состояние.
- Зарегистрируйте два FIDO-ключа либо один ключ и тщательно защищённый запасной способ. Выполните это до изменения контроля над средствами и проверьте результат.
- Скачайте коды восстановления и храните их офлайн отдельно от пароля. Завершите этот этап до изменения полномочий и проверьте, что копия читаема.
- Требуйте 2FA для входа, вывода и изменения настроек безопасности. Заранее зафиксируйте границы, чтобы срочность не расширила незаметно допустимые действия аккаунта.
- Проверьте запасной фактор в приватном окне до того, как полагаться на него. Первый тест должен быть достаточно ограниченным, чтобы ошибку можно было исправить без существенного ущерба.
До начала настройки#
Двухфакторная аутентификация помогает лишь тогда, когда второй фактор нельзя перехватить или сбросить так же легко, как пароль. SMS может быть перенаправлено при SIM-swap, а одноразовый код — украден фишинговой страницей в реальном времени. Аппаратно защищённый FIDO-фактор проверяет настоящий домен до аутентификации.
Разделите то, что проверяется до действия, и то, что можно только отслеживать после. Для второй категории установите жёсткие ограничения.
Более безопасная настройка по умолчанию#
Если доступны passkey или ключи безопасности, предпочитайте их вводимым кодам. Если лучший вариант — TOTP, используйте отдельный аутентификатор, защищайте его резервные копии и никогда не диктуйте код поддержке.
Что всё ещё может пойти не так#
- Считать SMS самым сильным фактором. Это исключает важный входной параметр решения и делает видимый результат ненадёжным.
- Хранить секрет TOTP рядом с паролем. Так раскрывается корневой фактор, и смена пароля может не закрыть доступ атакующему.
- Иметь только один ключ без плана восстановления. Это ослабляет контроль, который должен ограничивать последствия инцидента.
- Подтвердить запрос входа, который вы не инициировали. Это разрушает защиту, предназначенную для ограничения доступа.
Какие доказательства сохранить#
Не оценивайте настройку лишь по сообщению об успехе. Используйте сведения, которые можно проверить после закрытия страницы.
| Контрольная точка | Доказательство | Условие остановки |
|---|---|---|
| Смена пароля и завершение сеансов | Датированная проверка, тест восстановления или запись настроек без секретов | SMS считается сильнейшим доступным фактором |
| Регистрация двух FIDO-ключей или защищённого резерва | Датированная проверка, тест восстановления или запись настроек без секретов | Секрет TOTP хранится рядом с паролем |
| Офлайн-хранение кодов восстановления отдельно от пароля | Датированная проверка, тест восстановления или запись настроек без секретов | Есть только один ключ и нет плана восстановления |
Сохраняйте хеши транзакций, официальные номера обращений или датированные снимки, когда они документируют настройку, но исключайте сид-фразы, приватные ключи и коды аутентификации.
Часто задаваемые вопросы#
Можно ли украсть код приложения-аутентификатора через фишинг?
Да. Поддельная страница может сразу передать действующий код до истечения срока. Привязанная к домену FIDO-аутентификация противостоит такому ретранслятору.
Стоит ли оставлять SMS как резерв?
Только если биржа не предлагает более безопасного восстановления. Резервный канал может стать самым простым маршрутом атакующего.
Что делать при потере телефона?
Восстановитесь из защищённой копии аутентификатора или офлайн-кода, затем после входа замените старый фактор.
Связанные руководства#
Источники#
Предупреждение о рисках: криптовалютные операции могут быть необратимыми. Никому не сообщайте сид-фразу, приватный ключ, пароль или код аутентификации и независимо проверяйте каждый домен и запрос кошелька.
Редакционный стандарт
Материал носит образовательный характер и основан на источниках. Меры безопасности, правила бирж и правовые требования могут меняться — проверяйте важные шаги по официальным данным.
