Passkey, TOTP или SMS: как защитить аккаунт биржи

Перед началом

Если биржа поддерживает passkey, используйте его для входа и заранее настройте резервный способ доступа. Если passkey пока нет, приложение с одноразовыми кодами обычно предпочтительнее SMS: вход не зависит от того, кто контролирует ваш номер. При этом код из приложения можно выманить через поддельную страницу. Ниже сравниваем способы защиты и разбираем настройку так, чтобы потеря телефона не закрыла вам доступ к аккаунту.

Руководство подходит для личного аккаунта на централизованной криптобирже. Перед началом понадобятся доступ к почте, исправный телефон или компьютер с блокировкой экрана и несколько минут без спешки. Резервный аппаратный ключ нужен, если вы выберете такой вариант. Меню и способы восстановления отличаются у бирж; проверяйте их в официальной справке своего сервиса.

Чем отличаются способы входа

При входе с SMS биржа отправляет код на ваш номер. Если мошенник убедит оператора перевыпустить SIM-карту или перенести номер, он может получить сообщения вместо вас. Для такой атаки ему не обязательно забирать ваш телефон. Сам код также можно выманить звонком или поддельной страницей входа.

Приложение-аутентификатор создаёт одноразовые коды на основе сохранённого секрета. В этом руководстве речь о TOTP, то есть кодах, которые меняются со временем. Приложение может создавать их без мобильной связи и интернета. При настройке вы сканируете QR-код биржи: он содержит данные, с помощью которых приложение рассчитывает коды. Человек с копией этого секрета сможет создавать такие же коды. Поэтому не отправляйте QR-код настройки в переписку и не храните его в общей папке со скриншотами.

Passkey использует пару криптографических ключей. Биржа хранит открытый ключ, а ваше устройство или менеджер ключей доступа управляет закрытым. Вы подтверждаете вход через блокировку устройства: например, отпечатком пальца или PIN-кодом. При корректной реализации браузер связывает подтверждение с нужным сайтом. Поддельный домен не получает подходящее подтверждение для настоящей биржи.

Passkey может заменять пароль или работать в сценарии дополнительной проверки. Поэтому сравнение «passkey или 2FA» требует уточнения: двухфакторная аутентификация означает проверку двух факторов, а passkey описывает технологию входа. Посмотрите, какую роль биржа отвела ему в вашем аккаунте.

Что означает устойчивость к фишингу

Устойчивость к фишингу относится к протоколу входа. Она не означает защиту от любой кражи денег. В NIST отдельно указано, что вводимые вручную одноразовые коды не считаются устойчивыми к фишингу: атакующий может передать код настоящему сервису. Строка про аппаратный ключ относится к FIDO2/WebAuthn, а не к любому USB-устройству, которое показывает цифры.

Сначала проверьте восстановление

Откройте настройки безопасности биржи через сохранённую закладку или официальное приложение. Выпишите доступные способы входа, подтверждения вывода и восстановления. Биржа может использовать разные проверки для этих действий.

Выясните, что произойдёт, если основной телефон сломается сегодня. Есть ли второй зарегистрированный ключ? Доступен ли passkey на другом устройстве? Выдаёт ли биржа резервные коды? Если остаётся только проверка личности через поддержку, прочитайте условия: возможны ожидание и временные ограничения операций. Не рассчитывайте на срок, который вам назвали в чужом отзыве.

Затем проверьте почту, привязанную к бирже. Если через неё можно сбросить пароль или начать восстановление, защитите и её. Используйте отдельный пароль, включите доступный устойчивый к фишингу способ входа и обновите данные восстановления. Удалять старый способ доступа стоит после проверки нового.

Как перейти на passkey

1. Проверьте устройство. Установите обновления системы и браузера. Включите блокировку экрана. Создавайте passkey на личном устройстве, доступ к которому вы контролируете.
2. Откройте раздел безопасности биржи. Найдите Passkey, «Ключ доступа» или аналогичный пункт. Названия кнопок сверяйте со справкой своей биржи.
3. Выберите место хранения. Система может предложить менеджер ключей доступа, телефон или совместимый аппаратный ключ. Посмотрите, куда именно она сохранит passkey и сможет ли синхронизировать его с другими устройствами.
4. Подтвердите создание. Завершите запрос системы через PIN-код или биометрию. Убедитесь, что новый способ появился в списке безопасности биржи. Назовите его так, чтобы отличать от резервного.
5. Проверьте вход. Сохраните текущую рабочую сессию и откройте отдельный профиль браузера или другое доверенное устройство. Пройдите вход новым способом. Не используйте для проверки чужой компьютер.
6. Добавьте резерв. Если биржа позволяет, зарегистрируйте второй ключ или другой подходящий способ. Проверьте его отдельно. Только после этого пересматривайте SMS и другие старые варианты.

Например, Coinbase в своей справке рекомендует сочетание passkey и аппаратного ключа либо два аппаратных ключа. Это пример доступной конфигурации, а не универсальная инструкция для всех бирж.

При синхронизации passkey изучите защиту облачного аккаунта. Apple описывает сквозное шифрование iCloud Keychain и отдельные проверки доступа к связке ключей. У других менеджеров порядок хранения и восстановления может отличаться. Сохранённый на физическом FIDO2-ключе passkey требует доступа к самому ключу; синхронизация через облако для такого ключа обычно не предусмотрена.

Если биржа поддерживает только приложение с кодами

Установите выбранный аутентификатор из официального магазина. В настройках биржи включите приложение для одноразовых кодов, отсканируйте QR-код и введите текущий код для подтверждения. Убедитесь, что биржа показывает новый способ как активный.

Затем проверьте настройки самого приложения. Оно может хранить секреты только на устройстве или синхронизировать их через аккаунт. Например, Google Authenticator поддерживает оба варианта; без аккаунта Google перенос кодов требует отдельного действия. Перед заменой телефона проверьте перенос, пока старое устройство работает.

Если код не подходит, проверьте автоматическую настройку времени на телефоне и правильность выбранного аккаунта в приложении. Не удаляйте запись в надежде начать заново: без сохранённого секрета вы можете потерять рабочий способ входа.

Сохраните резервные коды биржи, если она их выдаёт. Храните их там, куда сможете попасть без потерянного телефона и без входа в саму биржу. Избегайте ситуации, когда единственная копия лежит внутри аккаунта, который она должна помочь восстановить. Инструкцию по хранению секрета настройки уточняйте у выбранного приложения и биржи.

Проверьте резерв на конкретном сценарии

Представьте, что телефон остался в такси. Вам нужно войти с домашнего компьютера. Если passkey синхронизирован, сначала выясните, доступен ли он на этом компьютере и какой запрос потребует менеджер ключей. Если passkey остался только на телефоне, используйте заранее зарегистрированный резерв. Аппаратный ключ, который вы носили в том же чехле, тоже может оказаться недоступен.

Проверьте этот сценарий до потери устройства: войдите через резервный способ и убедитесь, что можете открыть настройки безопасности. Не запускайте сброс аккаунта ради теста. После проверки храните резерв отдельно от основного устройства.

При реальной потере телефона используйте инструкции биржи и производителя устройства. Удалите утраченный способ входа из аккаунта после восстановления контроля, проверьте активные сессии и зарегистрируйте замену. Google, например, отдельно описывает удаление passkey потерянного устройства; порядок действий в аккаунте биржи нужно смотреть у самой биржи.

Дополнительные проверки для аккаунта биржи

Посмотрите, требует ли сервис дополнительное подтверждение при добавлении адреса вывода, смене пароля и отключении защиты. Если доступен список разрешённых адресов, изучите задержку добавления нового адреса и порядок его изменения. Эти параметры стоит проверить до того, как они понадобятся.

Просмотрите API-ключи и подключённые приложения. Удалите доступы, которыми больше не пользуетесь. Для оставшихся проверьте разрешения: возможность читать баланс и возможность выводить средства имеют разные последствия. Не выдавайте разрешения только потому, что сторонний сервис просит включить все пункты.

Сотруднику поддержки не нужны ваш TOTP-код, QR-код настройки или резервный код в чате. Если собеседник предлагает отключить защиту или дать удалённый доступ, прервите разговор и проверьте обращение через приложение биржи. Мы разобрали такой сценарий в руководстве о поддельной поддержке.

Если вы уже передали код мошеннику

С доверенного устройства откройте приложение биржи и используйте блокировку аккаунта или переводов, если сервис предлагает такую функцию. Coinbase, например, описывает Security Lock, который завершает сессии и ограничивает операции до разблокировки. У вашей биржи действие может называться иначе.

Свяжитесь с официальной поддержкой, сохраните время обращения, адрес поддельной страницы и сведения о подозрительных операциях. Проверьте почту и изменения способов входа. Если вы давали удалённый доступ, для восстановления используйте другое доверенное устройство. Подключение passkey после инцидента не отменяет операции, которые злоумышленник уже успел выполнить.