Безопасность на бирже и API
Урок 9 из 39 курса «Крипто: курс с нуля». Бесплатно, с анимациями и тестом.
Защити аккаунт
Три базовые вещи с картинки. 2FA, то есть второй код при входе, через приложение-аутентификатор, а не через SMS. Уникальный длинный пароль: если один пароль стоит на разных сайтах, утечка с одного открывает все. Anti-phishing код: слово, которое биржа ставит в свои письма, чтобы ты отличал их от фейков. Настрой это в первый же день.
Почему не SMS
Приложение-аутентификатор создаёт новый код каждые 30 секунд прямо на твоём телефоне, как 482 913 на картинке. SMS-код слабее: мошенник может перевыпустить твою SIM-карту на себя (подмена SIM) и получать твои коды. И помни про фишинг: копия сайта крадёт пароль, поэтому заходи из закладки, а документы для KYC загружай только на официальном сайте.
Вывод только на свои адреса
Белый список адресов вывода: список адресов, куда биржа разрешит отправить монеты. Ты заранее добавляешь туда только свои кошельки. Если аккаунт взломают, вор не сможет сразу вывести деньги на свой адрес: ему придётся добавить новый, а это требует 2FA и часто задержку. Спойлер: это одна из самых полезных настроек.
Задержка для новых адресов
На картинке видно, как это работает. В белом списке только твои адреса. Новый адрес часто включается с задержкой, например через 24 часа, и требует код 2FA. За это время ты успеешь заметить чужой вход и заблокировать аккаунт. Добавляя адрес, сверь его начало и конец и сеть: вирусы подменяют скопированный текст.
API-ключи: минимум прав
API-ключ: пароль, через который бот или сервис управляет твоим аккаунтом без входа на сайт. Биржа хранит монеты у себя, как на картинке, так что ключ с правом вывода равен доступу к деньгам. Давай только чтение (Read) и привязку к IP, то есть к адресу сервера бота. Вывод не разрешай никогда. Ключи не вставляй в чаты и на скриншоты.
Проверь себя
- Какая 2FA надёжнее?
Правильный ответ: Приложение-аутентификатор. SMS можно перехватить через подмену SIM-карты. Код в приложении создаётся прямо на твоём телефоне и не идёт через оператора. - Какие права дать API-ключу для просмотра сделок?
Правильный ответ: Только чтение. Для просмотра хватает чтения. Право вывода превращает утёкший ключ в доступ к твоим деньгам. - Что даёт белый список адресов вывода?
Правильный ответ: Вывод только на твои адреса. Даже при взломе вор не выведет монеты на свой адрес сразу: новый адрес требует 2FA и часто задержку.
← Скам и фишинг: как не попасться Налоги на крипту: учёт без боли →