Защита аккаунта криптобиржи: 2FA, passkey и белый список

Защита аккаунта криптобиржи держится на пяти настройках: уникальный пароль, второй фактор (2FA) без SMS — лучше passkey или аппаратный ключ, отдельная защищённая почта, белый список адресов вывода и задержка на изменения настроек. Двухфакторная аутентификация нужна затем, чтобы украденного пароля не хватило для входа и вывода монет. Но разные виды 2FA защищают по-разному: код из SMS перехватывают через подмену SIM-карты, код из приложения выманивают на поддельном сайте, а passkey к поддельному сайту просто не подходит.

Что такое 2FA и от чего она защищает аккаунт на бирже

Двухфакторная аутентификация — вход по двум доказательствам разного типа: то, что вы знаете (пароль), и то, что у вас есть (телефон, ключ) или чем вы являетесь (отпечаток, лицо). На бирже второй фактор обычно спрашивают не только при входе, но и при выводе средств, создании API-ключа и смене настроек безопасности.

Зачем это нужно, видно по статистике. В отчёте ФБР IC3 за 2025 год захват аккаунтов (Account Takeover) выделен отдельной строкой: около 4 700 заявлений и $359,7 млн потерь — в среднем примерно $76 500 на заявление (наш расчёт по этим двум числам). Это только США и только те, кто подал заявление. В предупреждении ФБР от 25 ноября 2025 года описан типичный сценарий: преступник представляется поддержкой финансовой организации, выманивает логин и одноразовый код, меняет пароль и выводит деньги, часто через криптокошельки.

Перевод в блокчейне нельзя отменить, поэтому на бирже цена ошибки выше, чем в банке: вернуть монеты после вывода обычно невозможно.

Какой второй фактор выбрать: сравнение способов

Американское агентство по кибербезопасности CISA в памятке о фишингоустойчивой MFA (октябрь 2022 года) расставляет способы от сильного к слабому: наверху FIDO/WebAuthn, ниже — приложения с одноразовыми кодами и пуш-уведомления с вводом числа. Про SMS и голосовые коды памятка отдельно пишет, что они уязвимы к подмене SIM-карты и к перехвату через уязвимости протокола SS7.

Откуда разница. Код TOTP по RFC 6238 считается на самом устройстве из общего секрета и текущего времени, рекомендованный шаг — 30 секунд. Он не идёт по сети оператора, поэтому подмена SIM ему не страшна. Но человек вводит его руками — значит, может ввести и на чужом сайте.

Passkey устроен иначе: на устройстве создаётся пара ключей, закрытый ключ его не покидает, а подпись привязана к домену сайта — это заложено в стандарте WebAuthn, на котором построены passkey по описанию FIDO Alliance. На домене-двойнике ключ для настоящей биржи не сработает, что бы ни нажал пользователь.

Стандарт NIST SP 800⁠–⁠63B, редакция 4 закрепляет то же самое формально: одноразовые коды, которые вводят вручную, не считаются устойчивыми к фишингу; коды через телефонную сеть (SMS и звонок) отнесены к «ограниченным» аутентификаторам, к которым сервис обязан предложить альтернативу; почту для таких кодов использовать нельзя.

Почему SMS — слабое звено

При подмене SIM (SIM-swap) мошенник убеждает оператора перенести номер жертвы на свою SIM-карту — и получает все её SMS, включая коды входа и сброса пароля. Телефон в руках ему для этого не нужен.

В отчётах ФБР IC3 число таких заявлений снижается, но суммы остаются крупными:

Источник — таблицы отчёта IC3 за 2025 год; в среднем за 2025 год выходит около $17 900 на заявление (наш расчёт).

Насколько SMS слабее других способов, измеряли Google, Нью-Йоркский университет и Калифорнийский университет в Сан-Диего. По их исследованию, опубликованному 17 мая 2019 года, SMS-код остановил 100% автоматических ботов, 96% массового фишинга и 76% целевых атак; подтверждение на устройстве — 100%, 99% и 90%. Среди пользователей, входивших только по ключам безопасности, жертв целевого фишинга за время исследования не оказалось. Оговорка: это аккаунты Google и данные 2019 года, а владельца криптобиржевого аккаунта чаще атакуют как раз целенаправленно.

Вывод простой: SMS лучше, чем ничего, но держателю монет стоит считать его временным вариантом. И если SMS оставлен как запасной способ входа или восстановления, аккаунт защищён ровно на уровне SMS.

Почему код из приложения не спасает от фишинга

Современные фишинговые наборы работают как посредник (adversary-in-the-middle): поддельная страница в реальном времени передаёт введённые пароль и код настоящему сайту, получает в ответ сессионную куку и отдаёт её злоумышленнику. Microsoft описала такую кампанию 12 июля 2022 года: с сентября 2021 года она была нацелена более чем на 10 000 организаций и обходила MFA. В качестве защиты Microsoft называет FIDO2 и вход по сертификатам.

Для пользователя биржи это значит: приложение с кодами защищает от утёкшего пароля и от подмены SIM, но не от ссылки из письма «подтвердите вывод» или из рекламы в поисковике. ФБР в том же предупреждении отдельно описывает поддельную рекламу, которая выводит фишинговый сайт над настоящим. Другие схемы обмана мы разбирали в статье о мошенничестве с криптовалютой.

Настройка защиты аккаунта по шагам

1. Пароль. Уникальный, длинный, из менеджера паролей. Справка Kraken советует не меньше 15 знаков.
2. Почта. Отдельный адрес только для биржи, на нём — свой пароль и 2FA без SMS. Через почту сбрасывают пароль биржи, поэтому она важнее самой биржи.
3. Passkey. Зарегистрируйте два: например, телефон и аппаратный ключ. Один потерянный ключ не должен запирать вас снаружи.
4. Приложение с кодами — если passkey недоступен. Резервный код запишите на бумаге, как сид-фразу; скриншот в облаке не годится.
5. Уберите SMS из способов входа и восстановления, когда более сильный фактор уже работает.
6. Второй фактор на вывод, API-ключи и торговлю — на многих биржах он включается отдельно от входа.
7. Белый список адресов вывода и задержка для новых адресов.
8. Антифишинговый код — слово, которое биржа вставляет в свои письма. Письмо без него — не от биржи.
9. Блокировка настроек, если биржа её даёт: изменения вступают в силу только после периода ожидания.
10. Закладка вместо поиска. Заходите на биржу из закладки или приложения, а не по ссылке из письма, мессенджера или рекламы.

У оператора связи поставьте PIN на SIM и запрет на перенос номера. В США правила FCC, опубликованные 8 декабря 2023 года, обязывают операторов надёжно проверять клиента перед сменой SIM и уведомлять его о таких запросах; в других странах набор защит зависит от оператора.

Белый список адресов и задержка вывода

Белый список — последний рубеж на случай, если вход всё-таки взломан. Когда он включён, вывести средства можно только на заранее одобренные адреса. В справке Binance в список можно добавить до 200 адресов, а дополнительная настройка приостанавливает вывод на новый адрес на 24, 48 или 72 часа. У Kraken похожую роль играет Global Settings Lock: пока блокировка включена, настройки и адреса вывода не меняются, а снять её без мастер-ключа можно только после ожидания от 1 до 30 дней (по умолчанию 3 дня, справка Kraken).

Смысл задержки — время. Взломщик, добавивший свой адрес, не может вывести монеты сразу, а владелец получает письмо об изменении и успевает заморозить аккаунт. Плата за это — неудобство: срочно отправить монеты на новый адрес не получится. Для долгого хранения это скорее плюс; активному трейдеру стоит заранее внести в список свои кошельки.

Как это выглядит на цифрах: 13 ноября 2026 года

На 13 ноября 2026 года, 11:00 МСК, биткоин торговался у $68 594, за сутки −6,9%; индекс страха и жадности — 20, «крайний страх» (наши данные, блок «Пульс рынка»). По такому курсу 0,25 BTC — около $17 150, то есть почти столько же, сколько в среднем теряли заявители ФБР при подмене SIM в 2025 году.

Дни резких движений опасны и по другой причине. Падение на несколько процентов — повод срочно зайти на биржу, а спешка и тревога — то, на чём построены письма «на вашем аккаунте подозрительная операция» из предупреждения ФБР. Живая цена и состояние рынка есть в сводке и на странице биткоина — для них не нужно входить в аккаунт и вводить коды.

Ограничения: чего 2FA не делает

• Не защищает от взлома самой биржи. При взломе горячих кошельков Binance 29 октября 2026 года настройки пользователей роли не играли. От этого риска помогает только собственный холодный кошелёк и выбор биржи.
• Не защищает от вредоносных программ на устройстве, которые крадут сессию уже после входа или подменяют адрес в буфере обмена.
• Не защищает API-ключи. Ключ с правом вывода работает без 2FA; выдавайте ключам только чтение и торговлю и привязывайте их к IP.
• Синхронизируемые passkey зависят от облачного аккаунта (Apple, Google, менеджер паролей). Его защита должна быть не слабее. NIST не допускает такие ключи на высшем уровне надёжности — там нужен аппаратный ключ без экспорта.
• Восстановление — обходной путь. Если поддержка сбрасывает 2FA по селфи и письму, атаковать будут именно эту процедуру.

Частые ошибки

• Включить passkey и оставить SMS запасным способом входа.
• Хранить резервные коды в заметках, почте или фотографиях.
• Держать один passkey на единственном телефоне.
• Использовать общую почту с номером телефона для восстановления.
• Диктовать код «сотруднику поддержки». Настоящая поддержка не просит ни пароль, ни код 2FA.
• Подтверждать пуш-запрос, который вы не запускали.

Если аккаунт всё же взломан: заморозьте его через официальную кнопку или поддержку, смените пароль почты и биржи с чистого устройства, отзовите API-ключи и активные сессии, сохраните письма и хеши транзакций и подайте заявление в полицию своей страны (в США — на ic3.gov). Скорость важна: биржа может остановить вывод, пока он не ушёл в сеть.

Частые вопросы

Что надёжнее — Google Authenticator или SMS? Приложение с кодами: коды считаются на устройстве и не зависят от оператора связи. От поддельного сайта оно не защищает — для этого нужен passkey или аппаратный ключ.

Что делать, если потерял телефон с приложением для кодов? Войти по запасному passkey или восстановить приложение по резервному коду, записанному при настройке. Без них остаётся процедура восстановления через поддержку, она занимает дни.

Нужен ли аппаратный ключ, если сумма небольшая? Passkey на телефоне даёт ту же защиту от фишинга бесплатно. Аппаратный ключ имеет смысл как второй, запасной, и при крупных суммах.

Достаточно ли 2FA, чтобы хранить монеты на бирже? Нет. 2FA защищает ваш вход, но не саму биржу. Монеты, которыми вы не торгуете, безопаснее держать в кошельке, ключи от которого есть только у вас.

Это не инвестиционный совет.