Как защитить аккаунт на криптобирже: 2FA, антифишинг-код, белый список
Шесть настроек, которые закрывают самые частые способы угона аккаунтов на биржах. На всё уйдёт около получаса.
4 мин чтения · Обновлено: 2026-10-19
Коротко
Большинство взломов аккаунтов происходит не из-за хакеров-гениев, а из-за слабого звена: SMS-кода, старой почты, фишинговой ссылки или забытого API-ключа. Закрой их по порядку:
- 2FA через приложение или ключ безопасности, а не SMS.
- Антифишинговый код.
- Белый список адресов вывода.
- Аккуратные API-ключи.
- Надёжная отдельная почта.
- Защита номера телефона от SIM-swap.
1. 2FA через приложение, а не SMS
Двухфакторная аутентификация просит второй код помимо пароля. Но не все коды одинаково надёжны.
| Способ | Надёжность | Почему |
|---|---|---|
| SMS | Низкая | Номер можно перевыпустить на мошенника |
| Приложение-аутентификатор | Хорошая | Код генерируется на твоём телефоне |
| Ключ безопасности или passkey | Самая высокая | Не срабатывает на фишинговом сайте |
- Установи приложение-аутентификатор из официального магазина.
- В настройках безопасности биржи включи 2FA через приложение и отсканируй QR-код.
- Сохрани резервный ключ или коды восстановления на бумаге, не в заметках и не в облаке.
- После этого отключи SMS как способ входа, если биржа это позволяет.
Никому не сообщай коды 2FA. Ни поддержка, ни «служба безопасности» биржи их никогда не просят.
2. Антифишинговый код
Антифишинговый код — это слово, которое ты задаёшь в настройках, а биржа вставляет его во все свои письма. Если письмо «от биржи» пришло без твоего кода, это фишинг.
- Придумай слово, которое не связано с тобой и которое не угадать.
- Помни: код защищает от поддельных писем, но не от поддельного сайта. Заходи на биржу только по закладке.
Подробнее о схемах обмана — в гайде как распознать скам и фишинг.
3. Белый список адресов вывода
Белый список разрешает вывод только на заранее сохранённые адреса. Если кто-то войдёт в аккаунт, он не сможет сразу вывести деньги на свой кошелёк.
- Добавь адреса своих кошельков в адресную книгу и включи режим «вывод только на адреса из белого списка».
- Проверь, что после добавления нового адреса действует задержка (часто 24 часа или больше). Это время, чтобы заметить чужие действия.
- Включи уведомления о входе и о выводе на почту или в приложение.
4. Гигиена API-ключей
API-ключ даёт программе доступ к аккаунту: для торгового бота, налогового сервиса или трекера портфеля. Утечка ключа равна утечке доступа.
- Минимальные права. Трекеру и налоговому сервису хватит «только чтение». Боту нужна торговля. Право на вывод не включай почти никогда.
- Привязка к IP. Если сервис даёт фиксированные IP-адреса, ограничь ключ ими.
- Отдельный ключ под каждый сервис. Так ты знаешь, кто и что делает, и можешь отозвать один ключ, не ломая остальные.
- Срок жизни. Удаляй ключи, которыми не пользуешься. Раз в несколько месяцев проверяй список.
- Секрет не показывай. Не вставляй ключ в чаты, скриншоты и публичный код.
Сервис, который просит API-ключ с правом вывода «для работы стратегии», почти наверняка мошеннический.
Для экспериментов с ботами удобно завести субаккаунт с небольшой суммой.
5. Почта — главный ключ от всего
Через почту восстанавливают пароль, поэтому кто владеет почтой, тот почти владеет аккаунтом.
- Используй отдельный адрес только для финансов и бирж, нигде его не публикуй.
- Поставь на почту длинный уникальный пароль и 2FA через приложение или ключ безопасности.
- Проверь, что резервный телефон и резервная почта актуальны и тоже защищены.
- Загляни в настройки пересылки и фильтров: взломщики часто тихо добавляют правило, которое пересылает письма биржи им.
- Используй менеджер паролей: он не подставит пароль на сайте с поддельным адресом.
6. Защита от SIM-swap
SIM-swap — это когда мошенник уговаривает или подкупает сотрудника оператора и перевыпускает твой номер на свою SIM-карту. После этого он получает твои SMS-коды.
- Убери номер телефона как способ входа и восстановления там, где это возможно.
- Узнай у оператора, можно ли поставить PIN-код или запрет на перевыпуск SIM без личного визита.
- Не публикуй номер в соцсетях и профилях.
- Если телефон вдруг потерял сеть без причины, сразу свяжись с оператором и проверь аккаунты.
Если что-то пошло не так
- Сразу заморозь аккаунт: у большинства бирж есть кнопка «отключить аккаунт» или срочная линия поддержки.
- Смени пароль от почты и биржи с чистого устройства.
- Отзови все API-ключи и выйди из всех сессий.
- Проверь историю выводов и белый список адресов.
Если тебе пишут «специалисты по возврату крипты» — это вторая волна мошенничества. Обращайся только в поддержку биржи и в полицию.
Вопросы и ответы
Почему 2FA по SMS считается небезопасной?
Номер можно перевыпустить на чужую SIM-карту через оператора (SIM-swap), и тогда коды придут мошеннику. Приложение-аутентификатор или ключ безопасности защищают лучше.
Что такое антифишинговый код на бирже?
Это секретное слово, которое биржа вставляет в свои письма. Если в письме «от биржи» его нет, письмо поддельное.
Какие права давать API-ключу?
Только нужные: «чтение» для трекеров и налоговых сервисов, торговлю для ботов. Право на вывод средств лучше не давать вообще, а ключ привязать к IP-адресу.
Что делать, если потерял телефон с аутентификатором?
Восстанови 2FA по резервному ключу или кодам, которые ты сохранил при настройке. Если их нет, придётся проходить восстановление через поддержку биржи с проверкой личности, это может занять несколько дней.