Passkey или код 2FA: как защитить аккаунт криптобиржи

Защита зависит от всей цепочки входа

Второй фактор уменьшает вероятность захвата аккаунта после утечки пароля. Но разные способы подтверждения противостоят разным атакам. Код из приложения, сообщение на телефон и passkey нельзя считать взаимозаменяемыми по уровню защиты. Особенно важно это для биржи: после входа злоумышленник может попытаться изменить настройки, создать ключ API или провести нежелательные сделки.

Начинать полезно с карты доступа. Запишите, какие способы входа разрешены, куда приходят уведомления, как восстанавливается аккаунт и какие устройства уже авторизованы. Самый сильный метод не помогает полностью, если рядом оставлен более слабый путь с теми же полномочиями. Проверка восстановления зачастую важнее добавления ещё одного привычного кода.

Что меняется при использовании passkey

Passkey использует криптографическую проверку, связанную с соответствующим сервисом. В материалах FIDO Alliance такой подход относится к устойчивым к фишингу методам благодаря привязке к проверяющей стороне. Поддельный сайт не должен получать пригодный для входа на настоящий сервис секрет тем же способом, каким он выманивает пароль или одноразовый код.

Это не означает защиту от всех угроз. Заражённое устройство, уже открытая сессия, слабая процедура восстановления и обман с отключением защиты остаются отдельными проблемами. Синхронизируемый ключ также требует защиты аккаунта, через который происходит синхронизация. Аппаратный ключ и синхронизируемый passkey могут иметь разные сценарии восстановления; выбор нужно соотнести с доступными средствами и поддержкой биржи.

Почему TOTP всё равно полезен

Код TOTP из приложения значительно усложняет использование одного украденного пароля. Однако человек может сам ввести актуальный код на фишинговой странице, после чего злоумышленник попытается немедленно использовать его. CISA отдельно обращает внимание на различия между обычной многофакторной аутентификацией и методами, устойчивыми к фишингу. Наличие второго шага само по себе не устраняет такую атаку.

Если passkey недоступен, это не причина оставлять аккаунт без защиты. Включите поддерживаемый второй фактор, используйте уникальный пароль и заходите через сохранённый официальный адрес. Запрос кода в неожиданном звонке или личном сообщении не становится законным только потому, что собеседник знает ваше имя и название биржи. Проверку проводите через сам сервис.

Подготовьте восстановление до потери телефона

Продумайте сценарий, в котором основной телефон сломан или потерян. У вас должен оставаться предусмотренный сервисом безопасный способ восстановить доступ. Резервные коды храните так, чтобы они не исчезли вместе с тем же устройством и не оказались в открытом облачном документе. Второй аппаратный ключ, если сервис его поддерживает, может быть отдельным элементом плана.

Не отключайте рабочую защиту, пока не проверили добавление нового способа. При переносе приложения аутентификации убедитесь, что коды действительно подходят, а старое устройство больше не нужно для восстановления. Изучите возможные временные ограничения на вывод после смены настроек. Это помогает не принимать штатную защитную паузу за неисправность и не обращаться к сомнительным «помощникам».

Что проверить после настройки

Посмотрите список активных сессий и ключей API, параметры уведомлений и разрешённые способы изменения реквизитов. Защитите почту, через которую восстанавливается биржевой доступ. Если она захвачена, сильная настройка отдельного сайта может оказаться частью более слабой цепочки. Уведомления полезны только тогда, когда приходят в канал, который контролируете вы.

В завершение составьте короткую памятку для себя: официальный адрес входа, место хранения резервного способа и порядок обращения в поддержку. Не включайте в неё секреты в открытом виде. Такая подготовка снижает риск паники при смене устройства. Безопасность аккаунта определяется не количеством включённых переключателей, а тем, насколько последовательно закрыты вход, восстановление и действия после авторизации.

• API-ключ торгового бота: права доступа и безопасное отключение
• Безопасность криптокошелька: seed-фраза, разрешения и переводы