2FA для криптокошелька — одна из самых простых и при этом самых действенных мер защиты. Даже если кто-то узнает ваш пароль или получит доступ к почте, без второго фактора он не сможет войти в аккаунт и вывести средства. Разберём, как работает двухфакторная аутентификация, почему SMS — не лучший вариант и как настроить защиту в Banknode.
Что такое двухфакторная аутентификация
Двухфакторная аутентификация (2FA) — это вход, при котором личность подтверждается двумя независимыми способами. Первый фактор — то, что вы знаете или к чему имеете доступ: пароль или код из письма. Второй — то, что есть только у вас: телефон с приложением, которое генерирует одноразовые коды.
Ключевое слово здесь — независимые. Доступ к вашей почте не даёт доступа к телефону, а сам телефон без почты бесполезен для злоумышленника. Получить оба фактора одновременно гораздо сложнее, чем один.
Чаще всего используется стандарт TOTP. Приложение-аутентификатор постоянно создаёт новые шестизначные коды, каждый из которых действует очень недолго. Код вычисляется из секретного ключа и текущего времени, поэтому приложение работает даже без интернета.
Для криптовалюты это особенно важно. Транзакции в блокчейне необратимы: если злоумышленник отправил монеты на свой адрес, отменить перевод, как в банке, не получится. Поэтому его лучше остановить ещё на этапе входа или вывода.
Почему SMS слабее, чем приложение-аутентификатор
Коды по SMS лучше, чем ничего, но у них есть известные уязвимости. Главная из них — подмена SIM-карты: мошенник убеждает оператора перевыпустить ваш номер на новую карту и начинает получать все ваши сообщения.
- SMS можно перехватить через уязвимости в сетях связи или вредоносные приложения на телефоне.
- Номер принадлежит оператору, а значит, безопасность аккаунта частично зависит от сотрудников и процедур третьей стороны.
- Сообщения могут приходить с задержкой или не приходить вовсе — например, в роуминге или при слабом сигнале.
- Приложение-аутентификатор хранит секрет на самом устройстве и не зависит от сотовой сети.
Есть и универсальный риск — социальная инженерия. Мошенник может выманить код по телефону или в переписке, представившись сотрудником сервиса. От этого не спасает ни SMS, ни приложение, поэтому главное правило неизменно: никому не сообщайте коды.
Поэтому Banknode использует 2FA через приложение-аутентификатор — и для входа, и для вывода средств. Как правило, подходит любое популярное приложение с поддержкой стандартных одноразовых кодов.
Как включить 2FA в Banknode
Включить двухфакторную аутентификацию лучше сразу после регистрации — до того, как вы пополните баланс. Порядок действий такой:
- Установите на телефон приложение-аутентификатор, если его ещё нет.
- Войдите в Banknode — в Telegram-боте @banknode_bot или в веб-приложении — и откройте раздел «Безопасность».
- Выберите включение двухфакторной аутентификации — на экране появится QR-код.
- Отсканируйте QR-код приложением-аутентификатором: в нём появится новая запись с шестизначным кодом.
- Введите текущий 6-значный код в Banknode, чтобы подтвердить настройку.
Не закрывайте экран с QR-кодом, пока не убедитесь, что код из приложения принят. Если подтверждение не проходит, проверьте, что время на телефоне устанавливается автоматически: от него зависит правильность кодов.
После этого код из приложения будет запрашиваться при входе и при выводе средств. Даже если кто-то получит доступ к вашей почте, этого не хватит, чтобы распорядиться деньгами. О других мерах защиты рассказано на странице безопасности.
Если вы пользуетесь Banknode и в Telegram, и в браузере, настраивать 2FA дважды не нужно: это один и тот же аккаунт, поэтому защита действует в обеих версиях.
Резервные коды и потерянный телефон
Самая частая проблема с 2FA — не взлом, а потеря доступа к собственному второму фактору. Телефон можно разбить, потерять или сбросить до заводских настроек, и вместе с ним исчезнут коды.
Чтобы подстраховаться, при настройке любого сервиса обращайте внимание на резервные коды или секретный ключ, если их показывают. Их нужно сохранить офлайн: записать на бумагу и убрать в надёжное место, а не делать скриншот в галерее телефона.
- Не храните резервные данные на том же телефоне, где установлен аутентификатор.
- Если приложение поддерживает зашифрованное резервное копирование, включите его и защитите надёжным паролем.
- При смене телефона сначала перенесите коды на новое устройство и только потом сбрасывайте старое.
Если доступ к аутентификатору всё же потерян, не паникуйте и не создавайте новый аккаунт в спешке. Загляните в раздел с частыми вопросами и действуйте только через официальную процедуру восстановления доступа.
Хорошая практика — проверить запасной вариант заранее, пока всё работает. Убедитесь, что записанные данные читаемы и лежат там, где вы найдёте их и через год. О такой мелочи легко забыть, а вспоминают о ней обычно в самый неудобный момент.
Другие привычки, которые защищают аккаунт
2FA закрывает большую часть рисков, но не все. Несколько простых правил дополняют её:
- Защитите почту, к которой привязан кошелёк: сложный пароль и собственная 2FA на почтовом ящике.
- Никому не сообщайте одноразовые коды — ни «поддержке» в личных сообщениях, ни знакомым. Настоящий сервис никогда не просит их прислать.
- Проверяйте, где вы вводите данные: Telegram-бот — только @banknode_bot, веб-версия — только my.banknode.co.
- Не устанавливайте сомнительные приложения и расширения браузера, особенно «помощники» для криптовалюты.
- Перед выводом внимательно сверяйте адрес и сеть получателя — 2FA не защитит от ошибки при вводе адреса.
- Регулярно обновляйте операционную систему телефона и само приложение-аутентификатор.
Ни одна из этих мер не требует особых знаний. Достаточно один раз всё настроить и затем придерживаться нескольких простых привычек — это гораздо проще, чем пытаться вернуть средства после взлома.
Banknode — кастодиальный кошелёк: ключи хранит сервис, а вы входите по email и 2FA, без сид-фразы. Чем такая модель отличается от некастодиальной, читайте в статье о типах кошельков.
Если вы ещё не пользуетесь Banknode, создайте аккаунт с одним email и сразу включите двухфакторную аутентификацию — это лучший первый шаг для любого криптокошелька.