المصادقة الثنائية ومفاتيح المرور لحسابات العملات المشفرة

للمصادقة الثنائية على حساب عملات مشفرة، استخدم مفتاح مرور أو مفتاح أمان عتاديًا حيث تتيحه الخدمة، وتطبيق مصادقة حيث لا تتيحه، ورموز SMS كملاذ أخير فقط. والفرق هو التصيّد الاحتيالي: مفتاح المرور أو مفتاح الأمان مرتبط بالموقع الحقيقي ولن يعمل ببساطة على موقع مزيّف، أما الرمز المكوّن من ستة أرقام فيمكن كتابته في صفحة مزيّفة بسهولة كتابته في الصفحة الحقيقية.

المصادقة الثنائية، مرتّبةً

رموز SMS — الأضعف. يمكن سرقة الرمز المرسَل برسالة نصية عبر تبديل الشريحة (SIM swap)، حين يقنع المهاجم شركة الاتصالات بنقل رقمك إلى شريحة SIM الخاصة به. وحاملو العملات المشفرة هدف مفضّل لهذا الأسلوب. SMS أفضل من لا شيء، لكن لا ينبغي أن يحرس شيئًا تكره أن تخسره.

تطبيقات المصادقة (TOTP) — جيدة. يولّد التطبيق رمزًا جديدًا من ستة أرقام كل 30 ثانية من سرّ مخزَّن على هاتفك. لا دخل لشركة الاتصالات، فلا ينجح تبديل الشريحة. لم تعد كلمة المرور المسروقة وحدها كافية، لكن موقعًا مزيّفًا يستطيع مع ذلك أن يطلب الرمز وينقله إلى الموقع الحقيقي خلال تلك الثواني الـ30. احفظ رموز الإعداد دون اتصال: إن ضاع الهاتف، فهي طريقك للعودة.

مفاتيح الأمان العتادية — قوية. مفتاح صغير عبر USB أو NFC تلمسه لتسجيل الدخول، يستخدم معيار FIDO2. يتحقّق المفتاح من الموقع الذي يطلب، فلا يحصل نطاق مشابه على شيء. سجّل مفتاحين واحفظ الاحتياطي في مكان آمن.

مفاتيح المرور — قوية، وأسهل. مفتاح المرور هو فكرة FIDO نفسها يحفظها هاتفك أو حاسوبك أو مدير كلمات المرور، وتفتحه ببصمتك أو وجهك أو رمز PIN للجهاز. يمكنه أن يحلّ محل كلمة المرور كليًا، وهو مرتبط بنطاق الموقع الحقيقي، ولا شيء فيه يُكتب في صفحة مزيّفة. ويشرح FIDO Alliance طريقة عملها. وإن أتاحت خدمةٌ مفاتيح المرور، فاستخدمها.

الإعدادات التي لا تقلّ أهمية

• قائمة عناوين السحب المسموح بها. تتيح لك منصات كثيرة قصر السحب على عناوين أضفتها سابقًا، غالبًا مع فترة انتظار للعناوين الجديدة. فإن دخل أحد إلى الحساب، لا يستطيع إرسال العملات إلى نفسه فورًا.
• حساب بريدك الإلكتروني. تُرسَل إعادة تعيين كلمات المرور إلى بريدك، فهو يحتاج إلى الحماية نفسها: كلمة مرور قوية وفريدة، ومفتاح مرور أو مفتاح أمان.
• رمز مكافحة التصيّد. تتيح لك بعض المنصات ضبط كلمة تظهر في كل رسالة حقيقية منها. والرسالة التي تخلو منها ليست منها.
• كلمات مرور فريدة. استخدم مدير كلمات مرور وكلمة مرور مختلفة في كل مكان، كي لا يفتح موقع واحد مخترَق بقية المواقع.
• مفاتيح API. إن أنشأت مفاتيح API على منصة لروبوت أو متتبّع، فاحذف ما لم تعد تستخدمه، ولا تمنح أيًّا منها صلاحية السحب أبدًا.

الإعداد، بالترتيب

• البريد أولًا. امنح حساب بريدك كلمة مرور قوية وفريدة ومفتاح مرور أو مفتاح أمان، فكل إعادة تعيين أخرى تمرّ عبره.
• ثم كل منصة. أضف مفتاح مرور أو مفتاح أمان حيث يُتاح، وإلا فتطبيق مصادقة.
• احفظ الرموز الاحتياطية التي تعرضها عليك كل خدمة، على ورق، مع نسخك الاحتياطية الأخرى غير المتصلة.
• أزِل SMS كخيار بديل حين تعمل طريقة أقوى، حيث تسمح الخدمة بذلك.
• فعّل قائمة السحب المسموح بها وأضف عناوين محافظك أنت.

ما لا تحميه المصادقة الثنائية

تحمي المصادقة الثنائية الحسابات: المنصات، والبريد، والمتتبّعات. ولا تفعل شيئًا لمحفظة تتحكّم فيها بنفسك، حيث عبارة الاسترداد هي المفتاح الوحيد المهم — كيف تحفظها. ولا تمنعك من الموافقة على تحويل خُدعت فيه؛ وأشهر عمليات الاحتيال يتناول تلك الحيل.

يشرح هذا الدليل كيف تعمل الأشياء، وليس نصيحة مالية أو استثمارية أو ضريبية. هل وجدت خطأً؟ راسلنا على hi@perly.io وسنصحّحه.