2FA i klucze dostępu do kont z kryptowalutami

Do 2FA na koncie z kryptowalutami używaj klucza dostępu (passkey) albo sprzętowego klucza bezpieczeństwa, jeśli usługa je oferuje, aplikacji uwierzytelniającej, jeśli nie, a kodów SMS tylko w ostateczności. Różnica dotyczy phishingu: klucz dostępu czy klucz bezpieczeństwa jest powiązany z prawdziwą stroną i po prostu nie zadziała na fałszywej, a sześciocyfrowy kod można wpisać na podrobionej stronie równie łatwo jak na prawdziwej.

Uwierzytelnianie dwuskładnikowe w rankingu

Kody SMS — najsłabsze. Kod wysłany SMS-em można ukraść przez SIM swap, gdy atakujący przekonuje twojego operatora komórkowego, by przeniósł twój numer na jego kartę SIM. Posiadacze kryptowalut to ulubiony cel tego ataku. SMS jest lepszy niż nic, ale nie powinien strzec niczego, czego utraty bardzo byś żałował.

Aplikacje uwierzytelniające (TOTP) — dobre. Aplikacja co 30 sekund generuje nowy sześciocyfrowy kod z sekretu przechowywanego w twoim telefonie. Operator nie bierze w tym udziału, więc SIM swap nie działa. Samo skradzione hasło już nie wystarczy, ale fałszywa strona wciąż może poprosić o kod i w ciągu tych 30 sekund przekazać go prawdziwej. Zapisz kody konfiguracyjne offline: jeśli zgubisz telefon, to dzięki nim odzyskasz dostęp.

Sprzętowe klucze bezpieczeństwa — mocne. Mały klucz USB lub NFC, którego dotykasz przy logowaniu, działający w standardzie FIDO2. Klucz sprawdza, która strona pyta, więc podobnie wyglądająca domena nic nie dostaje. Zarejestruj dwa klucze, a zapasowy trzymaj w bezpiecznym miejscu.

Klucze dostępu — mocne i prostsze. Klucz dostępu (passkey) to ta sama idea FIDO, przechowywana przez twój telefon, komputer albo menedżer haseł i odblokowywana odciskiem palca, twarzą lub kodem PIN urządzenia. Może całkowicie zastąpić hasło, jest przypisany do domeny prawdziwej strony i nie ma w nim niczego, co dałoby się wpisać na fałszywej stronie. FIDO Alliance wyjaśnia, jak działają. Jeśli usługa oferuje klucze dostępu, używaj ich.

Ustawienia, które znaczą równie wiele

• Biała lista adresów do wypłat. Wiele giełd pozwala wypłacać tylko na adresy dodane wcześniej, często z okresem oczekiwania dla nowych. Jeśli ktoś dostanie się na konto, nie wyśle sobie monet od razu.
• Twoja skrzynka e-mail. Linki do resetu hasła trafiają na e-mail, więc skrzynka potrzebuje takiej samej ochrony: mocnego, unikalnego hasła i klucza dostępu albo klucza bezpieczeństwa.
• Kod antyphishingowy. Niektóre giełdy pozwalają ustawić słowo, które pojawia się w każdym prawdziwym e-mailu od nich. E-mail bez niego nie pochodzi od nich.
• Unikalne hasła. Korzystaj z menedżera haseł i wszędzie używaj innego hasła, żeby jedna zhakowana strona nie otworzyła reszty.
• Klucze API. Jeśli tworzyłeś klucze API giełdy dla bota albo trackera, usuń te, których już nie używasz, i nigdy nie dawaj żadnemu z nich uprawnień do wypłat.

Konfiguracja po kolei

• Najpierw e-mail. Daj skrzynce mocne, unikalne hasło i klucz dostępu albo klucz bezpieczeństwa, bo przez nią przechodzi każdy inny reset.
• Potem każda giełda. Dodaj klucz dostępu albo klucz bezpieczeństwa, jeśli są dostępne, a jeśli nie — aplikację uwierzytelniającą.
• Zapisz kody zapasowe, które pokazuje każda usługa, na papierze, razem z innymi kopiami offline.
• Usuń SMS jako metodę awaryjną, gdy mocniejsza metoda już działa, jeśli usługa na to pozwala.
• Włącz białą listę adresów do wypłat i dodaj adresy własnych portfeli.

Czego 2FA nie chroni

2FA chroni konta: giełdy, e-mail, trackery. Nic nie daje portfelowi, który kontrolujesz sam, bo tam jedynym kluczem, który ma znaczenie, jest fraza seed — jak ją przechowywać. Nie powstrzyma cię też przed zatwierdzeniem przelewu, do którego ktoś cię podstępem nakłonił; te sztuczki opisuje poradnik popularne oszustwa kryptowalutowe.

Ten poradnik wyjaśnia, jak działają różne rzeczy. Nie jest poradą finansową, inwestycyjną ani podatkową. Coś się nie zgadza? Napisz na hi@perly.io, a poprawimy.