Kripto hesapları için 2FA ve passkey

Kripto hesabında 2FA için, hizmet sunuyorsa bir passkey ya da donanım güvenlik anahtarı, sunmuyorsa bir doğrulama uygulaması kullanın; SMS kodlarını yalnızca son çare olarak kullanın. Fark oltalamadadır (phishing): passkey ya da güvenlik anahtarı gerçek web sitesine bağlıdır ve sahte bir sitede hiç çalışmaz; altı haneli bir kod ise sahte bir sayfaya gerçeğine yazıldığı kadar kolay yazılabilir.

İki faktörlü kimlik doğrulama, güç sırasıyla

SMS kodları — en zayıfı. SMS ile gönderilen bir kod, saldırganın mobil operatörünüzü numaranızı kendi SIM'ine taşımaya ikna ettiği SIM swap (SIM kartı değiştirme) yöntemiyle çalınabilir. Kripto sahipleri bunun en sevilen hedeflerindendir. SMS hiç yoktan iyidir, ama kaybetmekten nefret edeceğiniz hiçbir şeyi korumamalıdır.

Doğrulama uygulamaları (TOTP) — iyi. Bir uygulama, telefonunuzda saklanan bir sırdan her 30 saniyede yeni bir altı haneli kod üretir. Araya operatör girmez, bu yüzden SIM swap işe yaramaz. Çalınmış bir parola tek başına artık yetmez, ama sahte bir site yine de kodu isteyip o 30 saniye içinde gerçek siteye iletebilir. Kurulum kodlarını çevrimdışı saklayın: telefon kaybolursa geri girmenin yolu onlardır.

Donanım güvenlik anahtarları — güçlü. Giriş yapmak için dokunduğunuz, FIDO2 standardını kullanan küçük bir USB ya da NFC anahtarı. Anahtar hangi web sitesinin istediğini kontrol eder; bu yüzden benzer görünen bir alan adı hiçbir şey alamaz. İki anahtar kaydedin ve yedeğini güvenli bir yerde tutun.

Passkey'ler — güçlü ve daha kolay. Passkey, aynı FIDO fikrinin telefonunuz, bilgisayarınız ya da parola yöneticiniz tarafından saklanan, parmak iziniz, yüzünüz ya da cihaz PIN'inizle açılan hâlidir. Parolanın yerini tamamen alabilir, gerçek sitenin alan adına bağlıdır ve sahte bir sayfaya yazılacak hiçbir şey yoktur. FIDO Alliance nasıl çalıştıklarını anlatıyor. Bir hizmet passkey sunuyorsa kullanın.

En az onlar kadar önemli ayarlar

• Çekim adresi beyaz listesi. Birçok borsa, çekimlere yalnızca önceden eklediğiniz adreslere izin vermenizi sağlar; yeni adresler için çoğu zaman bir bekleme süresi vardır. Biri hesaba girse bile coinleri hemen kendine gönderemez.
• E-posta hesabınız. Parola sıfırlamaları e-postanıza gider, bu yüzden onun da aynı korumaya ihtiyacı vardır: güçlü ve benzersiz bir parola ve bir passkey ya da güvenlik anahtarı.
• Oltalama karşıtı kod. Bazı borsalar, onlardan gelen her gerçek e-postada görünen bir kelime belirlemenize izin verir. O kelimeyi taşımayan bir e-posta onlardan değildir.
• Benzersiz parolalar. Bir parola yöneticisi ve her yerde farklı bir parola kullanın; böylece ihlal edilen bir site diğerlerini açmaz.
• API anahtarları. Bir bot ya da takipçi için borsa API anahtarları oluşturduysanız artık kullanmadıklarınızı silin ve hiçbirine asla çekim yetkisi vermeyin.

Sırasıyla kurulum

• Önce e-posta. E-posta hesabınıza güçlü ve benzersiz bir parola ve bir passkey ya da güvenlik anahtarı verin, çünkü diğer her sıfırlama oradan geçer.
• Sonra her borsa. Sunulan yerlerde passkey ya da güvenlik anahtarı, aksi hâlde bir doğrulama uygulaması ekleyin.
• Yedek kodları kaydedin; her hizmetin gösterdiği kodları kâğıda yazıp diğer çevrimdışı yedeklerinizle saklayın.
• SMS'i kaldırın; daha güçlü bir yöntem çalıştıktan sonra, hizmet izin veriyorsa yedek yöntem olarak.
• Çekim beyaz listesini açın ve kendi cüzdanlarınızın adreslerini ekleyin.

2FA neyi korumaz

2FA hesapları korur: borsaları, e-postayı, takipçileri. Kendiniz kontrol ettiğiniz bir cüzdan için hiçbir şey yapmaz; orada önemli olan tek anahtar seed ifadesidir — nasıl saklanacağı. Ayrıca kandırılarak yaptığınız bir transferi onaylamanızı da engellemez; bu oyunlar yaygın kripto dolandırıcılıkları rehberinde.

Bu rehber işlerin nasıl yürüdüğünü anlatır. Finansal, yatırım ya da vergi tavsiyesi değildir. Bir hata mı var? hi@perly.io adresine yazın, düzeltelim.