Криптовалюта необратима: в отличие от банковской карты, украденную транзакцию нельзя отменить звонком в поддержку. Это делает безопасность не опциональной настройкой, а обязательным условием владения активом. Разберём конкретные шаги защиты — от базовой 2FA до распознавания фишинга.

2FA: Google Authenticator против SMS

Двухфакторная аутентификация — первый и самый важный уровень защиты аккаунта на бирже. Важно понимать разницу между способами:

  • SMS-код — самый слабый вариант: SIM-карту можно перевыпустить мошенническим путём через социальную инженерию оператора связи (SIM swap), полностью обходя эту защиту.
  • Приложение-аутентификатор (Google Authenticator, Authy) — код генерируется локально на устройстве без передачи через сеть оператора, что делает этот способ значительно устойчивее к перехвату.
  • Аппаратный ключ (YubiKey) — физическое устройство для подтверждения входа, обеспечивает максимальный уровень защиты, но требует отдельной покупки.

Если биржа предлагает выбор — всегда выбирайте приложение-аутентификатор или аппаратный ключ вместо SMS.

Seed-фраза: что это и как хранить

Seed-фраза (мнемоническая фраза из 12 или 24 слов) — единственный способ восстановить доступ к некастодиальному кошельку. Тот, кто знает вашу seed-фразу, получает полный доступ к средствам — без пароля, без подтверждения, без возможности что-либо оспорить.

  • Записывайте фразу на бумаге или металлической пластине, а не в заметках на телефоне или скриншотом.
  • Никогда не вводите фразу на сайтах — легитимные сервисы никогда её не запрашивают.
  • Не фотографируйте фразу на устройство, синхронизированное с облаком.
  • Храните несколько физических копий в разных местах для защиты от пожара, затопления или кражи единственного экземпляра.

Подробнее о разнице между типами хранения — в статье горячий и холодный криптокошелёк.

Фишинг в крипте: как распознать

Фишинг остаётся самой распространённой причиной потери средств среди частных пользователей. Типичные схемы включают поддельные сайты бирж с похожим доменом, фейковые формы «подтверждения аккаунта», просящие ввести seed-фразу, и сообщения от «поддержки» в мессенджерах, инициирующие разговор первыми.

  • Всегда проверяйте точный адрес сайта в браузере перед вводом любых данных — фишинговые клоны часто отличаются одной буквой в домене.
  • Помните: поддержка биржи никогда не пишет первой в личные сообщения и никогда не просит seed-фразу или пароль.
  • Не переходите по ссылкам из рекламы в поисковике — фишинговые сайты нередко покупают рекламные позиции над настоящим сайтом биржи.
  • Используйте закладки браузера для входа на биржу вместо поиска через поисковик каждый раз заново.

VPN и антивирус

Использование антивируса с актуальными базами снижает риск заражения устройства вредоносным ПО, способным перехватывать буфер обмена (подменяя скопированный адрес кошелька на адрес злоумышленника) или клавиатурный ввод. VPN не заменяет антивирус, но добавляет уровень защиты при работе с открытыми Wi-Fi сетями, где трафик потенциально может прослушиваться третьими лицами.

Разделение кошельков по назначению

Разумная практика — не хранить весь капитал в одном месте:

  • Кошелёк для повседневных операций — небольшая сумма в горячем кошельке для активного использования.
  • Кошелёк для долгосрочного хранения — основной капитал в холодном устройстве, не подключаемом к интернету без необходимости.
  • Отдельный кошелёк для взаимодействия с новыми DeFi-протоколами — небольшая тестовая сумма, изолированная от основного капитала на случай уязвимости незнакомого смарт-контракта.

Проверка разрешений смарт-контрактов

При взаимодействии с DeFi-протоколами кошелёк запрашивает разрешение на доступ к определённым токенам. Часть вредоносных сайтов запрашивает избыточные разрешения — например, неограниченный доступ ко всему балансу токена вместо конкретной суммы операции. Периодически стоит проверять и отзывать неиспользуемые разрешения через специализированные сервисы вроде Revoke.cash, чтобы не оставлять открытым доступ для протоколов, которыми вы больше не пользуетесь.

Что делать при подозрении на компрометацию

Если есть подозрение, что seed-фраза или пароль от биржи могли стать известны третьим лицам, действовать нужно немедленно: перевести все средства на новый кошелёк с новой seed-фразой, сменить пароль от биржи и всех связанных email-аккаунтов, отозвать активные сессии входа. Промедление здесь критично — злоумышленник может опередить вас.

Безопасность на мобильном устройстве

Смартфон, на котором установлено приложение биржи или мобильный кошелёк, требует не меньшего внимания к безопасности, чем компьютер. Стоит использовать блокировку экрана по биометрии или сложному коду, отключить установку приложений из непроверенных источников (sideloading) и регулярно обновлять операционную систему — большинство критичных уязвимостей закрывается именно через системные обновления, которые многие пользователи откладывают месяцами.

Публичный Wi-Fi и операции с криптовалютой

Совершать операции с криптовалютой — вход в биржу, подтверждение транзакций, работу с кошельком — через публичные сети Wi-Fi (в кафе, аэропортах, отелях) рискованнее, чем через домашнюю сеть или мобильный интернет. Открытые сети легче прослушать третьим лицам, а часть публичных точек доступа и вовсе может быть создана специально для перехвата трафика ничего не подозревающих пользователей. Если операция срочная и другого варианта нет, использование VPN снижает, но не устраняет полностью этот риск.

Социальная инженерия: угроза не только через технологии

Значительная часть успешных атак на криптовалютные аккаунты вообще не связана со взломом технических систем — злоумышленники манипулируют самим человеком. Классические приёмы включают создание искусственной срочности («ваш аккаунт будет заблокирован через 10 минут»), выдачу себя за представителя проекта или биржи в личных сообщениях, и постепенное выстраивание доверия перед тем, как попросить доступ к кошельку под благовидным предлогом. Здоровый скептицизм к любым срочным запросам, особенно от незнакомых аккаунтов, — не менее важная защита, чем 2FA или антивирус.

Безопасность при использовании общедоступного компьютера

Использование криптовалютных сервисов на чужом или общедоступном компьютере (в интернет-кафе, на работе, у знакомых) создаёт риск перехвата данных через уже установленное на устройстве вредоносное ПО, о котором вы не знаете. По возможности стоит избегать входа в биржу или кошелёк с таких устройств вовсе, а если это неизбежно — обязательно выходить из аккаунта после завершения работы и не сохранять пароль в браузере устройства.

Резервное копирование доступа

Помимо seed-фразы кошелька, стоит продумать резервный доступ к почте, привязанной к бирже, и к самому приложению-аутентификатору — многие сервисы генерации 2FA-кодов позволяют экспортировать резервные коды на случай потери телефона. Отсутствие такого резерва — частая причина, по которой пользователи временно теряют доступ к собственным легитимным аккаунтам после смены устройства, что хоть и не является взломом, но создаёт похожий по неприятности эффект.

Итоговый чек-лист безопасности

  • 2FA через приложение-аутентификатор, а не SMS.
  • Seed-фраза записана офлайн в нескольких местах, не сфотографирована.
  • Вход на биржу только через сохранённую закладку, а не поиск.
  • Разделение капитала между горячим и холодным хранением.
  • Регулярная проверка и отзыв неиспользуемых разрешений смарт-контрактов.