Двухфакторная защита

Пароль — это то, что можно узнать, не приближаясь к вам. Его подбирают по утечкам чужих баз, вылавливают с поддельной страницы биржи, читают с заражённого компьютера. Во всех этих историях пароль оказывается у постороннего человека, а вы об этом не знаете — до момента, когда счёт уже пуст.

Второй фактор ломает эту схему. Даже зная пароль, войти в аккаунт нельзя: нужен ещё и одноразовый код, который живёт тридцать секунд и берётся с вашего телефона. Настройка занимает пять минут и делается один раз.

Предыдущая глава заканчивалась на экране верификации. Эта — первое, чем стоит заняться на новом аккаунте, ещё до пополнения счёта.

Что понадобится

• Телефон с приложением-аутентификатором. Подойдёт Google Authenticator, Binance Authenticator или любой другой — они работают по одному стандарту. Установить его лучше заранее, до того как биржа покажет QR-код.
• Доступ к почте и телефону, привязанным к аккаунту. Биржа попросит подтвердить и то, и другое, прежде чем покажет ключ.
• Место, где вы сохраните резервный ключ. Не «потом придумаю» — решите это до начала. Ниже объясню, почему это самый важный пункт списка.

Почему приложение, а не SMS

SMS кажется проще: ничего не устанавливать, код приходит сам. Но у номера телефона есть свойство, которого нет у приложения — его можно получить, не трогая ваш телефон.

Схема называется подменой SIM-карты: человек приходит к оператору с вашими данными, объясняет, что «потерял симку», и получает новую с тем же номером. Ваша перестаёт работать, а все SMS с кодами теперь приходят ему. Данные для такого визита собираются из тех же утечек, что и пароли.

Приложение-аутентификатор к номеру не привязано вообще. Оно считает коды само, по ключу, который лежит внутри телефона, и работает без связи и без интернета. Забрать этот ключ дистанционно нельзя — нужен сам аппарат.

Поэтому дальше в главе — приложение. SMS на Binance тоже есть, и как запасной способ он лучше, чем ничего, но основным его делать не стоит.

Шаг 1. Открыть раздел Security

Настройки защиты собраны в одном месте: Account → Security. На новом аккаунте раздел выглядит так — двухфакторка выключена, и биржа сама об этом предупреждает.

Обратите внимание на верхнюю строку — Security Checkup. Это чеклист самой биржи: она перечисляет способы защиты и показывает, какие из них у вас включены. К концу гайда там должны стоять все отметки; сейчас занимаемся первой.

Нас интересует строка Authenticator App. Напротив неё — состояние Off и кнопка Manage.

Шаг 2. Начать подключение

Кнопка ведёт на отдельную страницу с коротким объяснением и предложением скачать приложение, если его ещё нет.

Выпадающий список наверху — выбор приложения для скачивания, а не выбор способа защиты. Ставить именно Binance Authenticator необязательно: любой аутентификатор, работающий по стандарту TOTP, подойдёт одинаково хорошо.

Установили приложение — нажимайте Enable Authenticator App.

Шаг 3. Подтвердить, что это вы

Прежде чем показать ключ, биржа убеждается, что за экраном сидит владелец аккаунта. Логика простая: если бы ключ выдавали любому, кто знает пароль, второй фактор не защищал бы ни от чего.

Сначала телефон. Биржа спрашивает, куда прислать код.

Потом почта — тот же шестизначный код, что и при регистрации.

Оба кода одноразовые и с коротким сроком жизни. Если замешкались — запросите новый, повторный ввод старого не сработает.

Шаг 4. Привязать приложение

Дальше биржа показывает QR-код и под ним тот же ключ строкой из букв и цифр. Это одно и то же, записанное двумя способами: QR — чтобы навести камеру, строка — чтобы ввести руками, если камера не работает.

Скриншота этого экрана в гайде нет, и это не упущение. Ключ на нём — и есть ваш второй фактор. Кто угодно, кто его увидит, заведёт себе такой же аутентификатор и будет генерировать те же коды, что и вы. Показать вам чужой ключ картинкой мы не можем, а закрашенный QR-код — это белый квадрат, который ничего не объясняет.

Запомните это свойство: экран с ключом нельзя фотографировать, отправлять и показывать никому. Ни в чат поддержки, ни другу, ни в скриншот для инструкции — вообще никому.

Что нужно сделать на этом экране:

1. Открыть приложение-аутентификатор, выбрать добавление аккаунта и навести камеру на QR-код. В приложении появится строка «Binance» с шестизначным числом, которое меняется каждые тридцать секунд.
2. Сохранить резервный ключ — ту самую строку под кодом. Это единственный способ восстановить доступ, если с телефоном что-то случится.
3. Нажать Next.

Про резервный ключ — самое важное в главе

Резервный ключ восстанавливает второй фактор на новом телефоне. Потеряли аппарат, разбили, сбросили до заводских настроек, сменили на новый и забыли перенести аутентификатор — во всех этих случаях ключ вернёт доступ за минуту. Без него придётся проходить восстановление через поддержку: с документами, ожиданием и заморозкой вывода средств на несколько дней.

Куда его положить:

Скриншот ключа в галерее обесценивает всю затею целиком. Смысл второго фактора в том, что пароль и ключ лежат в разных местах и не попадают в чужие руки одновременно. Ключ в облаке рядом с почтой — это снова одно место, просто вы потратили на его создание пять минут.

Шаг 5. Подтвердить кодом из приложения

Биржа проверяет, что привязка удалась: просит ввести шестизначное число, которое сейчас показывает приложение.

Если код не принимается, а вы уверены, что вводите правильный, дело почти всегда во времени: аутентификатор считает коды по часам телефона, и если они убежали на минуту, числа не совпадут. Лечится включением автоматической установки времени в настройках телефона.

Шаг 6. Проверить, что всё встало на место

После подтверждения аутентификатор появляется в списке привязанных с датой подключения.

А в разделе Security строка Authenticator App меняет состояние на On.

Теперь при входе биржа будет спрашивать код из приложения после пароля. Тот же код попросят при выводе средств и при изменении настроек безопасности — это нормально и означает, что защита работает.

Проверьте её сразу, не откладывая: выйдите из аккаунта и зайдите заново. Убедиться, что вход работает, лучше сейчас, пока вы за компьютером и всё помните, — а не через месяц, когда понадобится срочно вывести деньги.

Если телефон потерян

Порядок действий зависит от того, сохранили ли вы резервный ключ.

Ключ сохранён. Установите аутентификатор на новом телефоне, выберите добавление аккаунта вручную и введите ключ строкой. Приложение начнёт показывать те же коды, что и старое. Ничего отвязывать и настраивать заново не нужно.

Ключа нет. Остаётся восстановление через поддержку биржи. Понадобится подтвердить личность документами, а вывод средств на время проверки заблокируют — обычно на несколько дней. Аккаунт вы вернёте, но быстро не получится.

Телефон украли. Помимо восстановления доступа смените пароль и проверьте историю входов в разделе Security. Если аутентификатор остался на украденном аппарате и был не защищён кодом блокировки, отвяжите его и привяжите заново на новом телефоне.

Отдельно стоит сказать про сам телефон: аутентификатор защищает биржевой аккаунт, но сам живёт за экраном блокировки. Телефон без пароля превращает второй фактор в формальность — тот, кто его подобрал, откроет приложение и увидит коды.

Частые ошибки

Оставить SMS основным способом. Номер уводят подменой SIM-карты, и вместе с ним уходят все коды. Приложение к номеру не привязано.

Не сохранить резервный ключ. Самая дорогая ошибка в этой главе. Пока телефон цел, она ничего не стоит и потому не замечается — счёт приходит в тот день, когда телефон теряется.

Сохранить ключ скриншотом в телефоне. Галерея уезжает в облако, облако открывается почтой, почта — паролем, который вы как раз и защищали вторым фактором. Круг замкнулся.

Отложить проверку входа. Настроили и не перепроверили — узнаете о проблеме в худший момент. Выйдите и зайдите заново прямо сейчас.

Сменить телефон, не перенеся аутентификатор. Приложения не всегда переезжают вместе с остальными данными. Перед сбросом старого аппарата убедитесь, что коды генерируются на новом.

Дальше

Двухфакторка закрывает вход в аккаунт, но не закрывает вопрос, как вас попробуют обмануть до входа. Следующая глава гайда — про антифишинг-код и белый список адресов вывода: первый показывает, что письмо действительно от биржи, второй не даёт увести деньги на чужой кошелёк, даже если пароль всё-таки утёк.

На странице есть партнёрские ссылки: если вы зарегистрируетесь по ним, сайт получит комиссию. Для вас это ничего не удорожает.