Резервный способ входа на биржу проверяют заранее, а не в день, когда телефон утонул: сверяют одноразовые коды с сохранённой копией, используют один из них при плановом входе и убеждаются, что второй фактор живёт не только на основном устройстве. Такая проверка занимает минуты и стоит дешевле переписки с поддержкой. Ниже — что именно проверять, как это сделать без ошибок и почему контроль над адресами стоит держать отдельно от логина на площадке.
Что вообще считать резервом входа
Основной фактор — то, чем вы входите обычно: приложение-аутентификатор с одноразовыми кодами или аппаратный ключ. Резерв — то, что сработает, если основное устройство сломалось, потерялось или стёрлось:
- одноразовые резервные коды из настроек безопасности биржи;
- дублирующий фактор на независимом устройстве: второй аутентификатор или запасной аппаратный ключ;
- почта для восстановления со своим паролем и собственной защитой.
SMS-код резервом считают с оговоркой: номер могут перевыпустить без владельца, поэтому один SMS-фактор слабая страховка. Набор опций у каждой биржи свой — где-то принимают аппаратные ключи, где-то только коды и TOTP. Смотрите не общие списки, а раздел безопасности своей площадки.
Как проверить одноразовые резервные коды
Аутентификатор считает код по стандартной схеме TOTP:
одноразовый код = TOTP(общий секрет, текущее время)
Секрет известен и приложению, и бирже, код обновляется, как правило, раз в 30 секунд. Отсюда две практические проверки.
- Сверьте копию с оригиналом. Откройте настройки двухфакторной защиты и сравните показанный набор кодов с тем, что сохранён у вас. Если после сохранения коды перегенерировались, старый набор обычно перестаёт работать — тогда копию нужно заменить. Число кодов в наборе у разных площадок различается, поэтому ориентируйтесь на свой список, а не на чужие цифры.
- Протестируйте один код. При ближайшем плановом входе — не специально в разгар торгов — подтвердите вход резервным кодом вместо основного фактора. Коды одноразовые: использованный зачеркните в копии.
Время на телефоне тоже проверяют: если часы сбиты, аутентификатор показывает коды, которые биржа не принимает. Включите автосинхронизацию времени и убедитесь при следующем входе, что код подходит.
Хранят коды отдельно от телефона с аутентификатором. Бумага в защищённом месте или офлайн-менеджер паролей подойдут; скриншот в галерее того же телефона — нет: вместе с устройством пропадут и основной фактор, и резерв.
Второй фактор и контакты восстановления
Дублирующий способ проверяют тем же входом. При плановом входе подтвердите его не основным, а запасным фактором: вторым аутентификатором на другом устройстве или аппаратным ключом-дублёром. Если биржа показывает список активных факторов, запасной должен числиться в нём, а не только в планах.
Дальше — контакты восстановления:
- войдите в почту с другого устройства и проверьте, что пароль актуален, а на самой почте стоит своя двухфакторная защита;
- сверьте номер телефона в профиле: если сим-карта менялась, номер в аккаунте обновляют.
Если 2FA уже потеряна, путь один — обращение в поддержку и подтверждение личности. Процесс у каждой площадки свой и редко бывает мгновенным, поэтому запасной вход дешевле любого восстановления. Отсюда же признак мошенничества: настоящая поддержка не просит одноразовый код и не входит в аккаунт вместо вас. Код вводите только вы и только на странице биржи, а не в ответ на внезапное сообщение «о подозрительной активности».
Пример: отделить вход в аккаунт от контроля адресов
Резервный вход решает одну задачу — вернуть доступ к аккаунту. Он не возвращает контроль над деньгами, если всё завязано на одну площадку. Разделим две вещи.
Доступ к аккаунту — пароль и 2FA. Контроль адресов — ключи от собственных кошельков и адреса, на которые можно вывести средства. Документация разработчиков Bitcoin описывает кошелёк как разделяемую систему: одна программа следит за сетью и готовит неподписанную транзакцию, другая хранит ключи и подписывает её. Подписывающая часть может вообще не подключаться к сети. Смысл в том, что владелец ключей не обязан жить там же, где часть, смотрящая в интернет.
Тот же принцип переносится на биржу. Аккаунт — «сетевая» часть: его восстановят через поддержку, пусть и не сразу. Контроль долгосрочных адресов должен жить отдельно — в кошельке, который не зависит от логина ни паролем, ни почтой, ни сим-картой. Тогда потеря 2FA — это задержка доступа к торговому счёту, а не потеря сбережений.
Условный сценарий
Пусть у трейдера основной TOTP стоит на телефоне, второй аутентификатор — на старом устройстве без сим-карты, резервные коды — 8 штук (условный пример, у разных бирж набор отличается) — на бумаге, а белый список адресов вывода, если площадка его поддерживает, ведёт на собственный кошелёк. Телефон утонул: вход по бумажному коду, торговля через второй аутентификатор, долгосрочные средства недосягаемы ни для какого исхода с биржевым логином. Потеря телефона обошлась в минуту неудобства.
Границу с соседней темой фиксируем честно: холодный кошелёк биткоин — это задача хранения ключей офлайн, отдельный материал. Здесь речь о входе на биржу; где проходит линия между торговым счётом и хранением, разобрано в статье о том, как хранить биткоин безопасно. А если сомнение вызывает сама площадка, это проверяют другими способами — например, разбираются, что показывают Proof of Reserves криптобиржи.
Чего не делать
- Не держать резервные коды и аутентификатор на одном устройстве.
- Не считать SMS достаточным резервом.
- Не перегенерировать коды «на всякий случай» без замены сохранённой копии — старый набор, скорее всего, аннулируется.
- Не передавать коды никому, включая тех, кто сам представился поддержкой.
- Не откладывать проверку до форс-мажора: тест делают в спокойном режиме.
Короткий чек-лист
- Сверьте сохранённые резервные коды с показанными в настройках безопасности.
- Используйте один код при плановом входе и зачеркните его в копии.
- Подтвердите вход запасным фактором, а не основным.
- Войдите в почту восстановления с другого устройства и проверьте её защиту.
- Убедитесь, что долгосрочные адреса контролирует собственный кошелёк, а не только аккаунт биржи.
После этого потеря телефона остаётся неприятностью с понятным планом действий, а не вопросом «остались ли у меня деньги».