Антифиш-защита до инцидента: 2FA, whitelisting адресов вывода и мультисигнеры

SMS-2FA уязвима для SIM-swap атаки: злоумышленник переоформляет ваш номер телефона на свою SIM-карту через оператора связи (через социальную инженерию или поддельные документы) и перехватывает все SMS. В РФ 2026 года такие случаи фиксируются регулярно. Google Authenticator и аналоги (Authy, Raivo) генерируют одноразовые коды локально на устройстве без передачи через сеть оператора — перехватить их через SIM-swap невозможно. Риск: если телефон с TOTP-приложением украден или сломан без резервных кодов — доступ к аккаунтам потеряете вы сами.

Whitelist (белый список) — функция биржи, которая ограничивает вывод средств только заранее одобренными адресами. При добавлении нового адреса биржа вводит принудительную задержку (обычно 24–48 часов) и отправляет подтверждение на email. Даже если злоумышленник получит доступ к аккаунту, он не сможет вывести средства на свой адрес до истечения задержки — за это время владелец успевает среагировать. Нюанс: whitelist защищает только от несанкционированного вывода с биржи; он не действует на самостоятельные кошельки и DeFi-операции.

Мультиподписной кошелёк (multisig) требует подтверждения транзакции несколькими независимыми ключами по схеме M-из-N: например, 2 из 3 подписантов должны одобрить операцию. Gnosis Safe — наиболее распространённая реализация для EVM-сетей. Если один из ключей скомпрометирован, злоумышленник не может провести транзакцию в одиночку. Multisig особенно оправдан для хранения крупных сумм, корпоративных кошельков и DAO-казначейств. Риск: потеря M и более ключей без резервных схем восстановления означает безвозвратную потерю доступа.

Gnosis Safe разворачивается через app.safe.global: выберите сеть, укажите адреса подписантов и порог M-из-N. Для индивидуального использования стандартная схема — 2 из 3: два аппаратных кошелька (Ledger + Trezor) и один горячий как третий резервный. Порог 2 из 2 максимально безопасен, но рискован при потере одного ключа. Транзакции создаются и подписываются через интерфейс Safe, каждый подписант подтверждает независимо. Нюанс: сам смарт-контракт Safe верифицирован и многократно аудирован, но риск смарт-контракта ненулевой — как у любого on-chain кода.

Продвинутый фишинг работает в реальном времени: жертва вводит логин и TOTP-код на поддельном сайте, скрипт мгновенно передаёт данные злоумышленнику, который входит в настоящий аккаунт до истечения 30-секундного окна TOTP. Защита от этого: использование аппаратного ключа безопасности (YubiKey, FIDO2) вместо TOTP — такой ключ привязан к домену сайта и не сработает на фишинговом клоне. Второй уровень защиты — whitelist с задержкой: даже войдя в аккаунт, злоумышленник не выведет средства мгновенно.

При настройке TOTP большинство бирж выдают резервные коды восстановления — их нужно распечатать и хранить офлайн отдельно от основного устройства. Authy дополнительно поддерживает зашифрованный облачный бэкап кодов с паролем. Если резервных кодов нет — обращение в поддержку биржи с KYC-верификацией: процесс занимает от нескольких дней до нескольких недель. Риск: этот же процесс восстановления через поддержку используется в атаках социальной инженерии — биржи ужесточают проверки, что замедляет легитимные обращения.

Да, одно приложение (Google Authenticator, Authy) хранит TOTP-коды для любого количества аккаунтов. Authy дополнительно поддерживает зашифрованный бэкап и мультиустройственный доступ — это удобнее при смене телефона. Риск: компрометация одного приложения открывает доступ ко всем аккаунтам сразу.