Оригинальная статья (https://www.binance.com/en/blog/from-our-ceo/421499824684900429получилась слишком длинной и перегруженной деталями, поэтому я подготовил её краткую версию.
Выбирайте меры безопасности исходя из стоимости ваших активов и уровня технической подготовки. Сосредоточьтесь на трёх главных задачах: защита от кражи, защита от случайной потери и передача средств по наследству.
Самостоятельное хранение
Приватные ключи дают доступ к средствам. Сид-фразы генерируют эти ключи. Любой, кто получит хотя бы одно из них, сможет распоряжаться вашей криптой.
Для самостоятельного хранения нужны защищённые устройства, надёжные резервные копии и работающий план восстановления.
- Защита ключей от кражи
Компьютеры
- Используйте отдельный компьютер без доступа к интернету для хранения ключей и подписания транзакций.
- Устанавливайте ПО только из официальных источников через чистые съёмные носители.
- Проверяйте скачанные файлы на вирусы и известные уязвимости.
- Используйте поддерживаемое ПО, которое позволяет подписывать транзакции офлайн.
- Шифруйте диск и обеспечьте физическую защиту компьютера.
Мобильные телефоны
- Используйте отдельный телефон и сбросьте его до заводских настроек перед установкой кошелька.
- Устанавливайте только необходимое ПО для кошелька; не делайте root и не ставьте джейлбрейк.
- Держите телефон в офлайне, подключаясь к сети только для переводов или обновлений.
- Установите сложный пароль и следите, чтобы телефон всегда был при вас.
- Для полностью офлайновых кошельков заранее продумайте, как безопасно обновлять ПО и переводить средства.
Аппаратные кошельки
- Выбирайте проверенное устройство и защищайте его от кражи и вскрытия.
- Следите за безопасностью компьютера или телефона, к которому оно подключается.
- Перед подтверждением перевода обязательно сверяйте адрес получателя на экране аппаратного кошелька.
- Храните резервные копии так же бережно, как само устройство.
Аппаратные кошельки снижают риск утечки приватных ключей, но всё равно уязвимы к ошибкам в ПО, физическим атакам и небезопасным бэкапам.
- Защита ключей от потери
Сделайте несколько защищённых резервных копий и храните их в разных местах.
- Бумага: легко создать, но легко повредить, потерять, ошибиться при переписывании или дать кому-то подсмотреть.
- Металл: долговечнее, но тоже можно потерять, а посторонние могут прочитать запись.
- Зашифрованные USB-накопители: позволяют хранить копии в разных городах или странах, но требуют надёжного шифрования и технических навыков.
Не фотографируйте ключи и не делайте скриншоты — они могут автоматически загрузиться в облако. Изучите инструменты для резервного копирования и шифрования, ограничьте к ним доступ и убедитесь, что процедура восстановления действительно работает.
- Передача по наследству
Подготовьте процедуру восстановления, которая не поставит ваши средства под угрозу при жизни.
Если вы просто передадите ключи, наследники сразу получат доступ к деньгам, а вместе с ним — новые риски потери или кражи. Хранение ключей у посредника несёт те же угрозы.
«Кнопка мертвеца» (dead man’s switch) может автоматически отправить инструкции, если вы долго не выходите на связь. Тщательно изучите и протестируйте такой сервис, прежде чем на него полагаться.
Не отправляйте незашифрованные ключи или пароли от бэкапов в сообщениях по расписанию. Шифруйте инструкции для наследника — например, с помощью его публичного PGP-ключа. Наследники должны понимать процесс и беречь приватный ключ, необходимый для расшифровки.
Централизованные биржи
Биржа управляет хранением и инфраструктурой, но безопасность аккаунта остаётся вашей зоной ответственности.
Оценивайте репутацию, ресурсы безопасности, подход к тестированию и устойчивость бизнес-модели. Настороженно относитесь к подозрительно щедрым бонусам и непрозрачным источникам дохода. Помните: хранение на бирже — это всегда риск контрагента.
Как защитить аккаунт
1. Защитите компьютер
По возможности используйте отдельный компьютер. Включите антивирус и файрвол, удалите лишний софт и ограничьте скачивание файлов. Не забывайте про безопасность других устройств в той же сети.
Своевременно устанавливайте обновления ОС и приложений. Отключите ненужную автозагрузку файлов в мессенджерах.
2. Защитите почту
Заведите отдельный email для каждой биржи. Включите надёжную двухфакторную аутентификацию, лучше всего — аппаратный ключ безопасности. Не используйте восстановление по номеру телефона: это открывает путь к атакам через подмену SIM-карты (SIM-swap).
3. Используйте уникальные пароли
Придумайте сложный и уникальный пароль для каждого аккаунта и сохраните его в надёжном менеджере паролей. Защищайте устройство, на котором он работает: вредоносное ПО способно обойти любую защиту.
4. Включите двухфакторную аутентификацию
Используйте 2FA для биржи и почты. Коды подтверждения повышают безопасность, но вредоносы и фишинговые сайты умеют их перехватывать или пересылать.
5. Используйте аппаратные ключи безопасности
Там, где это возможно, защищайте аккаунты на бирже, почте и в менеджере паролей аппаратными ключами. Они привязывают аутентификацию к конкретному сайту, что отлично спасает от фишинга.
6. Откажитесь от SMS-аутентификации
Лучше использовать приложения-аутентификаторы или аппаратные ключи. Если злоумышленник перехватит ваш номер, он получит и все SMS-коды.
7. Добавьте адреса в белый список
Разрешите вывод средств только на проверенные адреса — это сильно усложнит жизнь мошенникам.
8. Берегите API-ключи
Держите API-ключи в секрете и блокируйте несанкционированный доступ. При асимметричной аутентификации надёжно храните приватный ключ, а бирже передавайте только публичный.
Утерянные API-ключи обычно можно перевыпустить, а вот для ключей от кошелька нужна отдельная стратегия резервного копирования.
9. Пройдите верификацию личности
Верификация помогает подтвердить право собственности, расследовать подозрительную активность и оформить передачу средств по наследству. Заранее узнайте, какие документы требует биржа.
10. Обеспечьте физическую защиту устройств
Ставьте надёжные блокировки экрана и берегите телефоны, компьютеры, аппаратные кошельки и бэкапы. Один телефон может одновременно открыть доступ к почте, бирже и кодам подтверждения.
11. Остерегайтесь фишинга
Заходите на биржу через надёжные закладки или вручную набирая адрес. Никогда не вводите данные после перехода по ссылкам из неожиданных писем, SMS или сообщений в соцсетях.
Будьте осторожны, если вам внезапно пишут якобы сотрудники биржи или известные люди.
Комбинируйте способы хранения
Распределяйте средства между биржами и личными кошельками с учётом своих технических навыков, привычек безопасности и того, как часто вам нужен доступ к деньгам.
Самостоятельное хранение требует, чтобы вы сами отвечали за защиту и восстановление ключей. Хранение на бирже — доверия к платформе и сильной защиты аккаунта. Отдельный личный кошелёк выручит, когда биржа закрыта на техобслуживание.
