Bezpieczeństwo konta WEEX: pięciominutowa konfiguracja, którą warto wykonać

Bezpieczeństwo giełdy to w rzeczywistości dwa oddzielne systemy, a większość poradników miesza je w jeden.

Jedna połowa należy do platformy: sposób przechowywania aktywów klientów, monitorowanie aktywności przez silnik ryzyka oraz to, czy rezerwy są publikowane i możliwe do zweryfikowania. Możesz to ocenić, ale nie możesz tego skonfigurować.

Druga połowa dotyczy dostępu do Twojego konta i całkowicie zależy od Ciebie. To właśnie tutaj dochodzi do przytłaczającej większości strat indywidualnych — nie w wyniku włamania na platformę, lecz przez dane uwierzytelniające, które trafiły w ręce innej osoby. To dobra wiadomość, ponieważ Twoja część sprowadza się do jednorazowej konfiguracji. Oto ona, uporządkowana według tego, jak dużą ekspozycję usuwa każde ustawienie.

Używaj aplikacji uwierzytelniającej, nie SMS-ów

Jeśli zmienisz jedną rzecz, zmień właśnie to.

Kody wysyłane SMS-em są podatne na przejęcie numeru SIM — atakujący przekonuje operatora komórkowego, aby przeniósł Twój numer na urządzenie, nad którym ma kontrolę. Od tego momentu każdy kod przeznaczony dla Ciebie trafia na jego telefon. Nie wymaga to zaawansowanych umiejętności technicznych i całkowicie obchodzi uwierzytelnianie dwuskładnikowe oparte na SMS-ach.

Aplikacja uwierzytelniająca generuje kody na Twoim urządzeniu na podstawie zapisanego klucza początkowego. Nic nie przechodzi przez sieć komórkową, więc nie ma czego przechwycić ani przekierować.

Podczas konfiguracji dopilnuj dwóch rzeczy:

Przechowuj kody zapasowe offline. Zapisz je i trzymaj w fizycznie bezpiecznym miejscu. Jeśli stracisz urządzenie i nie będziesz ich mieć, odzyskanie dostępu stanie się znacznie trudniejsze.

Nigdy nie wpisuj kodu nigdzie poza prawdziwym ekranem logowania. Żaden pracownik pomocy technicznej, niezależnie od kanału, nie ma uzasadnionego powodu, aby o niego prosić. Kod odczytany rozmówcy przez telefon to kod, który rozmówca wpisuje do prawdziwego formularza logowania, gdy nadal z Tobą rozmawia.

Ustaw białą listę adresów wypłat

To najcenniejsze ustawienie na tej liście i jednocześnie najczęściej pomijane, ponieważ jego korzyść staje się widoczna dopiero wtedy, gdy jest naprawdę potrzebna.

Biała lista ogranicza wypłaty do adresów wcześniej zatwierdzonych przez Ciebie. Jej wartość ujawnia się po przejęciu konta: atakujący, który całkowicie przejął Twoje konto, nadal nie może wysłać środków na adres nieznajdujący się na liście, a dodanie nowego adresu uruchamia własny proces bezpieczeństwa z dołączonym opóźnieniem.

Właśnie to opóźnienie ma znaczenie. Zamienia natychmiastową, nieodwracalną kradzież w czas, w którym możesz ją zauważyć i zareagować. Prawie żadne inne zabezpieczenie konta nie daje Ci czasu po tym, jak atakujący już uzyska dostęp.

Skonfiguruj ją, gdy wszystko jest spokojne, dodaj faktycznie używane adresy i pozostaw ją włączoną.

Ogranicz zakres kluczy API albo je usuń

Klucze API są tutaj najcichszym trybem awarii, ponieważ przejęty klucz nie wygląda jak przejęcie konta. Nie ma nieznanego logowania ani alertu. Klucz po prostu zachowuje się tak jak Ty.

Trzy zasady:

Nigdy nie przyznawaj uprawnień do wypłat, chyba że wymaga tego konkretny proces. Uprawnienia do handlu i wypłat są rozdzielone z konkretnego powodu. Ujawniony klucz z dostępem do odczytu i handlu oznacza zły dzień; ujawniony klucz z prawem do wypłat oznacza opróżnione konto.

Powiąż klucze z konkretnymi adresami IP, jeśli narzędzie to obsługuje. Już samo to sprawia, że skradziony klucz staje się w dużej mierze bezużyteczny w innym miejscu.

Usuń wszystko, czego nie używasz. Klucze utworzone dla bota przetestowanego raz albo dla porzuconego narzędzia do śledzenia portfela pozostają aktywne do chwili ich unieważnienia. Okresowo przeglądaj listę i usuwaj wszystko, czego nie potrafisz natychmiast wyjaśnić.

Instaluj wyłącznie z oficjalnych źródeł

Aplikacja widzi to, co wpisujesz, dlatego nieoficjalna wersja oznacza szerszy zakres zaufania niż dowolna strona internetowa.

Instaluj wyłącznie z oficjalnej strony pobierania WEEX oraz ze wskazanych tam sklepów z aplikacjami. Zmodyfikowane wersje krążą na czatach grupowych i klonowanych stronach pobierania, a następnie przechwytują dane logowania i kody uwierzytelniające bezpośrednio na urządzeniu — tam, gdzie ostrożność po stronie witryny już nie wystarcza.

Jeśli ktoś wyśle Ci instalator bezpośrednio, nie jest to wygoda. To atak.

Ustaw znacznik antyphishingowy i wiedz, co potwierdza

Znacznik antyphishingowy to wybrana przez Ciebie fraza, którą WEEX umieszcza w swoich prawdziwych wiadomościach e-mail. Wiadomość podająca się za wiadomość od WEEX, która nie zawiera Twojej frazy, nie pochodzi od WEEX.

Zrozum, w którą stronę działa to zabezpieczenie, ponieważ łatwo je błędnie zinterpretować. Znacznik informuje, że e-mail nie jest autentyczny. Nie weryfikuje niczego wysłanego przez Telegram, SMS, rozmowę telefoniczną ani media społecznościowe — żaden z tych kanałów go nie zawiera. W takich przypadkach użyj narzędzia weryfikacji kontaktu, które obejmuje strony internetowe, adresy e-mail, numery telefonów, identyfikatory Telegrama i konta społecznościowe.

Niezależnie od znacznika: pomoc WEEX odpowiada na zgłoszenia otwarte przez Ciebie. Nie kontaktuje się z użytkownikami jako pierwsza i żaden prawdziwy przedstawiciel nigdy nie poprosi Cię o przelanie środków ani aktywów cyfrowych jemu, WEEX lub jakiejkolwiek stronie trzeciej.

Co obejmuje zabezpieczenie po stronie platformy, a czego nie obejmuje

Dla pełnego obrazu — chodzi o połowę, której nie możesz skonfigurować. WEEX oddziela przechowywanie w zimnych i gorących portfelach, stosując ochronę wielopodpisową po stronie zimnych portfeli, utrzymuje aktywa użytkowników oddzielnie od środków operacyjnych, stale monitoruje ryzyko związane z aktywnością na kontach oraz publikuje Proof of Reserves, pokazujący rezerwy platformy w stosunku do zasobów użytkowników wraz ze znacznikiem czasu migawki i wysokością bloku. WEEX posiada licencje w wielu jurysdykcjach i nadal rozwija swoją strategię licencyjną.

Istnieje również Fundusz Ochronny w wysokości 1,000 BTC, przechowywany w publicznych portfelach i oddzielony od środków operacyjnych. Przeczytaj jego zakres, zanim na nim polegasz: jest przeznaczony na straty powstałe bez winy użytkownika i nie obejmuje strat handlowych, transakcji, do których wykonania zostałeś oszukany lub które autoryzowałeś omyłkowo, pozornie nieautoryzowanych transakcji, w przypadku których nie doszło do zewnętrznego transferu, ani strat związanych z oszustwem lub nadużyciem platformy.

Właśnie dlatego powyższa lista wyłączeń pokazuje, jak ważnych jest pięć ustawień. Architektura po stronie platformy rozwiązuje problemy związane z awariami platformy. Wypłata, do której wykonania Cię przekonano, jest autoryzowaną transakcją, a jedyną kontrolą, która może ją zatrzymać, jest ta skonfigurowana wcześniej.

Zrób to raz

Aplikacja uwierzytelniająca zamiast SMS-ów. Biała lista wypłat włączona. Klucze API z ograniczonym zakresem lub usunięte. Tylko oficjalne instalatory. Ustawiony znacznik antyphishingowy oraz jasne rozumienie tego, co potwierdza, a czego nie.

Pięć minut, jeden raz — i przestaje Cię dotyczyć zdecydowana większość sposobów, na które faktycznie tracone są konta indywidualne.

FAQ

1. Czy uwierzytelnianie dwuskładnikowe przez SMS jest wystarczające?

Jest wyraźnie słabsze niż aplikacja uwierzytelniająca. Przejęcie numeru SIM pozwala atakującemu odbierać Twoje kody przez przeniesienie numeru telefonu na jego urządzenie, co całkowicie obchodzi weryfikację SMS. Aplikacja uwierzytelniająca generuje kody lokalnie, więc nic nie przechodzi przez sieć komórkową.

2. Co właściwie robi biała lista adresów wypłat?

Ogranicza wypłaty do adresów zatwierdzonych wcześniej przez Ciebie. Jej prawdziwa wartość ujawnia się po przejęciu konta: atakujący znajdujący się na Twoim koncie nie może wypłacić środków na nowy adres bez przejścia procesu jego dodawania, który wiąże się z opóźnieniem. To opóźnienie daje Ci czas na reakcję.

3. Czy klucz API może opróżnić moje konto?

Tylko jeśli ma uprawnienia do wypłat. Przyznawaj uprawnienia handlowe bez uprawnień do wypłat, chyba że konkretny proces wymaga inaczej, powiąż klucze ze stałymi adresami IP, jeśli jest to obsługiwane, i usuń każdy klucz, którego aktywnie nie używasz.

4. Przed czym chroni mnie znacznik antyphishingowy?

Konkretnie przed fałszywymi wiadomościami e-mail. Prawdziwy e-mail WEEX zawiera ustawioną przez Ciebie frazę; wiadomość bez niej nie pochodzi od WEEX. Nie zapewnia ochrony w Telegramie, SMS-ach, rozmowach telefonicznych ani mediach społecznościowych — weryfikuj je pod adresem weex.com/official-verification.

5. Skąd powinienem pobrać aplikację WEEX?

Wyłącznie z weex.com/download oraz ze wskazanych tam sklepów z aplikacjami. Instalatory udostępniane na czatach grupowych lub na stronach pobierania otwieranych z linku są częstą drogą rozpowszechniania wersji wykradających dane logowania.

6. Jeśli moje konto zostanie przejęte, czy Fundusz Ochronny mi zwróci środki?

Nie automatycznie i nie w najczęstszych sytuacjach. Fundusz jest przeznaczony na straty powstałe bez winy użytkownika, takie jak incydent bezpieczeństwa po stronie platformy. Nie obejmuje transakcji, do których wykonania zostałeś oszukany lub które autoryzowałeś omyłkowo, strat handlowych ani strat związanych z oszustwem lub nadużyciem platformy. Roszczenia należy kierować na [email protected] w ciągu 30 dni.

7. Co powinienem zrobić najpierw, jeśli podejrzewam, że moje konto zostało już przejęte?

Zmień hasło na zaufanym urządzeniu, zresetuj uwierzytelnianie dwuskładnikowe, unieważnij wszystkie klucze API, sprawdź białą listę wypłat pod kątem wpisów, których nie dodawałeś, i skontaktuj się z pomocą przez oficjalne kanały, podając znaczniki czasu oraz szczegóły. Jeśli podpisałeś zatwierdzenie portfela, unieważnij je na poziomie portfela — zmiana hasła nie cofa zatwierdzenia on-chain.

Ostrzeżenie dotyczące ryzyka

Aktywa kryptograficzne charakteryzują się wysoką zmiennością, a handel nimi może prowadzić do częściowej lub całkowitej utraty kapitału. Żadne informacje zawarte tutaj nie stanowią porady inwestycyjnej, prawnej ani podatkowej. Opisane ustawienia ograniczają typowe ścieżki ataków, ale nie eliminują ryzyka związanego z bezpieczeństwem konta, a żadna konfiguracja nie uodparnia konta na przejęcie. Transakcje blockchain są nieodwracalne: środków przeniesionych przez atakującego lub za pomocą podpisanego przez Ciebie zatwierdzenia zasadniczo nie można odzyskać przez WEEX, organy ścigania ani żadną usługę odzyskiwania. Odpowiedzialność za bezpieczeństwo danych uwierzytelniających, urządzenia i przechowywanie kodów odzyskiwania spoczywa na właścicielu konta. Fundusz Ochronny WEEX nie obejmuje strat handlowych, transakcji, do których autoryzacji zostałeś oszukany, ani strat wynikających z oszustwa lub nadużycia platformy. Funkcje produktów i opcje bezpieczeństwa mogą się zmieniać; potwierdź aktualne ustawienia bezpośrednio na platformie. Odpowiadasz za zapewnienie, że korzystanie z usług WEEX jest zgodne z prawem obowiązującym w Twojej jurysdykcji.