Двухфакторная защита: когда 2FA-приложение лучше SMS для биржи

Статья: Двухфакторная защита: когда 2FA-приложение лучше SMS для биржи

У каждого второго инцидента с кражей криптовалюты история начинается одинаково: «пришёл код в SMS, я его ввёл, а потом аккаунт опустел». SIM-своппинг — подмена SIM-карты через социальную инженерию — остаётся одной из самых рабочих схем против держателей биржевых аккаунтов. И пока вы защищаете сид-фразу в сейфе, вход на биржу может висеть на честном слове оператора сотовой связи и продавца из салона связи.

Хорошая новость: переход с SMS-кодов на TOTP-приложение (Google Authenticator, Authy, 2FAS и аналоги) занимает 10–15 минут и закрывает целый класс атак. Плохая: если сделать это бездумно, можно самому себя запереть из аккаунта при смене телефона.

В этой статье разберём, чем SMS хуже TOTP на практике, как правильно настроить аутентификатор, куда сохранить резервные коды и что сделать до того, как вы продадите старый телефон.

Почему SMS — слабое звено в цепочке защиты

SMS-код технически является вторым фактором, но канал его доставки — публичная сотовая сеть с уязвимостями:

• SIM-своппинг. Злоумышленник убеждает оператора перевести ваш номер на новую SIM-карту. Дальше все SMS, включая коды от биржи, приходят ему. На восстановление контроля над номером уходит от нескольких часов до дней — за это время аккаунт уже пуст.
• Перехват через SS7. Уязвимости сигнального протокола сотовых сетей позволяют перенаправлять SMS без физического доступа к SIM-карте.
• Фишинг в реальном времени. Поддельная страница биржи запрашивает код, вы вводите его — у атакующего есть окно в 30–60 секунд, чтобы им воспользоваться.

TOTP-приложение генерирует код на самом устройстве, без участия сети. Номер телефона атакующему не нужен — нужен ваш телефон или секретный ключ. Порог атаки поднимается радикально.

Правило: безопасность аккаунта равна безопасности его самого слабого фактора. Если 2FA держится на SMS — весь аккаунт держится на SMS.

Практический пример: сколько стоит слабая 2FA

Сценарий, собранный из типичных обращений: инвестор держит на бирже портфель на 850 000 ₽. Вход защищён паролем и SMS. Атакующий делает SIM-своп в ночь с пятницы на субботу, меняет пароль и выводит средства.

Расчёт потерь:

• Портфель: 850 000 ₽.
• Успешный вывод за ночь: ~100% суммы, то есть до 850 000 ₽ (лимиты биржи обходятся выводом в несколько транзакций или через P2P).
• Время реакции жертвы: 9–14 часов (выходные, поддержка оператора не работает).
• Шанс вернуть средства через биржу: близок к нулю — транзакции технически легитимны, злоумышленник прошёл 2FA.

Теперь тот же аккаунт с TOTP-приложением: атакующему нужен физический доступ к разблокированному телефону. SIM-своп бесполезен. Экономия: до 850 000 ₽ за 15 минут настройки — лучшая «доходность» в вашей практике.

Как настроить TOTP-аутентификатор: пошагово

Шаг 1. Выберите приложение

• Google Authenticator — простой, бесплатный, без облака (с 2023 года появилась резервная синхронизация — отключите её, если хотите полный офлайн-контроль).
• 2FAS — open source, бесплатный, с шифрованным бэкапом.
• Aegis (Android) — open source, локальное шифрование, экспорт зашифрованного файла.
• Authy — удобный вариант с синхронизацией между устройствами, но привязан к номеру телефона, что частично возвращает исходный риск.

Шаг 2. Активируйте 2FA на бирже

1. Зайдите в настройки безопасности биржи → «Двухфакторная аутентификация».
2. Биржа покажет QR-код и (не всегда) текстовый секретный ключ.
3. Отсканируйте QR-код приложением.
4. Введите сгенерированный 6-значный код для подтверждения.
5. Критично: сохраните резервные коды восстановления, которые биржа выдаст после активации.

Шаг 3. Сохраните секретный ключ отдельно

Если биржа показывает текстовый ключ (строка вида JBSW Y3DP EHPK 3PXP), запишите его ручкой на бумаге. Этот ключ позволяет воссоздать коды на любом устройстве без доступа к старому телефону.

Резервные коды: три копии, три места

Резервные коды восстановления — это ваш аварийный выход, если телефон утонул, сломался или потерялся. Стандарт надёжности:

• Бумажная копия дома — в запертом ящике, не в фото на телефоне.
• Бумажная копия у доверенного человека или в банковской ячейке.
• Цифровая копия в зашифрованном файле (например, зашифрованный контейнер с паролем длиной 15+ символов) на флешке, не подключённой к интернету.

Чек-лист проверки:

• [ ] Резервные коды сохранены минимум в двух физических местах
• [ ] Секретный ключ TOTP записан отдельно от резервных кодов
• [ ] Коды не хранятся в заметках телефона в открытом виде
• [ ] Коды не отправлялись себе в мессенджер или на почту
• [ ] Вы проверили: хотя бы один резервный код реально работает (протестируйте вход и сразу аннулируйте использованный, если биржа одноразовые коды не обновляет)

Смена телефона: порядок действий

Вот где чаще всего теряют доступ. Правильная последовательность:

1. До продажи/сброса старого телефона: добавьте второе TOTP-приложение на новом устройстве, отсканировав тот же секретный ключ с бумажной записи. Проверьте, что оба приложения показывают одинаковые коды.
2. Если ключа нет — на большинстве бирж есть функция «перенести 2FA»: активируете новый через подтверждение старым.
3. Убедитесь, что вход работает с нового телефона: войдите, выйдите, войдите снова.
4. Удалите записи 2FA из старого аутентификатора, сделайте выход из биржи на всех устройствах (в настройках безопасности есть «активные сессии»).
5. Только после этого сбрасывайте/продаёте старый телефон.

Типичные ошибки:

• Продать телефон, не отключив 2FA и не проверив перенос — восстановление через поддержку займёт от 3 дней до 3 недель с селфи, паспортом и видеообращением, и не факт, что пройдёт с первого раза.
• Хранить все коды только в приложении на единственном телефоне.
• Включить облачную синхронизацию аутентификатора под слабым паролем облака.

SMS-код или TOTP: сводная таблица решений

| Ситуация | Рекомендация | |---|---| | Аккаунт биржи с суммой от ~50 000 ₽ | TOTP обязательно, SMS отключить как канал | | Биржа не поддерживает TOTP | Усилить защиту номера: пароль на SIM, ограничение действий через офис оператора | | Частые поездки без роуминга | TOTP работает офлайн — плюс к надёжности | | Общий/корпоративный аккаунт | Аппаратный ключ (YubiKey и аналоги), если биржа поддерживает |

SMS лучше оставить только как запасной канал на площадках, где TOTP недоступен, и никогда — как основной на серьёзных суммах.

FAQ

Можно ли использовать одно TOTP-приложение для всех бирж и сервисов? Да, это удобно и нормально. Главное — записывайте секретные ключи каждого сервиса отдельно: при потере телефона вы восстановите доступ по ключам, а не будете восстанавливать пять аккаунтов через пять поддержек.

Что делать, если телефон потерян, а резервных кодов нет? Начинайте процесс восстановления через поддержку биржи немедленно: подготовьте документы, видеообращение (многие биржи просят), описание недавних операций. Параллельно заморозьте вывод средств, если такая функция есть, и смените пароль. На будущее — секретные ключи на бумаге решают эту проблему за минуту.

Google Authenticator с облачной синхронизацией — это безопасно? Приемлемо, если аккаунт Google защищён сильным паролем и собственной 2FA (желательно не через SMS). Но для биржевых аккаунтов с крупными суммами более надёжны офлайн-приложения (Aegis, 2FAS без облака) с бумажной записью ключей: облако — дополнительная поверхность атаки, бумага в ящике — нет.

Тратить 15 минут на TOTP и 5 минут на запись ключей на бумагу — самая выгодная сделка в крипте: вы покупаете иммунитет к целому классу атак за ноль рублей. Сделайте это сегодня, до того, как это станет срочным.