Whitelist адресов на бирже: как настроить и не заблокировать себе вывод
Whitelist адресов на бирже: как настроить и не заблокировать себе вывод
Whitelist адресов вывода — функция, которая позволяет бирже отправлять ваши средства только на заранее одобренные вами адреса. Если злоумышленник получит доступ к аккаунту (украдёт пароль, перехватит 2FA через фишинг), он не сможет вывести криптовалюту на свой кошелёк: адрес просто не пройдёт проверку. По сути, это второй замок на двери, который не открывается тем же ключом, что и первый.
Боль знакома многим: вы храните часть портфеля на бирже — ради удобства, скорости или стейкинга. А потом читаете истории о том, как у кого-то за 15 минут «увели» всё: фишинговый сайт собрал логин и код из Google Authenticator, атакующий вошёл в аккаунт и вывел активы на неизвестный адрес. Белый список разрывает этот сценарий: даже с полным доступом к аккаунту вор упирается в стену.
В этой статье разберём, как включить whitelist на крупнейших биржах, как правильно настроить период охлаждения и какие ошибки совершают пользователи (включая самоблокировку вывода). Всё — с конкретными шагами и цифрами.
Что такое whitelist и почему это работает
Whitelist (белый список адресов вывода) — это перечень доверенных адресов, на которые биржа разрешает отправлять криптовалюту. Пока функция активна, вывод на любой адрес вне списка невозможен.
Ключевой момент — принцип разных каналов подтверждения. Взлом аккаунта обычно означает, что атакующий контролирует почту и 2FA. Но добавление нового адреса в whitelist требует отдельного подтверждения (обычно по e-mail с задержкой в 24–72 часа), а само включение функции часто требует периода ожидания перед деактивацией. Это окно, в котором вы успеваете заметить атаку и заблокировать выводы.
Для сравнения: без whitelist атакующему достаточно 5–15 минут от входа до вывода. С whitelist ему нужно: добавить адрес → выждать 24–72 часа охлаждения → надеяться, что вы не проверите почту и не заметите письмо от биржи. На практике большинство атак на этом этапе проваливается.
Правило: whitelist работает как замок, только если вы замечаете письма от биржи. Настройте отдельную папку и push-уведомления для писем биржи — иначе вы не узнаете, что кто-то пытается добавить адрес.
Как включить whitelist на популярных биржах
Binance
- Войдите в аккаунт → «Кошелёк» → «Безопасность» (или «Обзор аккаунта»).
- Найдите пункт «Управление адресами вывода» / «Whitelist адресов».
- Нажмите «Добавить адрес вывода», выберите сеть (важно!), вставьте адрес, задайте метку (например, «Ledger BTC»).
- Подтвердите через e-mail + 2FA. Новый адрес активируется через 24 часа.
- Включите переключатель «Разрешить вывод только на адреса из белого списка» — это ключевой шаг, без него список просто декоративный.
Bybit
«Аккаунт и безопасность» → «Адреса вывода» → добавить адрес → подтверждение по почте → включить опцию «Разрешить вывод только на внесённые в белый список адреса». Период охлаждения на Bybit — 24 часа на новый адрес, на снятие whitelist — 72 часа.
OKX и другие
Логика одинаковая: раздел безопасности → «Whitelist вывода» → добавить адрес → активировать ограничение. На OKX новый адрес требует подтверждения по почте и на почтовый сервис с проверкой устройства; деактивация списка — до 24 часов ожидания.
Важно: точные сроки и пункты меню периодически меняются — сверяйтесь с актуальной справкой биржи. Принцип везде один.
Периоды охлаждения: главный рычаг защиты
Период охлаждения (cooling-off / retention period) — это задержка между действием и его вступлением в силу. Он бывает двух видов:
- На добавление нового адреса — обычно 24 часа. В это время вывод на адрес ещё невозможен.
- На отключение whitelist — от 24 до 72 часов. Именно он спасает, если вор уже внутри аккаунта и хочет убрать ограничение.
Правило настройки: максимизируйте оба таймера там, где биржа это позволяет. Чем длиннее период отключения, тем больше у вас времени заметить атаку.
Практический пример с расчётом
Допустим, у вас на бирже портфель на 800 000 ₽ (примерно 0,12 BTC + немного ETH и SOL). Сценарий: в понедельник в 14:00 фишинговый сайт перехватил ваши логин и код 2FA.
- Без whitelist: атакующий входит в 14:05, в 14:20 выводит всё на свой адрес (15 минут от входа — в пределах типичных 5–15 минут). Потеря: 800 000 ₽. Обнаружите вы это к вечеру — будет поздно: транзакции в блокчейне необратимы.
- С whitelist (охлаждение 24 ч на адрес, 72 ч на отключение): атакующий входит в 14:05, пытается добавить свой адрес. Биржа шлёт вам письмо в 14:06. Вы видите push-уведомление, через 10 минут меняете пароль, отключаете сессии, замораживаете выводы через поддержку. Потеря: 0 ₽. Затраты: 30 минут времени.
Экономика очевидна: 30 минут внимания против 800 000 ₽. Даже если вероятность взлома аккаунта для вас 1% в год, ожидаемые потери без whitelist — 8 000 ₽ ежегодно (800 000 × 0,01), а с ним — близки к нулю при стоимости «страховки» в один вечер настройки.
Типичные ошибки при настройке
Ошибки делятся на две группы: снижающие защиту и создающие проблемы вам самим. Проверьте себя по списку:
- Whitelist добавлен, но не включён. Адреса в списке есть, а переключатель «вывод только на whitelist» выключен. Функция не работает. Проверьте статус после настройки.
- Скопирован не тот адрес / не та сеть. Добавили адрес USDT-TRC20, а выводите в сети ERC-20 — биржа отклонит вывод или (реже) средства уйдут не туда. Всегда отправляйте тестовую транзакцию на новый адрес.
- Кошелёк в whitelist контролируется той же почтой, что и биржа. Если взломают почту — взломают всё. Используйте для биржи и холодного кошелька разные e-mail.
- Все адреса на биржевых кошельках. Whitelist биржи не защищает адрес биржи-получателя. Смысл списка — выводы на самохранение (аппаратный кошелёк).
- Отключение whitelist «на минутку» для срочного вывода. Самая частая самоблокировка: отключили, забыли включить. Некоторым биржам потребуется снова ждать охлаждение при включении. Заведите правило: отключение — только через тикет в поддержку и напоминание в календаре.
- Уведомления о добавлении адресов улетают в спам. Проверьте папку «Спам» сразу после настройки — письмо о подтверждении должно приходить и доставляться.
Правило: whitelist — это не «включил и забыл». Раз в квартал проверяйте список адресов: в нём не должно появиться ничего, чего вы не добавляли.
Чек-лист безопасной настройки
Пройдите по пунктам перед тем, как считать настройку завершённой:
- Включен ли переключатель «вывод только на адреса из whitelist»?
- Каждый адрес в списке проверен тестовым переводом на минимальную сумму?
- Для каждого адреса указана понятная метка (кошелёк + сеть)?
- Период охлаждения на отключение whitelist — максимально доступный?
- Push-уведомления от биржи включены, письма не попадают в спам?
- Почта биржи отличается от почты, привязанной к кошельку-получателю?
- Адреса whitelist записаны отдельно (в менеджере паролей), чтобы сверять при каждом выводе?
- В списке нет адресов, которыми вы давно не пользуетесь? Удалите их — меньший список, меньше поверхности атаки.
FAQ
Можно ли обойтись без whitelist, если у меня включён 2FA? Можно, но это слабее. 2FA перехватывается фишинговыми сайтами и атаками типа SIM-swap (если 2FA по SMS). Whitelist добавляет независимый барьер: даже с украденным 2FA атакующий не выведет средства мгновенно. Лучшее сочетание: аппаратный ключ (YubiKey) для входа + whitelist для выводов.
Что делать, если я сам случайно заблокировал себе вывод? Ничего страшного: отключение whitelist или добавление нового адреса — обратимые операции. Отслеживайте статус в разделе безопасности: когда период охлаждения истечёт, действие вступит в силу. Если торопитесь — напишите в поддержку, иногда для верифицированных аккаунтов срок сокращают. Главное — не отключайте whitelist в панике «навсегда всё сломалось»: это ровно то, чего ждёт атакующий.
Защищает ли whitelist средства на самом кошельке-получателе? Нет. Whitelist — это защита границы «биржа → внешний мир». Адрес-получатель (например, MetaMask или Ledger) нужно защищать отдельно: сид-фразу — офлайн и никогда не вводить на сайтах, для крупных сумм — аппаратный кошелёк. Whitelist закрывает одну дверь из нескольких, но закрывает её надёжно.