Що таке 2FA і навіщо вона в криптосервісах
Двофакторна автентифікація (2FA) — вхід чи підтвердження дії за допомогою двох незалежних факторів: того, що ви знаєте (пароль), і того, що у вас є (телефон чи ключ).
Пароль можна підібрати, вкрасти через фішинг чи знайти в базі витоків. Другий фактор робить такий пароль марним: без доступу до вашого пристрою увійти чи підтвердити операцію не вийде. У криптовалюті, де транзакції незворотні, це не опція, а базова гігієна. Найчастіше зламують не сам сервіс, а пошту чи пароль конкретного користувача — і саме тут другий фактор зупиняє атаку.
Найпоширеніший варіант — TOTP за стандартом RFC 6238: застосунок-автентифікатор (Google Authenticator, Aegis, 1Password та інші) генерує шестизначні коди, що змінюються кожні 30 секунд. Код обчислюється з секрету, який ви отримали через QR-код, і поточного часу, тож працює навіть без інтернету. Ще надійніший варіант — апаратні ключі за стандартом FIDO2/WebAuthn, які прив’язані до домену сайту і не дозволяють передати код на фішингову сторінку.
SMS-коди — найслабший другий фактор. Номер можуть перевипустити на зловмисника через оператора (SIM-swap), а SMS перехопити. Для акаунтів з доступом до коштів краще використовувати TOTP чи апаратний ключ.
Важливо не лише ввімкнути 2FA, а й зберегти резервні коди або секрет у безпечному місці: загубивши телефон, можна втратити доступ до акаунта. І пам’ятайте: 2FA-код — такий самий секрет, як пароль. «Підтримка», яка просить продиктувати код, — це шахраї.
У Moonvex 2FA вмикається для входу в кабінет і обов’язкова для підтвердження виплат — без коду автентифікатора кошти з балансу не вивести, навіть маючи пароль.
Як налаштувати 2FA правильно
- Використовувати TOTP-застосунок або апаратний ключ, а не SMS.
- Зберегти резервні коди офлайн.
- Нікому не повідомляти коди, навіть «підтримці».
- Перенести 2FA при зміні телефона до того, як стерти старий.