Защита аккаунта на бирже: шесть настроек, которые делают взлом бессмысленным

Коротко

Разговор о безопасности биржевого аккаунта обычно заканчивается советом «включите 2FA». Между тем 2FA бесполезна против угнанной сессии, вредоносного расширения и подмены адреса в буфере обмена. Мы разобрали шесть настроек со страницы безопасности Bybit и выписали, что каждая физически перекрывает, а что нет. Главный вывод вышел числовым: вывод обрабатывается до 15 минут, а полная реакция на компрометацию — заморозка, сутки ожидания, реактивация, смена пароля и 2FA — занимает минимум 48 часов, при запросе документов от 5 до 7 рабочих дней. Разрыв — в 190 раз в лучшем случае и почти в тысячу в худшем, и закрывает его одна настройка: 24-часовой лок новых адресов вывода.

Шесть настроек и что каждая из них реально останавливает

Bybit делит их на базовый уровень (почта, SMS, Google 2FA, антифишинговый код, passkey), продвинутый (подтверждение операций и фонд-пароль) и сценарный — белые списки и лок новых адресов (Bybit Help Center). Биржа сама не считает 2FA достаточной мерой.

1. Антифишинговый код

Вы придумываете произвольную строку, и биржа подставляет её во все свои письма и SMS. Справочный центр называет это «уникальным кодом, который знаете только вы»; путь — «Аккаунт» → «Антифишинговый код» → ввод строки → проверка безопасности (Bybit Help Center). В статье про поддельные письма формулировка жёстче: адрес отправителя «легко подделывается», а отсутствующий или неверный код — «сильный признак поддельного письма или SMS» (Bybit Help Center).

Останавливает: письмо «подтвердите вывод» с подделанного адреса — кода в нём не будет.

Не останавливает: ничего после перехода по ссылке — код живёт в канале «письмо — вы» и в операциях внутри аккаунта не участвует. В пуши он не подставляется, только в почту и SMS, и он бесполезен при скомпрометированном ящике.

2. Двухфакторная аутентификация — и почему приложение лучше SMS

Bybit советует «включить Google Two Factor Authentication сразу после входа в аккаунт» (Bybit Help Center); без неё нельзя даже добавить адрес в книгу вывода (Bybit Help Center).

Код в приложении вычисляется на вашем устройстве из секрета, который после привязки никуда не передаётся. SMS-код идёт через оператора, и путь состоит из звеньев, которыми вы не управляете: сотрудник салона, поддержка оператора, процедура перевыпуска SIM.

Сброс Google Authenticator сам по себе закрывает вывод и P2P на 24 часа, а для отключения нужны пароль входа и текущий код 2FA (Bybit Help Center). Если оба у атакующего есть, 2FA он снимет — но заплатит сутками простоя.

Останавливает: вход по украденному или подобранному паролю, в том числе утёкшему из другого сервиса.

Не останавливает: работу внутри открытой сессии: с активной cookie второй фактор не запрашивается.

3. Белый список адресов вывода и лок новых адресов

Две разные вещи, которые часто путают. Режим «вывод через адресную книгу» означает, что «только адреса, зарегистрированные в вашей адресной книге вывода, могут использоваться для подачи заявки на вывод» — вписать новый адрес в форме уже нельзя. New Address Withdrawal Lock работает иначе: «накладывает запрет на вывод для всех новых адресов кошельков», но «не затрагивает адреса, добавленные минимум за 24 часа» до включения функции (Bybit Help Center). Галочка «для этого адреса проверка в следующий раз не нужна» действует наоборот — убирает почтовый код и код 2FA для конкретного адреса, то есть для белого списка вы сами снимаете два фактора.

Останавливает: вывод на чужой адрес — подменённый в буфере обмена или вписанный из угнанной сессии. Единственная из шести настроек, которая покупает время, а не добавляет проверку.

Не останавливает: вывод на адрес, пролежавший в книге больше суток — при давнем доступе достаточно добавить его и подождать. Список адресов стоит просматривать так же регулярно, как список устройств.

4. Фонд-пароль

Второй пароль: «дополнительный слой безопасности вашего аккаунта, отличающийся от пароля для входа», который «потребуется для проверки безопасности и при выводе средств». От 8 до 30 символов, с заглавной, строчной и цифрой, совпадать с паролем входа не может. Та же задержка: «вы не сможете вывести активы в течение 24 часов после сброса» (Bybit Help Center).

Останавливает: вывод из угнанной сессии: пришедший с готовой cookie пароля входа не знает, фонд-пароля тем более. Сбросить может, но тогда вывод закрыт на сутки.

Не останавливает: кейлоггер и вредоносное расширение. Разница между «вторым паролем» и «вторым фактором» здесь: второй пароль идёт через ту же клавиатуру.

5. Управление устройствами и подтверждение операций

Bybit рекомендует «удалить любое неопознанное устройство из списка доверенных устройств», выходить из аккаунта вручную и отключить автозаполнение (Bybit Help Center). Поверх работает Secure Transaction Approval — «функция, позволяющая назначить основное устройство для проверки и одобрения операций»: заявка со вторичного устройства или с сайта требует подтверждения с основного телефона (Bybit Help Center).

Останавливает: длящийся доступ. Удаление устройства обрывает то, что пароль и 2FA уже не обрывают, а подтверждение с телефона переносит решение туда, куда атакующий из браузера не дотянется.

Не останавливает: компрометацию самого телефона — точка отказа просто переехала с ноутбука на смартфон. Удаление passkey тоже закрывает вывод на 24 часа: при смене телефона это сюрприз.

6. Уведомления о входе и активности

Отдельной инструкции по настройке уведомлений о входе в справочном центре Bybit на 19.09.2026 мы не нашли: письма о действиях приходят на привязанную почту по умолчанию и несут ваш антифишинговый код — в связке с настройкой №1 письмо без кода можно не читать. Смысл в другом: привязанная почта должна быть той, к которой у вас есть доступ, с уникальным паролем и собственным вторым фактором, не завязанным на тот же номер. Bybit рекомендует «обезопасить привязанный почтовый ящик», и это не формальность: в обоих делах ниже взлом почты шёл первым шагом, а биржа — вторым.

Останавливает: ничего — уведомление не замок, а датчик.

Не останавливает: тоже ничего. Но именно оно решает, сколько минут пройдёт между входом атакующего и вашей реакцией, а из расчёта ниже видно, что счёт идёт на минуты.

Таблица: какая атака ломается о какую настройку

Ни одна строка не закрывается одной настройкой, и ни одна настройка не закрывает все строки. Три атаки из шести останавливаются только адресной книгой и локом новых адресов — тем, что включают реже всего.

Сколько стоит бездействие: считаем в часах

Сравним два таймера.

Таймер атакующего. Справочный центр: «мгновенный вывод может обрабатываться до 15 минут», отменить заявку можно только в статусе проверки (Bybit Help Center).

Ваш таймер. Bybit держит список действий, каждое из которых само закрывает вывод на 24 часа: смена или сброс пароля, смена номера, смена или отвязка почты, переключение лока новых адресов, сброс Google Authenticator, смена фонд-пароля, перенос верификации, самостоятельная реактивация, удаление passkey (Bybit Help Center). Ограничение накрывает криптовывод, внутренние переводы, фиатный вывод, карту и P2P — все выходы разом. Точечно это дублируется: вывод «запрещён на 24 часа после изменения пароля для входа» (Bybit Help Center); «вывод и P2P-операции будут отключены на 24 часа после смены почты», причём почту нельзя менять повторно семь дней (Bybit Help Center).

Деактивация мгновенно закрывает вход («вы не сможете войти в аккаунт Bybit после подтверждения деактивации»), среди причин есть «возможная компрометация», но самостоятельная реактивация «возможна только через 24 часа» (Bybit Help Center). После неё «аккаунт будет ограничен в выводе на 24 часа», а при запросе документов «процесс займёт примерно 5–7 рабочих дней» (Bybit Help Center).

Собираем полную реакцию, с момента, когда вы поняли, что аккаунт больше не только ваш:

Итого 48 часов в лучшем сценарии. С документами добавляем 5–7 рабочих дней (7–11 календарных) плюс сутки после реактивации — от 8 до 12 дней. Разрыв: 2880 минут против 15 — защита отстаёт в 192 раза; с документами 14 400 против 15 — почти в тысячу раз.

Догнать атакующего нельзя в принципе: любая ваша защитная мера тормозит вас на сутки, а его — ни на минуту, ему ничего менять не нужно. Разрыв выравнивает только лок новых адресов, включённый заранее: он переносит 24-часовую задержку на сторону атакующего, и окно атаки становится не 15 минут, а сутки.

Калькулятор окна реакции

Разберём значения по умолчанию руками. Уведомление вы увидели через 90 минут, ещё 10 минут ушло на деактивацию — реакция 100 минут. Без лока окно атакующего 15 минут: 15 − 100 = −85, вы опоздали на полтора часа. С локом окно 1440 минут: 1440 − 100 = 1340 минут запаса, почти 22 часа.

В каком порядке включать, чтобы не заблокировать себе вывод

Раз каждое изменение само закрывает вывод на сутки, включать опции по одной в неделю — значит держать вывод закрытым месяц. Разумная очерёдность:

Всё за один заход: таймеры накладываются, и вы теряете одни сутки, а не семь.

SMS-2FA и подмена SIM: почему это слабое звено

SMS как второй фактор ломается не через криптографию, а через людей: достаточно убедить оператора перевыпустить SIM, и все коды приходят атакующему.

Минюст США в деле Джордана Персада, 20 лет, Орландо, описал схему прямо: «Персад и его сообщники взламывали почтовые ящики жертв, захватывали их номера телефонов и получали несанкционированный доступ к их криптовалютным аккаунтам» — с марта 2021 по сентябрь 2022 года. Приговор: 30 месяцев тюрьмы и компенсация 945 833 доллара, около миллиона долларов похищено у десятков пострадавших (U.S. Department of Justice).

Пример крупнее — группа, начавшая с подмены SIM в 2020 году: по данным The Record, с одного пострадавшего они сняли более 3 млн долларов, Реми Сен-Феликс получил 47 лет, Джарод Симунгал — 20, всего осуждены 12 человек (The Record).

Общий шаг в обоих делах: сначала почта, потом номер, потом биржа. Цепочку разрывает пункт №6 — отдельный второй фактор на почте, не завязанный на телефон. Сам SMS стоит оставить только там, где без него нельзя: у Bybit он требуется как одно из условий подтверждения операций — в этой роли он безобиден, потому что не единственный фактор.

Что показывают отчёты за 2025–2026

Scam Sniffer по итогам 2025 года зафиксировал 83,85 млн долларов потерь от фишинга подписей при 106 106 пострадавших — падение на 83% с 494 млн, число жертв упало на 68%. Крупнейший случай — 6,5 млн долларов в сентябре 2025 года через вредоносную подпись Permit. Авторы оговариваются: это «нижняя оценка, основанная только на отслеживаемой активности дрейнеров», без прямых взломов и компрометаций бирж (Scam Sniffer). Средний убыток на пострадавшего — 790 долларов (Cointelegraph).

CertiK в годовом Hack3d за 2025 год даёт другую оптику: около 3,35 млрд долларов суммарных потерь, из них на фишинг 722 885 398 в 248 инцидентах — самый частый вектор по числу случаев (CertiK). За первое полугодие — более 2,47 млрд потерь и более 395 млн на фишинг в одном втором квартале (CertiK / GlobeNewswire).

Самое важное для частного держателя — у Chainalysis. Из более чем 3,4 млрд долларов, похищенных в 2025 году, на личные кошельки и аккаунты пришлось 20%, или 713 млн. Доля упала с 44% в 2024-м, но число инцидентов выросло: 158 000 случаев и не менее 80 000 пострадавших — почти втрое больше, чем в 2022-м (Chainalysis). Средний платёж в обманных схемах вырос с 782 долларов до 2764 (+253%), а у схем с выдачей себя за другое лицо Chainalysis фиксирует «ошеломляющий рост на 1400% год к году» (Chainalysis).

Картина непротиворечивая: потери от классического фишинга подписей упали, но число обращений к обычным пользователям выросло, а средний чек утроился. Персональная цель стала дешевле в обработке и дороже по результату — ровно тот профиль риска, против которого работают шесть настроек выше. Поддельные домены-двойники — отдельная история, она в «Bybit не открывается».

Если доступ уже угнали: порядок действий

Речь о ситуации, когда в аккаунт зашёл кто-то другой. Если вы сами потеряли пароль или сбросили аутентификатор — это «Потерян доступ к Bybit».

1. Деактивируйте аккаунт, а не меняйте пароль. Деактивация закрывает вход целиком: «вы не сможете войти в аккаунт после подтверждения деактивации». Пункт на странице безопасности, среди причин — возможная компрометация. Единственный механизм с нулевой задержкой, доступный без поддержки. Побочный эффект: та же почта и номер потом не подойдут для нового аккаунта.

2. Параллельно напишите в поддержку — чат или веб-форма. Если компрометация пришла письмом, Bybit просит исходник «в формате .eml», не скриншот.

3. Почистите источник, пока идут сутки ожидания. Смените пароль на привязанной почте, включите на ней отдельный второй фактор, снесите расширения браузера, которые не ставили осознанно. Шаг бесплатен: укладывается внутрь обязательных 24 часов.

4. Через 24 часа — самореактивация. После неё вывод закрыт ещё на сутки: пока таймер идёт, вывести не сможет и атакующий, если он вернул себе доступ.

5. В тот же заход меняйте всё сразу — пароль, 2FA, фонд-пароль, при необходимости почту: подряд их таймеры идут параллельно. По одному действию в день — это неделя закрытого вывода, подаренная тому, кто уже внутри.

6. Готовьтесь к документам. Если биржа сочтёт активность подозрительной, понадобится Self-Service Unban: контактная почта, подтверждение прошлых депозитов записью экрана, фото документа, селфи с рукописной запиской и видео-селфи; срок — «примерно 5–7 рабочих дней». Как аккаунт ведёт себя в заморозке — в «Заморозке аккаунта Bybit».

7. Пересоберите защиту до того, как вернёте туда деньги — сначала лок новых адресов и адресная книга, потом остальное.

Чего эти настройки не делают

Все шесть защищают аккаунт от постороннего и ни одна — от вас самих: если вы сами подписали транзакцию и сами добавили адрес, биржа сработает штатно. Ни одна не отменяет комиссий, лимитов по KYC и проверок вывода и ни одна не возвращает средства: отката у ончейн-перевода нет.

Зато асимметрия работает в обе стороны. Настройка всех шести занимает около 15 минут один раз — ровно столько, сколько по регламенту Bybit занимает обработка одного вывода. Разница в том, что эти 15 минут вы тратите заранее и по своему графику, а те 15 минут однажды тратит кто-то другой — уже за ваш счёт денег.

{{CTA_BROKER}}

{{CTA_TG}}

{{SIMILAR}}