Whitelist für Auszahlungen

Ist sie aktiviert, wird aus einem Kontodiebstahl eine Unannehmlichkeit statt einer Auszahlung. Binance lässt Sie Adressen auf die Whitelist setzen und Auszahlungen an neue Adressen verzögern; der Global Settings Lock von Kraken blockiert das Hinzufügen einer Adresse vollständig, und das Entsperren ohne einen Hauptschlüssel dauert mindestens 24 Stunden und kann auf bis zu 30 Tage eingestellt werden. Die Verzögerung ist die Sicherheitsfunktion, nicht die Liste.

So funktioniert es

Eine Whitelist trennt zwei Vorgänge, die die meisten Konten als einen behandeln: ein Ziel auswählen und Guthaben dorthin senden.

Sie registrieren eine Adresse, solange das Konto in Ordnung ist und niemand Sie drängt. Die Börse bestätigt sie per E-Mail, manchmal mit einem zweiten Faktor, und der Eintrag wird nutzbar. Sobald die Whitelist greift, wird eine Auszahlung an eine Adresse, die nicht auf der Liste steht, rundheraus abgelehnt, egal wie korrekt das Passwort und der Einmalcode sind.

Das verlagert den Angriff auf einen einzigen Punkt: das Hinzufügen eines neuen Eintrags. Gute Umsetzungen sichern genau diesen Schritt ab. Der Global Settings Lock von Kraken verhindert, dass neue Auszahlungsadressen hinzugefügt werden, solange er aktiv ist, und das Abschalten läuft über einen Timer, den Sie vorab festlegen, mit E-Mail-Benachrichtigung bei jedem Entsperrversuch. Der Support von Kraken kann diesen Timer nicht verkürzen, und genau das macht ihn wertvoll. Binance bietet dieselbe Idee in einer leichteren Form und lässt Sie neu auf die Whitelist gesetzte Adressen in einem Wartezustand halten, bevor sie Guthaben empfangen können.

Das Bedrohungsmodell sollte klar benannt werden. Ein Angreifer, der Ihr Passwort und einen gültigen zweiten Faktor hat, kann alles andere tun: sich anmelden, Ihre Bestände einsehen, Trades platzieren, Ihren Anzeigenamen ändern. Was eine verzögerte Whitelist ihm verwehrt, ist der einzige Schritt, bei dem Ihr Geld tatsächlich verloren geht, und sie gibt Ihnen eine Benachrichtigungs-E-Mail in einem Zeitfenster, in dem Sie noch abbrechen können. Eine Whitelist, die neue Adressen sofort akzeptiert, ist Dekoration.

Wo Sie sie finden

Jede große Börse bietet eine Variante einer Whitelist für Auszahlungen, meist zwei Ebenen tief in den Sicherheitseinstellungen versteckt und standardmäßig aus.

Aktivieren Sie sie zusammen mit einer Authenticator-App statt mit SMS-Codes. Ein SIM-Swap verschafft einem Angreifer Ihre Textnachrichten und damit Ihren zweiten Faktor, aber er fügt Ihrer Liste keine Adresse hinzu. Die beiden Kontrollen decken unterschiedliche Fehler ab, und die Whitelist ist diejenige, die den Verlust Ihrer Telefonnummer übersteht.

Seien Sie vorsichtig, was Sie auf die Liste setzen. Der richtige Eintrag ist eine Empfangsadresse aus einer Wallet, die Sie selbst verwalten, und bei einer Hardware-Wallet sollten Sie die Zeichen auf dem Bildschirm des Geräts prüfen, bevor Sie sie irgendwohin kopieren. Eine Adresse, die aus einer kompromittierten Zwischenablage stammt oder aus einer vergifteten Transaktionshistorie gezogen wurde, setzt den Angreifer dauerhaft und freundlich auf die Whitelist. Prüfen Sie einmal sorgfältig, und lassen Sie dann die Liste ihre Arbeit tun.

Whitelist für Auszahlungen vs. Zwei-Faktor-Authentifizierung

Zwei-Faktor-Authentifizierung schützt die Anmeldung; eine Whitelist für Auszahlungen schützt das Ziel. Die eine beantwortet die Frage, ob Sie das wirklich sind, die andere die Frage, ob das wirklich das Ziel ist, an das Ihre Bitcoin gehen sollen. Sie versagen auf unterschiedliche Weise, deshalb ist es wichtig, beide zu nutzen: Ein Angreifer, der einen gültigen Code in Echtzeit durch Phishing erbeutet oder Ihre Telefonnummer übernimmt, hat die Zwei-Faktor-Authentifizierung vollständig erfüllt und kann trotzdem keine Bitcoin an eine Adresse senden, die Sie nie freigegeben haben. Betrachten Sie den zweiten Faktor als das Schloss an der Tür und die Whitelist als den Grund, warum der Einbrecher mit leeren Händen geht.