Lista blanca de retiros

Activarla hace que el robo de una cuenta pase de ser un pago a ser una molestia. Binance le permite incluir direcciones en la lista blanca y retrasar los retiros a las nuevas; el Global Settings Lock de Kraken bloquea por completo la posibilidad de añadir una dirección, y desbloquearlo sin una clave maestra toma al menos 24 horas y puede configurarse hasta por 30 días. El retraso es la función de seguridad, no la lista.

Cómo funciona

Una lista blanca separa dos acciones que la mayoría de las cuentas tratan como una sola: elegir un destino y enviar los fondos hacia él.

Usted registra una dirección mientras la cuenta está sana y nadie lo está apremiando. El exchange la confirma por correo electrónico, a veces con un segundo factor, y la entrada se vuelve utilizable. Una vez que la lista blanca está activada, una solicitud de retiro a cualquier dirección que no esté en la lista se rechaza de plano, sin importar cuán correctos sean la contraseña y el código de un solo uso.

Eso traslada el ataque a un único punto: añadir una nueva entrada. Las buenas implementaciones controlan exactamente ese paso. El Global Settings Lock de Kraken impide que se añadan nuevas direcciones de retiro mientras está activado, y desactivarlo funciona con un temporizador que usted fija de antemano, con notificación por correo electrónico de cada intento de desbloqueo. El soporte de Kraken no puede acortar ese temporizador, y eso es lo que le da algún valor. Binance ofrece la misma idea en una forma más ligera, dejándole mantener las direcciones recién incluidas en la lista blanca en un estado de espera antes de que puedan recibir fondos.

Vale la pena expresar con claridad el modelo de amenaza. Un atacante que tiene su contraseña y un segundo factor en vivo puede hacer todo lo demás: iniciar sesión, ver sus saldos, colocar operaciones, cambiar su nombre visible. Lo que una lista blanca con retraso le niega es el único paso que en realidad le hace perder su dinero, y le da a usted un correo de notificación durante una ventana en la que todavía puede cancelar. Una lista blanca que acepta nuevas direcciones al instante es decoración.

Dónde aparece

Todo exchange grande ofrece alguna versión de una lista blanca de retiros, normalmente enterrada dos niveles dentro de la configuración de seguridad y desactivada de forma predeterminada.

Actívela junto con una aplicación autenticadora en lugar de códigos por SMS. Un SIM swap le entrega a un atacante sus mensajes de texto y, por lo tanto, su segundo factor, pero no añade una dirección a su lista. Los dos controles cubren fallos distintos, y la lista blanca es la que sobrevive a la pérdida de su número de teléfono.

Tenga cuidado con lo que pone en la lista. La entrada correcta es una dirección de recepción de una billetera que usted controla, y en una billetera de hardware debería comprobar los caracteres en la pantalla del dispositivo antes de copiarlos a cualquier lugar. Registrar una dirección que salió de un portapapeles comprometido, o una tomada de un historial de transacciones envenenado, incluye al atacante en la lista blanca de forma permanente y cortés. Verifique una vez, con cuidado, y después deje que la lista haga su trabajo.

Lista blanca de retiros frente a autenticación de dos factores

La autenticación de dos factores protege el inicio de sesión; una lista blanca de retiros protege el destino. Una responde a la pregunta de si esto es realmente usted, y la otra responde a la pregunta de si ahí es realmente donde deben ir sus monedas. Fallan de manera distinta, por eso importa usar las dos: un atacante que hace phishing de un código en vivo en tiempo real, o que toma el control de su número de teléfono, ha satisfecho por completo la autenticación de dos factores y aun así no puede enviar monedas a una dirección que usted nunca aprobó. Trate el segundo factor como la cerradura de la puerta y la lista blanca como la razón por la que el ladrón se va con las manos vacías.