Lista bianca dei prelievi

Attivarla trasforma il furto dell'account da un incasso in un fastidio. Binance ti permette di inserire indirizzi nella lista bianca e di ritardare i prelievi verso quelli nuovi; il Global Settings Lock di Kraken blocca del tutto l'aggiunta di un indirizzo, e sbloccarlo senza una chiave master richiede almeno 24 ore, mentre il ritardo può essere impostato fino a 30 giorni. È il ritardo la funzione di sicurezza, non la lista.

Come funziona

Una lista bianca separa due azioni che la maggior parte dei conti tratta come una sola: scegliere una destinazione e inviare lì i fondi.

Registri un indirizzo mentre il conto è in ordine e nessuno ti mette fretta. L'exchange lo conferma via email, a volte con un secondo fattore, e la voce diventa utilizzabile. Una volta applicata la lista bianca, una richiesta di prelievo verso qualsiasi indirizzo non presente sulla lista viene rifiutata di netto, per quanto corretti siano la password e il codice monouso.

Questo sposta l'attacco su un unico punto: aggiungere una nuova voce. Le buone implementazioni presidiano esattamente quel passaggio. Il Global Settings Lock di Kraken impedisce di aggiungere nuovi indirizzi di prelievo finché è attivo, e la disattivazione è regolata da un timer che imposti in anticipo, con notifica via email di ogni tentativo di sblocco. L'assistenza di Kraken non può accorciare quel timer, ed è questo che gli dà valore. Binance offre la stessa idea in forma più leggera, permettendoti di tenere i nuovi indirizzi in lista bianca in attesa prima che possano ricevere fondi.

Vale la pena enunciare con chiarezza il modello di minaccia. Un aggressore che ha la tua password e un secondo fattore attivo può fare tutto il resto: accedere, leggere i tuoi saldi, effettuare operazioni di trading, cambiare il tuo nome visualizzato. Ciò che una lista bianca con ritardo gli nega è l'unico passaggio che ti fa davvero perdere i soldi, e ti dà un'email di notifica in una finestra in cui puoi ancora annullare. Una lista bianca che accetta subito nuovi indirizzi è solo decorazione.

Dove la vedi

Ogni grande exchange offre una qualche versione della lista bianca dei prelievi, di solito nascosta due livelli più in basso nelle impostazioni di sicurezza e disattivata per impostazione predefinita.

Attivala insieme a un'app di autenticazione, non con codici SMS. Un SIM swap consegna a un aggressore i tuoi messaggi di testo e quindi il tuo secondo fattore, ma non aggiunge un indirizzo alla tua lista. I due controlli coprono guasti diversi, e la lista bianca è quella che sopravvive alla perdita del tuo numero di telefono.

Fai attenzione a cosa metti sulla lista. La voce giusta è un indirizzo di ricezione di un wallet di cui hai il controllo, e su un wallet hardware dovresti confermare i caratteri sullo schermo del dispositivo prima di copiarli altrove. Registrare un indirizzo preso da appunti compromessi, o sottratto a una cronologia delle transazioni avvelenata, inserisce l'aggressore nella lista bianca in modo permanente e cortese. Verifica una volta, con cura, poi lascia che la lista faccia il suo lavoro.

Lista bianca dei prelievi vs autenticazione a due fattori

L'autenticazione a due fattori protegge l'accesso; una lista bianca dei prelievi protegge la destinazione. Una risponde alla domanda se sei davvero tu, l'altra risponde alla domanda se è davvero lì che devono andare le tue criptovalute. Falliscono in modo diverso, ed è per questo che serve usarle entrambe: un aggressore che ruba con il phishing un codice valido in tempo reale, o che prende il controllo del tuo numero di telefono, ha soddisfatto pienamente l'autenticazione a due fattori e non può comunque inviare criptovalute a un indirizzo che non hai mai approvato. Considera il secondo fattore come la serratura della porta e la lista bianca come il motivo per cui il ladro se ne va a mani vuote.