Глоссарий / Покупка и биржи
Белый список для вывода
Другие названия: Белый список адресов.
- Что такое белый список для вывода?
- Белый список для вывода ограничивает счет на бирже отправкой средств только на адреса, которые вы одобрили заранее, поэтому украденный пароль не может перенаправить ваш биткоин на какой-либо новый адрес.
Включение этой функции превращает кражу аккаунта из выплаты в неудобство. Binance позволяет вносить адреса в белый список и задерживать вывод на новые адреса; Global Settings Lock в Kraken вообще блокирует добавление адреса, а разблокировка без мастер-ключа занимает не менее 24 часов и может быть настроена на срок до 30 суток. Задержка и есть функция безопасности, а не сам список.
Как это работает
Белый список разделяет два действия, которые большинство аккаунтов считают одним: выбор адреса назначения и отправку средств на него.
Вы регистрируете адрес, пока аккаунт в порядке и никто вас не торопит. Биржа подтверждает его по электронной почте, иногда с вторым фактором, и запись становится рабочей. Как только белый список включен, запрос на вывод на любой адрес, которого нет в списке, отклоняется сразу, сколь бы верными ни были пароль и одноразовый код.
Это переносит атаку в одну точку: добавление новой записи. Хорошие реализации защищают именно этот шаг. Global Settings Lock в Kraken не дает добавлять новые адреса для вывода, пока включен, а его отключение запускает таймер, который вы задаете заранее, с уведомлением по электронной почте о каждой попытке разблокировки. Служба поддержки Kraken не может сократить этот таймер, и именно это придает ему ценность. Binance предлагает ту же идею в более легкой форме: новые адреса из белого списка остаются в состоянии ожидания, прежде чем смогут принимать средства.
Модель угроз стоит изложить прямо. Злоумышленник, у которого есть ваш пароль и действующий второй фактор, может сделать все остальное: войти, посмотреть балансы, совершить сделки, изменить отображаемое имя. Белый список с задержкой лишает его единственного шага, который действительно лишает вас денег, и дает вам уведомление по почте в течение окна, когда вы еще можете отменить операцию. Белый список, который принимает новые адреса мгновенно, является украшением.
Где это встречается
Каждая крупная биржа предлагает ту или иную версию белого списка для вывода, обычно запрятанную на два уровня вглубь настроек безопасности и выключенную по умолчанию.
Включите его вместе с приложением-аутентификатором, а не с кодами по SMS. Замена SIM-карты отдает злоумышленнику ваши текстовые сообщения и тем самым ваш второй фактор, но не добавляет адрес в ваш список. Эти две меры закрывают разные сбои, и именно белый список переживает потерю вашего номера телефона.
Будьте осторожны с тем, что вносите в список. Правильная запись: адрес для получения из кошелька, который вы контролируете, а на аппаратном кошельке следует сверить символы на экране устройства, прежде чем копировать их куда-либо. Регистрация адреса, попавшего из скомпрометированного буфера обмена или взятого из отравленной истории транзакций, навсегда и учтиво вносит злоумышленника в белый список. Сверьте один раз, аккуратно, и затем позвольте списку делать свою работу.
Белый список для вывода vs двухфакторная аутентификация
Двухфакторная аутентификация защищает вход; белый список для вывода защищает адрес назначения. Одна отвечает на вопрос, действительно ли это вы, а другой отвечает на вопрос, действительно ли это то место, куда должны уйти ваши средства. Они отказывают по-разному, поэтому важно применять обе: злоумышленник, который фишинговым путем получает действующий код в реальном времени или перехватывает ваш номер телефона, полностью прошел двухфакторную аутентификацию и все равно не может отправить средства на адрес, который вы никогда не одобряли. Воспринимайте второй фактор как замок на двери, а белый список как причину, по которой вор уходит ни с чем.