что такое антифишинговый код на бинансе
Обход 2FA на Binance и потеря 200000$
Когда речь заходит про безопасность обычный пользователь интуитивно доверяет самым популярным сервисам настолько, что мыслей о своей безопасности не возникает: даже если речь идёт про деньги и многие годы потраченного времени на их зарабатывание. Речь идёт о недавнем взломе известного в русском сегменте среди крипто-трейдеров блогере на самой популярной крипто бирже Binance. Первые реакция и мысли от жертвы можете увидеть здесь.
С применением социальной инженерии блогер был заражён вирусом REDLINE распакованный код которого можно скачать отсюда, а оригинальный файл которым осуществлялось заражение здесь. Подключение вирус вёл по данным IP: 80.85.139.166:40955 и 188.119.113.239:39889. Оба IP принадлежат хостинг-провайдеру и находятся в ДЦ Нидерланд.
16 августа ночью была осуществлена кража сессии авторизации на Binance из браузера с ноутбука жертвы и исходя из логов IP на бирже (отсутствуют сторонние IP) вероятней всего с помощью backconnect-proxy установленном на компьютер жертвы через loader первичного вируса успешный и незаметный вход на саму биржу.
Для многих кража логинов и паролей и даже активных сессий из браузера не кажется чем-то существенным благодаря присутствию на бирже 2FA-подтверждений через ввод SMS/E-Mail кодов. Ведь действительно: каждый раз для вывода средств или перевода их кому либо Вам потребуется данное подтверждение. Но, с недавних пор на бирже появился NFT-market где люди могут покупать и продавать цифровые товары (графика) и как выяснилось на многих хакерских форумах почти сразу начали появляться предложения о «выводе» денег с балансов через данную уязвимость. В Google просто введя фразу «обход 2FA Binance» можно встретить действительно огромный выбор исполнителей.
Сам взлом как и кража средств была проведена очень простым и ироничным способом: хакер разместил NFT по цене 193000$ и просто купил его с аккаунта жертвы у самого себя. Для этого на бирже нет абсолютно никаких ограничений, подтверждений и попросту механизмов защиты. Далее по словам BInance деньги были выведены с биржи, а сам аккаунт как они предполагают был «взломан». Сразу же возникает вопрос как хакер обходил на чужом аккаунте всё те-же двухфакторные авторизации. Может аккаунты оформлены на поддельные документы и биржа не желает признать что её «верификация» не более чем «пук в муку»?
Для NFT должен быть отдельный счет, перевод средств на который только через 2FA (и за отсутствие данного решения бирже и их специалистам по безопасности по моему мнению должно быть стыдно)
PIN для авторизации с новых IP на WEB-интерфейсе. Даже для активной сессии.
Моё мнение: Binance обязаны компенсировать все украденные деньги по простой причине: это не вина пользователя. И они в таких случаях обязались возвращать средства. Да, пользователь подхватил вирус, но, пользователь был уверен что вывод без 2FA не возможен. Это именно дыра в их безопасности. Потому Binance обязаны извинится за долгое отсутствие реакции, а так-же немедленно исправить данную уязвимость пересмотрев те дыры услуги по которым предоставляют все кому не лень. Для биржи с такими доходами не должно быть проблемой просто взять и «воспользоваться» услугами этих хакеров, обнаружить проблемы и исправить. Это говорит о многом.
Доверяйте, но проверяйте. Но если Вы далеки от этих дел и Вам не понятна суть проблемы:
Представьте свой банковский кабинет. За перевод средств с Вас спрашивают код. Вы защищёны ровно до того момента как не появится в банке магазин nft-картинок который Вы даже не открывали и не знаете что оно такое и как работает. В мобильных приложениях данного раздела попросту даже и нет, потому открыть и воспользоваться им можно только через веб интерфейс.
У Вас не спросили нужен ли Вам этот маркет, не попросили никакой подтверждающей активации данного раздела при первом посещении, не спросили подтверждения на перевод средств на этот маркет и не выявили подозрительным внезапную продажу всех активов на спотовом рынке за доллары и покупку картинки на впервые открытом разделе биржи. Это максимально наплевательское отношение и искусственно созданная дыра от плохой проработки аспекта безопасности нововведения. Разве пользователь обязан изучать биржу каждые 5 минут на предмет обновлений, быть специалистом по безопасности чтобы выявлять дыру в логике работы нововведений? Я считаю нет. Одно дело когда взламывают и сливают деньги со всей биржи. Другое, когда биржа без спроса пользователя создает возможность обойти двойную авторизацию на которую рассчитывает пользователь.
Поймать троян можно множеством способов: начиная от личной невнимательности, заканчивая тем, что сплоиты могут Вас заразить через браузер просто при пассивном посещении любого сайта. Вас могут протроянить склейкой с полезным файлом или используя уязвимости в системе и Вы попросту здесь не виноваты. Вы просто были подключены к интернету и не выполняли никаких действий. Ваши пароли могут украсть расширения из официального магазина браузера. Потому Вы рассчитываете на то, что главные действия с деньгами будут требовать подтверждения 2fa даже если Вас взломают. И биржа получает с Вас комиссионные за каждую сделку. Она работает не на «добром слове», а значит беря деньги, должна их защищать. Может я чего-то не понимаю о справедливости?
Руководство по установке антифишинг кода
Что такое антифишинговый код?
Как настроить антифишинговый код?
Перейдите в центр управления аккаунтом, там вы можете увидеть строку активации антифишинг-кода в разделе безопасности. Чтобы начать активацию, нажмите на кнопку «Создать антифишинговый код».
После чего вам будет предложено ввести желаемый код, который должен содержать не менее 8 символов с цифрами и прописными буквами. Рекомендуется выбирать трудный код для того чтобы угадать, но легкий для вашего понимания.
Теперь вам нужно будет ввести свой код с Google Authenticator или аутентификации по СМС в зависимости от того, какой тип 2FA у вас активирован.
После ввода 2FA вы создадите антифишинговый код. Теперь вся подлинная электронная почта от Binance будет содержать код, который вы установили.
Рекомендация: обновляйте свой антифишинговый код не реже одного раза в месяц.
Как обновить антифишинговый код
Поскольку рекомендуется регулярно обновлять антифишинговый код для обеспечения максимального уровня безопасности, вы можете выполнить следующие действия, чтобы обновить его.
Перейдите к настройкам антифишинг кода в центре управления аккаунтом и нажмите «Изменить код», чтобы начать процесс его обновления.
Введите новый антифишинг код c содержанием не менее 8 символов и как минимум с одной заглавной буквой и цифрой.
Теперь вам нужно будет ввести свой код с Google Authenticator или аутентификации по СМС в зависимости от того, какой тип 2FA у вас активирован.
После ввода 2FA, вы обновите ваш антифишинговый код. Теперь вся подлинная электронная почта от Binance будет содержать код, который вы установили.
Как защитить свой аккаунт Binance: 7 простых шагов
Введение
1. Используйте надежный пароль и меняйте его регулярно
2. Включите двухфакторную аутентификацию (2FA)
3. Проверьте список устройств с доступом к вашему аккаунту
Если вы видите в списке неизвестные или уже не используемые устройства, удалите их. После удаления доступ к вашему аккаунту для этих устройств будет закрыт до тех пор, пока вы не предоставите его снова через подтверждение по электронной почте. Напоминаем: именно по этой причине безопасность вашего аккаунта электронной почты очень важна.
Вы также можете просмотреть действия в аккаунте, например, когда и с какого IP-адреса выполнялся вход в ваш аккаунт. Если вы заметили подозрительную активность, немедленно отключите свой аккаунт. Это действие приостановит возможность торговых операций и вывода средств, удалит все ключи API, а также все устройства, у которых есть доступ к вашему аккаунту.
4. Управляйте адресами для вывода средств
Отличный момент, чтобы в очередной раз напомнить, как важно защищать свой аккаунт электронной почты. Это – основа вашей безопасности в интернете.
5. Узнайте больше о фишинге
6. Следуйте правилам безопасности API
Однако использование ключей API несет в себе риски, поскольку вы разрешаете отправку своих данных сторонним приложениям. Если вы используете Binance API, мы рекомендуем установить ограничения по IP-адресу, разрешив доступ только IP-адресам из белого списка. Также регулярно меняйте ключи API и не передавайте их другим лицам.
7. Используйте универсальную двухфакторную аутентификацию (U2F)
Binance поддерживает U2F-совместимые аутентификаторы, например Yubico YubiKey. Эти устройства предоставляют доступ к аккаунту, только когда они подключены к вашему компьютеру физически или по беспроводной связи.
Такие аутентификаторы работают аналогично Google Authenticator, но вместо программы или приложения вы используете физическое устройство для получения доступа. Это означает, что для входа в аккаунт вам потребуется иметь это устройство при себе.
Руководство по Binance для начинающих
Введение
Как создать аккаунт на Binance
2. Введите свой адрес электронной почты и выберите надежный пароль. При желании вы можете зарегистрироваться по номеру мобильного телефона. Введите реферальный код, если он у вас есть.
3. Следуйте инструкциям по верификации аккаунта посредством кода, отправленного на ваш адрес электронной почты или номер мобильного телефона.
4. После верификации вы можете настроить ваш аккаунт Binance. Теперь вы на шаг ближе к покупке криптовалюты. Давайте рассмотрим этот процесс подробнее!
Как купить криптовалюту на Binance
Подтвердив свою личность, вы сможете начать покупать криптовалюту различными способами.
Покупка криптовалюты с помощью кредитной/дебетовой карты
Как торговать криптовалютой на Binance
Теперь вы, вероятно, хотите начать торговать криптовалютами. Если вы не привыкли к традиционному торговому интерфейсу, то рекомендуем использовать функцию конвертации. Вы можете получить к ней доступ, наведя на главной странице Binance курсор на кнопку [Торговля] и выбрав пункт [Конвертация].
Функция конвертации позволяет вам при помощи простого интерфейса выбрать криптовалютную пару, которой вы хотите торговать. Если вы хотите вывести криптовалюту или купить ее за фиат, конвертацию можно проводить и между фиатными валютами.
В верхнем поле выберите монету, которую желаете обменять, и введите количество. В нижнем поле выберите целевую криптовалюту или фиатную валюту. В нашем примере мы обменяем BNB на BTC. После подтверждения выбора и нажатия на кнопку «Предварительный просмотр» появится сводка сделки.
Торговые режимы: классический и расширенный
Классический и расширенный торговые режимы предлагают две возможности для торговли на Binance.
Оба режима предоставляют одинаковые базовые функции, но расширенный режим предлагает дополнительные возможности. Оба режима можно настраивать по своему усмотрению.
Сейчас мы подробно рассмотрим расширенную торговую страницу и разберем ее функции. Мы также затронем все функции классического режима.
Далее каждому новому пользователю Binance стоит подумать о повышении безопасности своей учетной записи. После покупки первой криптовалюты главным приоритетом должна быть ее безопасность.
Как защитить свой аккаунт Binance
Использование сложных паролей и функций безопасности поможет сохранить ваши средства в безопасности. Для начала обязательно выполните следующие действия.
Создайте надежный пароль и регулярно меняйте его
Это кажется очевидным, но вы будете удивлены количеством людей, которые все еще используют простые и легко запоминающиеся пароли. Ваш пароль всегда должен содержать буквы из верхнего и нижнего регистра, а также цифры и прочие символы. И, разумеется, вы должны быть уверены в том, что он хранится в безопасности и никому, кроме вас, не известен.
Включите двухфакторную аутентификацию (2FA)
Настоятельно рекомендуем вам включить для своего аккаунта двухфакторную аутентификацию (2FA). Она создает дополнительный уровень безопасности. Даже если хакеры узнают ваш пароль, для входа в систему им потребуется доступ к вашему физическому устройству, к которому привязана 2FA.
Включите антифишинговый код Binance
Если вы включите антифишинговый код для аккаунта Binance, в каждом письме от Binance этот код будет отображаться сверху. Он может состоять из набора букв или цифр – задайте его вручную.
Как начать работать на Binance
Если вы уверены в том, что готовы начать работать с криптовалютами, создать аккаунт и открыть персональный счет на Binance, то никаких препятствий и быть не может. Нужно сосредоточиться всего на паре простых действий, и начать профессиональную деятельность. Усаживайтесь поудобнее, друзья, мы начинаем.
Создаем аккаунт на криптобирже:
Аккаунт в Binance – это окно в мир криптовалютного рынка. Но перед покупкой первого BNB или ETH, нужно создать учетную запись:
Поздравляем, ваш аккаунт успешно создан и активирован, можно двигаться дальше.
Покупка крипты
На Binance есть несколько вариантов покупки криптовалюты – кредитная или дебетовая карта, банковский депозит, P2P трейдинг. Чтобы прикупить токенов:
По завершения процедуры токены переходят на спотовый кошелек.
У пользователей уходит не более 10 минут на прохождение первого и второго этапов работы на бирже Binance. Проверьте себя!
Начинаем торговать
Если для вас пока непривычно использовать стандартный торговый интерфейс, кликните по вкладке «Торговля» в верхней части пользовательского окна, и в выпадающем списке выберите вариант «Конвертация».
Эта функция отвечает за выбор валютной пары для начала торговли. В появившемся окне выбираем, например, ETH и BTC, в верхней части есть счетчик с имеющимся количеством токенов и кнопка «Max» для упрощения процесса. Указываем нужное количество крипты для обмена, подтверждаем серьезность намерений.
Защищаем учетную запись
Есть несколько простых действий, которые защитят цифровые активы:
Вот такие простые советы и функции помогут на порядок повысить защищенность аккаунта, и уберечь цифровые активы от злоумышленников. Остается только уверенно торговать, преумножать капитал и развиваться вместе с криптовалютной биржей Binance. Чего мы вам и желаем!