Segurança na corretora e API
Aula 9 de 39 do curso “Cripto”. Grátis, com animações e teste.
Proteja sua conta
Três básicos da imagem. 2FA, ou seja, um segundo código no login, por app autenticador e não por SMS. Senha longa e única: se você repete a mesma senha, um vazamento num site abre todos. Código antiphishing: uma palavra que a corretora coloca nos e-mails para você diferenciar dos falsos. Configure tudo isso no primeiro dia.
Por que não SMS
Um app autenticador cria um código novo a cada 30 segundos no seu próprio celular, como 482 913 na imagem. O código por SMS é mais fraco: um golpista pode fazer a operadora transferir seu chip para ele (troca de SIM) e receber seus códigos. E cuidado com phishing: uma cópia do site rouba sua senha, então entre pelos favoritos e envie documentos de KYC só no site oficial.
Saques só para seus endereços
A lista branca de saque é uma lista de endereços para onde a corretora deixa enviar moedas. Você adiciona antes só as suas carteiras. Se a conta for hackeada, o ladrão não consegue sacar na hora para o endereço dele: teria que adicionar um novo, o que pede 2FA e muitas vezes uma espera. Spoiler: é uma das configurações mais úteis.
Espera para endereços novos
A imagem mostra como funciona. Na lista branca ficam só os seus endereços. Um endereço novo costuma ser liberado com atraso, por exemplo 24 horas, e pede código 2FA. Isso dá tempo de notar um login estranho e bloquear a conta. Ao adicionar um endereço, confira o começo, o fim e a rede: vírus trocam o texto copiado.
Chaves de API: mínimo de permissões
Uma chave de API é uma senha com que um bot ou serviço mexe na sua conta sem entrar no site. A corretora guarda suas moedas, como mostra a imagem, então uma chave com permissão de saque é acesso ao seu dinheiro. Dê só leitura (Read) e restrição por IP, ou seja, ela só funciona a partir do servidor do bot. Nunca libere saques. Não cole chaves em chats nem em prints.
Teste-se
- Qual 2FA é mais segura?
Resposta certa: Um app autenticador. O SMS pode ser interceptado com troca de SIM. O código do app é gerado no seu celular e não passa pela operadora. - Que permissões dar a uma chave de API para ver operações?
Resposta certa: Só leitura. Para ver, leitura basta. Permissão de saque transforma uma chave vazada em acesso ao seu dinheiro. - O que a lista branca de saque oferece?
Resposta certa: Saques só para seus endereços. Mesmo com a conta hackeada, o ladrão não manda moedas para o endereço dele na hora: um novo pede 2FA e muitas vezes espera.
← Golpes e phishing: não caia Impostos de cripto: registros sem dor →