Как перенести 2FA на новый телефон и не потерять аккаунт

В мае я меняла телефон: старый выскользнул из руки и лёг экраном на плитку. Ремонт обещали за четыре дня, а на следующий вечер я собиралась выводить деньги с биржи. В аутентификаторе у меня было 14 записей: три биржи, почта, два сервиса поменьше и кошельки. Резервные коды я не сохранила — когда-то нажала «включить 2FA», увидела зелёную галочку и закрыла вкладку. В итоге 48 часов ожидания сброса через поддержку, видеозвонок с паспортом и ещё сутки, пока разморозят вывод. С тех пор у меня на каждый аккаунт лежит бумажная копия секрета, а перенос я репетирую раз в полгода.

Приложение-аутентификатор не хранит доступ к бирже. При привязке биржа и телефон договариваются об одном секрете — строке из 16–32 символов в кодировке base32. Дальше обе стороны независимо считают шестизначный код от текущего времени: одна и та же строка и одни и те же часы дают один и тот же код. Телефон здесь калькулятор, а не сейф. Значит, перенос — это перенос секрета, и сделать его нужно, пока старый калькулятор ещё включается.

С чего начать: три вещи до переноса

Перенос занимает 40–60 минут, но только если подготовиться заранее. Мне в тот раз не хватило двух пунктов из трёх, поэтому вместо десяти минут я потеряла три дня.

1. Список аккаунтов. Откройте аутентификатор и перепишите все записи в заметку: биржа, почта, кошелёк, форум. Названия в приложении часто обрезаны — «bin», «by», «okx2», и через полгода вы не вспомните, что это было.
2. Резервные коды. У каждой биржи в разделе безопасности есть кнопка «резервные коды» или «backup codes». Обычно это 8–10 строк, каждая работает один раз.
3. Копия секретов. Либо экспорт из приложения, либо вручную переписанные base32-строки. Второй вариант скучный, но он спасает, когда телефон уже не включается.

Шаг 1. Выпишите аккаунты и проверьте, где 2FA вообще стоит

Зайдите в настройки безопасности каждой биржи и посмотрите статус. Бывает неприятно: на основной бирже 2FA есть, а на старой, где лежит $300 в забытом альткоине, стоит только пароль. Заодно посмотрите, что стоит вторым фактором — приложение, SMS или почта: переносятся они по-разному.

Из моих четырнадцати записей пять оказались мёртвыми — аккаунты, куда я не заходила два года. Их я вычеркнула сразу: меньше работы при переносе.

Шаг 2. Скачайте резервные коды и уберите их с телефона

Резервный код — это одноразовый пароль на случай, когда аутентификатор недоступен. На большинстве бирж их выдают пачкой при включении 2FA, и там же есть кнопка «сгенерировать заново». Важная деталь: новая генерация обнуляет старую пачку. Если вы нажали её «просто посмотреть», прежние бумажки больше не работают.

Храню я их так: распечатка в папке с документами и текстовый файл в менеджере паролей. Оба места — вне телефона. Скриншот в галерее — плохая идея: у большинства телефонов включена синхронизация фото, и код, который должен лежать в ящике стола, уезжает на сервер Google или iCloud. Ровно та же ошибка с фотографией QR-кода при переносе.

Шаг 3. Экспортируйте записи из старого приложения

В Google Authenticator: три точки в углу → «Перенести аккаунты» → «Экспортировать аккаунты» → отметить нужные → появится QR. Код одноразовый, второй раз экран его не покажет, поэтому сканировать нужно сразу и не закрывая окно. Рядом со QR лежит список тех же секретов текстом — я всегда фотографирую его на второй телефон, а потом переношу вручную.

Что ещё встречается:

• Aegis, 2FAS, Ente Auth — делают зашифрованный файл-бэкап. Файл с паролем можно положить на флешку; без пароля он бесполезен.
• Microsoft Authenticator — хранит записи в личном аккаунте Microsoft, перенос идёт через восстановление на новом устройстве.
• Authy — привязывает записи к номеру телефона и умеет несколько устройств. Десктопные версии отключили в марте 2024-го, а летом через API можно было перебором проверять привязку номера; Twilio дыру закрыл, но осадок остался.
• Google Authenticator с синхронизацией — с 2023 года умеет хранить записи в аккаунте Google. Перенос происходит сам, но тогда доступ к почте становится ключом ко всем вашим кодам, а это уже горячий кошелёк по уровню риска.

Шаг 4. Поставьте приложение на новый телефон и проверьте на одном входе

Установите аутентификатор, выберите «Импорт» или «Сканировать QR» и наведите камеру на код со старого экрана. Записи появятся с теми же названиями — если приложение попросит пароль от файла бэкапа, введите его.

Дальше проверка, и её нельзя пропускать. Возьмите один сервис, где нет денег, — почту или форум — и войдите. Если код приняли, секрет перенёсся правильно. Если пишет «неверный код», почти всегда виноваты часы: в настройках телефона должно стоять автоматическое время, а расхождение больше 30 секунд ломает расчёт. Код живёт 30 секунд, сервер обычно принимает соседний шаг, то есть запас около 90 секунд. Не вводите код за две секунды до смены: пока набираете, он уже устарел.

Только после успешного входа на тестовом сервисе заходите на биржу. И не удаляйте записи со старого телефона сутки — иногда выясняется, что часть аккаунтов привязана к другому секрету.

Шаг 5. Если старого телефона нет — сброс через поддержку

Тут всё медленно и по паспорту. Биржа попросит заявку в поддержку, селфи с документом, иногда видео с фразой и датой на листе. Сроки у разных площадок — от одного дня до двух недель; после сброса вывод обычно замораживают на 24–48 часов, это защита от того самого сценария, где аккаунт угнали и сразу вывели. Именно поэтому сброс 2FA за день до крупного платежа — плохая идея.

Если резервные коды сохранились, поддержка не нужна: входите по коду, потом в настройках безопасности отключаете старый фактор и привязываете новый. Каждый код одноразовый, так что пачку придётся потом перегенерировать.

Шаг 6. Закрепите доступ на будущее

Один аутентификатор на одном телефоне — это одна точка отказа. Я держу три уровня:

• второй телефон или планшет с теми же секретами (при привязке сканирую QR двумя устройствами сразу);
• бумажная копия секретов в папке с документами, обновляю раз в год;
• аппаратный ключ формата FIDO2 за $25–60 для почты и биржи, где он поддерживается. Он не зависит от аккумулятора и не переносится по QR.

Отдельно про SMS. Код в сообщении защищает от подбора пароля, но не от подмены SIM-карты: мошенник приходит в салон с копией паспорта, получает вашу симку и вместе с ней все коды. Если второй фактор — только SMS, включите TOTP-приложение и оставьте SMS как запасной вариант. Пасфраза на кошельке и бумажный бэкап секретов закрывают другую дыру — потерю устройства.

Частые ошибки

• Скриншот QR в галерее с автопереносом в облако. Секрет уезжает на чужой сервер в открытом виде.
• Перегенерация резервных кодов без сохранения новой пачки. Старые бумажки мертвы, новых нет.
• Сброс 2FA перед выводом. Заморозка на 24–48 часов ломает планы, а не спасает деньги.
• Проверка только на бирже с деньгами. Ошибку в часах лучше ловить на почте.
• Удаление старого телефона сразу после переноса. Сутки стоит подержать: часть записей может быть на другом секрете.
• Один аутентификатор на одном устройстве. Потеря телефона превращается в потерю доступа ко всему сразу.

Коротко

• Секрет 2FA живёт в приложении, а не на бирже: перенос — это перенос строки base32.
• До переноса: список аккаунтов, резервные коды, копия секретов.
• Экспорт в Google Authenticator: три точки → «Перенести аккаунты» → QR, он одноразовый.
• Новый телефон: импорт → проверка на сервисе без денег → потом биржа.
• Код живёт 30 секунд, часы должны идти автоматически, расхождение больше 30 секунд ломает вход.
• Нет старого телефона — сброс через поддержку: паспорт, видео, 1–14 дней и заморозка вывода на 24–48 часов.
• Резервные коды храните вне телефона: бумага и менеджер паролей, без облачных фото.
• Держите второй носитель секретов и, если есть возможность, аппаратный ключ.
• SMS-2FA замените на TOTP: подмена симки обходит сообщения.