Белый список адресов вывода: как защитить крипту на бирже

Я как-то зашла в аккаунт на бирже и увидела в истории входящее письмо: «Подтвердите новый адрес вывода». Я ничего не добавляла. Пароль к тому моменту я уже сменила после подозрительного входа, но если бы не белый список адресов, переписка выглядела бы иначе — просто строчка «Вывод выполнен», и деньги ушли бы на чужой кошелёк. Белый список (whitelist) — это список адресов, на которые с биржи разрешено выводить монеты. Всё, что в него не входит, биржа блокирует, даже если у злоумышленника есть пароль и двухфакторка.

С чего начать

Whitelist включается в настройках безопасности аккаунта. У крупных бирж кнопка называется Whitelist, Address Book или «Доверенные адреса». Обычно настройка выглядит так: Security → Withdrawal Whitelist → Enable. Дальше ты добавляешь свои адреса и подтверждаешь их по почте и двухфакторке.

Сам по себе whitelist бесполезен, если вход защищён только паролем. Поэтому сначала проверь двухфакторную аутентификацию через приложение, а потом включай список. Монеты на бирже — это долг биржи перед тобой, а не твои монеты в блокчейне; лишний слой защиты на выводе закрывает самый дорогой сценарий — угон средств.

Что даёт белый список

• Вывод возможен только на адреса, которые ты подтвердил заранее.
• Новый адрес нельзя добавить мгновенно: между заявкой и активацией проходит задержка (обычно 24–72 часа).
• О факте добавления нового адреса биржа пишет письмом — ты успеваешь заметить чужую активность.
• Даже при полном угоне аккаунта хакер упрётся в стену: подтвердить адрес ему нечем, если почта тоже под защитой.

Это не заменяет холодный кошелёк, но здорово страхует горячий баланс, которым ты торгуешь каждый день.

Шаг 1. Включи whitelist

Открой Security в настройках аккаунта и найди Whitelist. Включение требует подтверждения по почте — это защита от того, что кто-то включит список без твоего ведома и «запрёт» вывод навсегда. После включения по умолчанию чаще всего работает правило «выводить можно только на адреса из списка».

Шаг 2. Добавь свои адреса и подтверди их

Заведи 2–4 адреса, которыми реально пользуешься: основной холодный кошелёк, горячий кошелёк, счёт в приложении, при необходимости — адрес биржи-партнёра. Для каждого адреса:

1. Скопируй адрес из кошелька, а не из чата или письма.
2. Вставь в поле и дай ему понятное имя («Ledger — BTC», «MetaMask — ETH»).
3. Подтверди добавление по почте и через 2FA.
4. Проверь сеть: для вывода USDT адрес TRC-20 и ERC-20 — это разные строки, ошибка стоит денег.

Имена пригодятся позже: когда адресов станет пять, ты не будешь вспоминать, что за строка из 42 символов перед тобой.

Шаг 3. Задай задержку на новый адрес

Задержка (anti-phishing / withdrawal delay) — главная ценность whitelist. Ты выбираешь срок, в течение которого новый адрес нельзя использовать: сутки, двое или трое. За это время письмо о добавлении успевает дойти, и если это сделал не ты, вывод можно отменить, а аккаунт — заморозить через поддержку.

Совет из практики: ставь задержку 48 часов для крупных сумм и 24 часа для мелких. Чем больше на счёте, тем длиннее срок. Минус один — экстренный вывод придётся планировать заранее, но это цена спокойствия.

Шаг 4. Проверь список тестовой суммой

После включения не жди первой крупной сделки. Отправь минимальную сумму (например, 10–20 USDT) на адрес из списка и убедись, что монеты дошли и что адрес отображается активным. Потом попробуй вывести на адрес, которого в списке нет: биржа должна отказать с сообщением о whitelist. Так ты поймёшь, что защита реально работает, а не просто включена в меню.

Шаг 5. Укрепи почту и контактные данные

Whitelist держится на почте: подтверждение нового адреса и отмена приходят именно туда. Поэтому:

• поставь отдельный пароль на почту и свою 2FA-систему;
• убедись, что номер телефона и почта в аккаунте актуальны, иначе письмо о новом адресе уйдёт в никуда;
• проверь, что не включён автофорвард писем на чужой ящик — это любимый приём фишинга.

Если почта угнана вместе с биржей, whitelist теряет половину силы: письмо-подтверждение придёт атакующему. Две отдельные защиты — правило хорошего тона.

Шаг 6. Держи список актуальным

Кошельки меняются: ты переезжаешь на новый, старый продаёшь, у KYC-аккаунта обновляются данные. Раз в пару месяцев заходи в раздел whitelist и чисти устаревшие адреса. Чем короче список, тем меньше шансов случайно вывести не туда и тем заметнее чужая заявка на добавление.

Частые ошибки

• Включить whitelist и забыть про задержку. Без неё защита работает слабее: адрес активируется сразу, и письмо приходит, когда вывод уже в пути.
• Подтверждать адрес, скопированный из чата. Иногда злоумышленник подменяет строку на похожую в момент копирования — это разновидность отравления адреса.
• Один адрес на всё. Нужен резервный: если единственный кошелёк потерян, вывести средства будет некуда.
• Не проверить сеть. Адрес верный, а сеть не та — монеты уйдут в никуда без возврата.
• Держать всю сумму на бирже. Whitelist защищает счёт, но не биржу целиком: история знает случаи, когда закрывались сами площадки. Сбережения — на холодном кошельке.

Коротко

• Whitelist разрешает вывод только на заранее подтверждённые адреса.
• Включай его после настройки двухфакторки, а не вместо неё.
• Добавляй адреса из кошелька и подтверждай по почте и 2FA.
• Задержка 24–72 часа — твоё время заметить чужую заявку.
• Проверь работу тестовой суммой и отказом на «левый» адрес.
• Укрепи почту: на ней держится вся схема.
• Раз в пару месяцев чисти список от старых адресов.
• Крупные суммы держи на холодном кошельке, а не на бирже.