Риски конфиденциальности криптовалютных портфельных трекеров и API-ключи бирж: практический чек-лист безопасности
Портфельный трекер экономит время: он собирает балансы и историю операций с нескольких бирж в одном месте. Но вместе с удобством появляется ещё одно место, где нужно защищать финансовые данные и доступ к аккаунтам. Прежде чем подключать сервис, определите, какие данные ему нужны, ограничьте права каждого API-ключа этой задачей и выясните, как отозвать доступ.
Риски зависят от трекера, биржи и предоставленных разрешений. Даже доступ только для чтения может раскрыть балансы, состав активов и историю операций. Считайте каждое подключение осознанным решением поделиться определёнными данными, а не безобидным способом сэкономить время.
Перед подключением: определите, что действительно нужно трекеру
Сначала решите, для чего вам нужен трекер. Если достаточно раз в месяц фиксировать состав портфеля, возможно, хватит ручного ввода. Таблица с указанием актива, количества, биржи и даты позволит обойтись без доступа стороннего сервиса к биржевому аккаунту.
Ручной ввод требует больше усилий, особенно если вы часто торгуете. Зато вы сами решаете, что записывать. Например, можно вносить балансы раз в неделю и не включать депозиты или операции, не важные для личного учёта.
Если важны автоматические обновления, проверьте, поддерживает ли трекер доступ только для чтения. Такой API-ключ может позволить получать балансы и историю операций, не размещая ордера. Точные названия разрешений зависят от биржи, поэтому ориентируйтесь на экран настроек прав самой биржи, а не только на описание трекера. Чтобы понять, как безопасно подключить криптотрекер к бирже, заранее определите, какие данные нужны сервису, и выдайте только соответствующие разрешения.
Подумайте, какие выводы трекер сможет сделать из полученных данных. История депозитов, выводов и сделок может показать, когда вы пользуетесь биржей и как меняется состав ваших активов. Риски конфиденциальности криптовалютных портфельных трекеров и API-ключи бирж — две связанные проблемы: данные, которые собирает трекер, и доступ, который даёт ключ.
Прежде чем создавать ключ, составьте короткий список нужных функций. Если вам нужны только балансы, не включайте историю операций, кроме случаев, когда без неё трекер не работает и вы готовы раскрыть дополнительные данные. Если сервис не может объяснить, зачем ему то или иное разрешение, приостановите подключение и обратитесь в службу поддержки.
Перед подключением: проверьте разрешения API-ключа
В интерфейсе биржи разрешения API обычно представлены флажками или переключателями. Их названия могут различаться, поэтому внимательно проверьте каждое. Для портфельного трекера, как правило, следует отключить торговлю, вывод средств, внутренние переводы и другие функции управления аккаунтом — если только нет конкретной и проверенной причины включить их. Если вы выясняете, какие права дать API-ключу криптовалютной биржи, начните с режима только для чтения и не включайте возможности, не нужные для работы трекера.
Проверьте, есть ли разрешения на размещение или отмену ордеров, перемещение средств, изменение настроек аккаунта или управление другими API-ключами. Трекеру, который только показывает данные портфеля, такие возможности не нужны. Если биржа предлагает отдельный режим только для чтения, выберите его и убедитесь, что торговля и вывод средств отключены.
Некоторые биржи позволяют ограничить API-ключ по IP-адресу. Это может быть полезно, если трекер публикует постоянный диапазон IP-адресов, а биржа поддерживает список разрешённых адресов. Но не вводите адрес наугад или с неофициального сайта. Если инструкции трекера непонятны, не используйте эту настройку, пока не проверите данные.
После создания ключа ещё раз проверьте его разрешения. Запишите настройки прав и дату проверки: краткая заметка в менеджере паролей безопаснее скриншота в общей галерее фотографий.
Дополнительные меры защиты аккаунта можно сверить с чек-листом безопасности криптовалютной биржи. Главное правило простое: у подключения трекера не должно быть больше прав, чем необходимо для его задачи.
Во время настройки: ограничьте доступ к аккаунтам и данным
Подключайте только те биржи, субаккаунты и кошельки, которые действительно хотите отслеживать. Если на бирже долгосрочные активы хранятся отдельно от средств для активной торговли, подключите только субаккаунт с долгосрочными вложениями — так трекер получит меньше данных об операциях.
Прежде чем подключать кошелёк, убедитесь, что трекеру достаточно публичного адреса или соединения только для чтения, а не сид-фразы или приватного ключа. Никогда не вводите сид-фразу кошелька в портфельный трекер. Сервис, который её запрашивает, просит контроль над кошельком, а не просто разрешение показывать баланс.
Перед импортом полной истории операций проверьте доступные настройки. Возможно, можно указать диапазон дат, выбрать отдельные активы или отключить определённые категории данных. Если вам нужен только текущий баланс, не импортируйте многолетнюю историю, не имеющую отношения к делу, лишь потому, что эта опция включена по умолчанию.
Перед завершением настройки проверьте название аккаунта в трекере. Легко подключить личный аккаунт вместо бизнес-субаккаунта или связать биржевой аккаунт с операциями, которыми вы не собирались делиться. Одна тщательная проверка поможет избежать ненужной передачи данных.
Если возможно, используйте для отслеживания отдельный субаккаунт на бирже. Ограничьте его права и состав активов выбранной задачей и не добавляйте аккаунты только потому, что трекер предлагает подключить их одним нажатием.
После настройки: защитите ключи и аккаунты на устройствах
Храните API-ключи и секреты в надёжном менеджере паролей. Добавьте к записи название биржи и трекера, дату создания ключа и выданные разрешения. Такой менеджер проще проверять и обновлять, чем набор разрозненных заметок.
Не сохраняйте ключи в обычных текстовых заметках, черновиках писем, сообщениях или скриншотах. Такие файлы могут синхронизироваться с другими устройствами или облачными сервисами, доступ к которым шире, чем вы предполагаете. Если вы уже сделали скриншот с ключом, удалите его с устройства и проверьте синхронизированные папки и недавно удалённые файлы.
Защитите устройство, с которого управляете доступом к бирже. Включите блокировку экрана, устанавливайте обновления операционной системы и не создавайте и не меняйте ключи на общедоступном компьютере. Если устройство потеряно, считайте сохранённый на нём ключ потенциально скомпрометированным, пока не отзовёте его через биржу.
Включите многофакторную аутентификацию для аккаунта на бирже и в трекере, если такая возможность есть. По возможности используйте приложение-аутентификатор или аппаратный ключ безопасности. Коды восстановления храните отдельно от устройства, которое они защищают. Один только пароль может не помочь, если его украдут с помощью фишинга или скомпрометированного устройства.
Используйте уникальный пароль для каждого сервиса. Если трекер отправляет уведомления о входе или показывает список активных сеансов, включите уведомления и проверьте этот список после настройки. Защищать аккаунт важно, даже если API-ключ не позволяет торговать: при взломе учётной записи трекера могут раскрыться данные о портфеле.
Во время использования: следите за подозрительной активностью ключей
Время от времени проверяйте страницу управления API на бирже. Сверяйте название ключа, его разрешения, сведения о последнем использовании и ограничения по IP-адресам. Неизвестное время активности или изменение разрешений заслуживает внимания, даже если баланс не изменился.
- Поищите незнакомые API-ключи, в том числе старые тестовые ключи.
- Убедитесь, что торговля, вывод средств и переводы по-прежнему отключены.
- Проверяйте уведомления биржи о новом доступе через API и изменениях настроек безопасности.
- Просмотрите историю входов в трекер и завершите незнакомые сеансы.
- Если данные не сходятся, сравните отображаемые балансы с балансами на бирже.
Не считайте панель трекера полной записью событий безопасности. Проверяйте активность API и уведомления аккаунта непосредственно на бирже. Если биржа показывает, что ключ использовали из незнакомого места или в необычное время, сначала отзовите его и только потом разбирайтесь в ситуации.
Будьте внимательны и к запросам службы поддержки. Сотрудникам официальной поддержки не должны требоваться ваши секретный API-ключ, пароль или код аутентификации в сообщении. Если нужно, сообщите название ключа или отправьте скриншот с закрытыми данными. Перед отправкой удалите идентификаторы аккаунта и секретные значения.
Если что-то изменилось: безопасно отзовите и замените доступ
Отзовите API-ключ, если потеряли телефон или компьютер, на котором хранился секрет, подозреваете, что кто-то получил доступ к аккаунту трекера, или биржа сообщила о необычной активности. Откройте настройки API на бирже, отключите или удалите ключ и убедитесь, что его статус изменился на «отозван» или «неактивен».
Если вы подозреваете взлом аккаунта, защитите и сам вход на биржу: смените пароль, проверьте настройки многофакторной аутентификации, завершите неизвестные сеансы и свяжитесь с биржей через официальный канал поддержки. Если могли пострадать средства или настройки аккаунта, действуйте по процедуре биржи для таких инцидентов, а не полагайтесь на трекер.
При переходе на другой трекер отзовите ключ старого сервиса до создания нового. Не оставляйте оба ключа активными «на всякий случай». Создав новый ключ, проверьте его разрешения и подключите только нужные данные аккаунта.
Если меняются настройки аккаунта на бирже — например, появляется новая структура субаккаунтов или выполняется сброс параметров безопасности, — проверьте все существующие API-ключи. Некоторые из них могут быть уже не нужны, а ранее выбранные разрешения — не соответствовать новой конфигурации. Ведите простой список ключей в менеджере паролей, чтобы знать, с каким трекером связана каждая запись.
После отзыва снова зайдите на биржу и убедитесь, что ключ больше не активен. Удаление подключения в самом трекере не обязательно отзывает биржевой ключ: это разные действия, и иногда нужно выполнить оба.
Перед выбором трекера и при отказе от него: проверьте, как выйти
Перед регистрацией выясните, как отключить аккаунт биржи и что произойдёт с сохранёнными учётными данными после отключения. Кнопка «Отключить» может остановить будущую синхронизацию, но не удалить данные, которые сервис уже хранит. Проверьте актуальные настройки и документацию трекера: способы удаления и сроки хранения данных могут меняться, поэтому уточняйте их непосредственно у сервиса.
Прежде чем полагаться на трекер как на единственную копию записей, проверьте функцию экспорта. По возможности выгрузите небольшой образец и убедитесь, что даты, названия активов и типы операций отображаются в удобном формате. Храните важные записи в надёжном месте под вашим контролем, а не рассчитывайте на постоянный доступ к аккаунту в одном трекере.
При отказе от сервиса экспортируйте нужные записи, отключите каждую биржу и кошелёк, а затем отзовите соответствующие API-ключи на биржах. Проверьте настройки аккаунта трекера: возможно, запрос на удаление нужно отправить отдельно. Сохраните подтверждение, если сервис его предоставит. Если непонятно, удаляются ли учётные данные и история операций, попросите поддержку дать чёткий ответ до закрытия аккаунта.
Наконец, после отключения трекера снова проверьте страницу управления API на бирже. Убедитесь, что все связанные с ним ключи неактивны: даже старый ключ только для чтения может продолжать раскрывать данные аккаунта, если он ещё действует.
