Beveiligingschecklist voor je exchange-account

Zelfs als het grootste deel van je bezit in self-custody staat, houdt bijna iedereen een exchange-account aan om te kopen, te verkopen en uit te betalen – en dat account verdient bewuste beveiliging, geen standaardinstellingen. De functies die het meest tellen, zijn die welke opnames vertragen: adres-allowlists, opnamevertragingen en API-sleutels met strak afgebakende rechten. Deze gids is een werkende checklist voor het account zelf; een sterke 2FA kiezen en phishing herkennen komen aan bod in eigen gidsen in dit leerpad.

Begin met de basis van het account

Breng, voordat je aan exchange-specifieke functies begint, de basis naar een bewezen goede staat:

Uniek wachtwoord uit een wachtwoordmanager. Meer dan 20 willekeurige tekens, nergens anders gebruikt. Credential stuffing – wachtwoorden proberen die van andere sites zijn gelekt – is nog steeds de goedkoopste aanval die er is, en exchange-logins zijn precies waartegen stuffinglijsten worden getest.
Een apart e-mailadres dat je alleen voor exchange-accounts gebruikt. Het beperkt je blootstelling aan phishing (elke exchange-mail die op je gewone adres binnenkomt, is per definitie nep) en houdt je exchange-relatie uit gewone datalekken.
De sterkste beschikbare 2FA op zowel de exchange als dat e-mailaccount, met sms verwijderd uit inlog- en herstelprocedures. De details van het waarom staan in de 2FA-gids; voor deze checklist geldt: als de exchange hardwarebeveiligingssleutels ondersteunt, gebruik ze.
Beëindig oude sessies en apparaten. Elke grote exchange heeft een pagina met actieve sessies en geautoriseerde apparaten. Trek alles in wat je niet herkent en maak er een gewoonte van dit maandelijks te controleren. Bekijk ook welke apps van derden OAuth- of API-toegang hebben en verwijder alles wat verouderd is.

Opname-allowlists: de waardevolste instelling

Een allowlist voor opnameadressen (sommige exchanges noemen het een whitelist of adresboekvergrendeling) beperkt cryptoopnames tot adressen die je vooraf hebt goedgekeurd – meestal je eigen hardwarewallet. Cruciaal is dat het toevoegen van een nieuw adres een wachttijd in gang zet, gewoonlijk 24-48 uur, waarin opnames ernaartoe geblokkeerd zijn en je een melding krijgt.

Deze ene instelling verandert de economie van vrijwel elke aanval. Een indringer die je login en 2FA volledig compromitteert, kan nog steeds nergens geld naartoe verplaatsen behalve naar je eigen wallet. Om te stelen moet hij zijn adres toevoegen en dan hopen dat jij de waarschuwingsmails twee dagen negeert. Om het te kwantificeren: een account met 30.000 dollar zonder allowlist kan binnen vijf minuten na een geslaagde phishingsessie worden leeggehaald; met een allowlist en een toevoegvertraging van 24 uur krijgt dezelfde aanvaller niets, tenzij hij ook je e-mail een dag lang kan onderdrukken – en daarom is het aparte, met een hardwaresleutel beveiligde e-mailadres belangrijk.

Zet hem aan, voeg je self-custodyadressen toe zolang het rustig is en accepteer het ongemak: als je spontaan ergens anders naartoe wilt opnemen, wacht je. Die wrijving is de functie die werkt. Combineer het met een algemene opnameblokkade of -vertraging als je exchange die biedt, en stel dagelijkse opnamelimieten in op de laagste waarde die past bij hoe je het account echt gebruikt.

Antiphishingcodes en meldingshygiëne

De meeste grote exchanges laten je een antiphishingcode instellen: een korte zin die je zelf kiest (zeg mango-vault-73) en die de exchange in elke echte e-mail aan jou opneemt. Massale phishingmails kunnen logo's en afzendernamen vervalsen, maar kunnen je persoonlijke code niet kennen – dus "dringende beveiligingsmeldingen" zonder de code ontmaskeren zichzelf als fraude. Stel er een in; het kost dertig seconden.

Zorg er dan voor dat de exchange je daadwerkelijk kan bereiken wanneer het ertoe doet:

Schakel meldingen in voor logins vanaf nieuwe apparaten, wijzigingen van wachtwoord en 2FA, wijzigingen in de adreslijst en opnames. Deze meldingen zijn je alarmsysteem tijdens de wachttijd van de allowlist.
Lees ze wanneer ze binnenkomen. Een meldingssysteem dat je jezelf hebt aangeleerd te negeren, is decoratie.
Ken het echte supportkanaal. Aanvallers volgen sociale media op mensen die klagen over problemen met een exchange en duiken erop af als "support". Echte exchange-support stuurt je nooit als eerste een privébericht, vraagt nooit om je herstelzin (seed phrase; exchanges hebben geen herstelzinnen om te herstellen) en vraagt je nooit software voor toegang op afstand te installeren.

API-sleutels: behandel ze als geld

Als je tradingbots, portefeuilletrackers of belastingsoftware gebruikt, maak je API-sleutels aan – en API-sleutels zonder afgebakende rechten zijn een van de meest voorkomende manieren waarop accounts leeglopen. Regels:

Verleen de minimale set rechten. Een portefeuilletracker heeft alleen leesrechten nodig. Een tradingbot heeft lezen + handelen nodig. Vrijwel niets legitiems heeft het opnamerecht nodig – laat het uitgeschakeld, tenzij je zelf iets hebt gebouwd dat het echt vereist en je begrijpt welke schade dat kan aanrichten.
Beperk elke sleutel tot een IP-adres: het IP van de server of van thuis die hem gebruikt, als de exchange dat ondersteunt. Een gelekte sleutel die alleen werkt vanaf het IP-adres van je bot, is voor een dief vrijwel waardeloos.
Eén sleutel per applicatie, duidelijk benoemd, zodat je één integratie kunt intrekken zonder de andere te verstoren.
Roteer en ruim op. Verwijder sleutels van diensten die je niet meer gebruikt; behandel een sleutel die twee jaar in het dashboard van een derde partij staat als gelekt totdat hij is geroteerd.

Let op het samenspel met allowlists: op de meeste exchanges kan zelfs een sleutel met opnamerecht alleen opnemen naar adressen op de allowlist. Gelaagde verdediging (defense in depth) betekent dat een aanvaller beide moet doorbreken.

Beperk wat er te stelen valt

De laatste maatregel is de oudste: blootstelling. Een exchange-account is een vordering op een bedrijf, geen coins in je zak – de inhoud ervan is blootgesteld aan de veiligheid van je inloggegevens en aan de solvabiliteit en interne controles van de exchange, een geschiedenis die in de self-custodygids van dit leerpad wordt behandeld.

Praktisch beleid voor een actieve trader: bepaal het maximum dat je op de exchange wilt hebben (voor veel mensen: wat ze actief verhandelen plus uitgaven op korte termijn – zeg 10-20% van het bezit), boek winsten boven die grens volgens een schema over naar cold storage, en spreid over twee exchanges als je saldo groot genoeg is dat één bevroren account – wat kan gebeuren bij compliance-onderzoeken, ook als je niets verkeerd hebt gedaan – je leven zou ontwrichten. Opnames naar je eigen wallet op de allowlist dienen bovendien als terugkerende test of je uitgang echt werkt.

De checklist

Loop dit vandaag door en herhaal het elk kwartaal:

Uniek door een manager gegenereerd wachtwoord; apart e-mailadres; 2FA met hardwaresleutel of TOTP op beide; sms overal verwijderd waar mogelijk.
Allowlist voor opnameadressen AAN, met alleen je eigen geverifieerde adressen; vertraging voor nieuwe adressen bevestigd; dagelijkse opnamelimiet laag ingesteld.
Antiphishingcode ingesteld; meldingen ingeschakeld voor logins, beveiligingswijzigingen en opnames.
Actieve sessies, apparaten en gekoppelde apps gecontroleerd; alles wat je niet herkent ingetrokken.
API-sleutels: minimale rechten, beperkt tot een IP-adres, één per app, opnamerecht uit, verouderde sleutels verwijderd.
Saldo op de exchange binnen je vooraf vastgestelde plafond; het teveel overgeboekt naar self-custody.

Geen van deze stappen vereist technische vaardigheid – alleen de beslissing om één geconcentreerd uur te besteden voordat een aanvaller er één aan jou besteedt.