Что такое 2FA и почему его обязательно включить
Двухфакторная аутентификация (2FA) — это второй пароль, который генерируется приложением на вашем телефоне каждые 30 секунд. Даже если злоумышленник украл ваш пароль (фишингом, через утечку из другого сайта, через подобранный или подсмотренный), без 6-значного кода 2FA он не сможет войти.
На BitMoment 2FA работает по протоколу TOTP (RFC 6238) — это стандарт, который понимают все известные приложения-аутентификаторы.
После включения 2FA код будет требоваться:
- при входе в аккаунт (после пароля);
- при выводе криптовалюты;
- при смене пароля.
Какое приложение выбрать
Подойдёт любое TOTP-приложение. Самые популярные:
- Google Authenticator (Android, iOS). Простое, бесплатное, работает без интернета.
- Authy (Android, iOS, десктоп). Облачная синхронизация между устройствами — удобно, но нужно защитить свой Authy-аккаунт.
- Microsoft Authenticator (Android, iOS). Бесплатное, есть резервное копирование в облако.
- 1Password или Bitwarden — если уже используете эти менеджеры паролей, в них есть встроенный TOTP.
Что НЕ подходит: СМС-коды. SMS можно перехватить через подмену SIM-карты (это рабочая атака), поэтому BitMoment использует именно приложения-аутентификаторы, а не SMS.
Как включить 2FA
Шаг 1. Откройте настройки безопасности
В личном кабинете перейдите в «Настройки → Безопасность».
Шаг 2. Нажмите «Включить 2FA»
Откроется окно с QR-кодом и текстовой строкой (секретом).
Шаг 3. Добавьте аккаунт в приложении
Откройте приложение-аутентификатор:
- Нажмите «Добавить аккаунт» / «+».
- Выберите «Сканировать QR-код».
- Поднесите камеру к экрану компьютера.
Если QR не сканируется — используйте опцию «Ввести вручную» и скопируйте секретную строку из формы.
Шаг 4. Введите код
В приложении появится новый аккаунт «BitMoment» с 6-значным кодом, который меняется каждые 30 секунд.
Введите текущий код в форму на BitMoment и нажмите «Подтвердить».
Шаг 5. Сразу настройте страховку от потери доступа
⚠️ Важно: на BitMoment пока нет одноразовых backup-кодов и SMS-recovery. Если потеряете телефон с аутентификатором без подготовки — единственный путь восстановления это поддержка с пакетом доказательств. Это может занять несколько дней. Подстелите соломку прямо сейчас, пока QR-код ещё на экране.
В порядке предпочтения:
- Аутентификатор с облачной синхронизацией. Authy, Microsoft Authenticator (включите backup в настройках приложения), 1Password TOTP — ключи синхронизируются в облако и восстанавливаются при переустановке. Самый удобный сценарий, fire-and-forget.
- Параллельная привязка на второе устройство. Прямо сейчас, не закрывая страницу, отсканируйте тот же QR-код на втором телефоне или планшете. Получите тот же TOTP-генератор на двух устройствах — потеря одного не блокирует. Это работает в любом TOTP-приложении.
- Распечатать QR / текстовый ключ и положить в физический сейф. Recovery-канал «на самый чёрный день», к которому вы обращаетесь раз в несколько лет. Должен лежать физически отдельно от логина-пароля от BitMoment.
⚠️ Чего не делать
- Не сохраняйте TOTP-ключ в тот же менеджер паролей, в котором лежит логин и пароль от BitMoment. Это формально превращает «два фактора» в один: компрометация vault'а → и пароль, и второй фактор разом. Если используете 1Password / Bitwarden — держите TOTP в отдельном хранилище или просто не вносите его туда; вместо этого используйте authenticator-приложение с собственной защитой.
- Не делайте скриншот QR-кода в облачную галерею (Google Photos, iCloud). Если облако компрометируется — оба фактора уходят одной картинкой.
- Не пересылайте QR / ключ себе в Telegram «Избранное», email-черновики, заметки на телефоне. Любая из этих поверхностей шире, чем нужно для 2FA.
Как работает вход с 2FA
После включения 2FA процесс входа меняется:
- Вводите email + пароль.
- Появляется окно с запросом 6-значного кода.
- Открываете аутентификатор, копируете текущий код.
- Вводите его в форму.
У вас 5 попыток на ввод кода. После 5 неверных попыток временный токен сессии сбрасывается — нужно начать вход с начала. Это защита от подбора 2FA.
2FA при выводе средств
Если у вас включён 2FA, при подтверждении вывода крипты система запросит 6-значный код ещё раз. Это страховка: даже если кто-то получил доступ к открытой сессии, без аутентификатора он не сможет вывести деньги.
Если потерян доступ к 2FA
Сценарии: потеряли телефон, переустановили приложение и потеряли аккаунты, удалили запись «BitMoment» по ошибке.
Вариант 1. Где-то остался рабочий генератор кодов
- Облачная синхронизация. Если использовали Authy / Microsoft Authenticator с backup / 1Password TOTP — поставьте приложение на новое устройство, войдите в свой облачный аккаунт, ключи восстановятся.
- Второе устройство с тем же 2FA. Если на шаге настройки сканировали QR на двух устройствах — берёте код оттуда.
- Физический бэкап. Распечатанный QR или текстовый ключ в сейфе. Вводите ключ в новый аутентификатор вручную.
Сразу после восстановления доступа отключите 2FA и включите её заново с правильной страховкой (cloud-sync или второе устройство).
Вариант 2. Ничего не осталось
Напишите в support@bitmoment.pro со следующей информацией:
- email аккаунта;
- никнейм;
- подробное описание ситуации;
- селфи с паспортом и листом бумаги с текущей датой и фразой «No 2FA» (для подтверждения личности, по аналогии с KYC).
Восстановление вручную занимает несколько часов до нескольких рабочих дней — это сделано специально, чтобы мошенник, укравший ваш email, не смог обойти 2FA через «забыл код». Не создавайте дублирующие тикеты — это только замедлит процесс. Подробный пакет доказательств — в FAQ Я потерял доступ к 2FA.
Восстановление пароля и 2FA
Сейчас восстановление пароля через email доступно без 2FA — это известная особенность и в нашей дорожной карте безопасности есть пункт «потребовать TOTP при reset-password». Пока этого нет, важная защита — это сильный пароль на самом email и 2FA в почтовом сервисе.
Дополнительные практики
- Не держите оба фактора в одном vault'е. Если используете менеджер паролей с встроенным TOTP — пусть в нём лежит TOTP-ключ либо пароль от BitMoment, но не оба одновременно.
- Регулярно проверяйте список активных сессий в «Безопасность → Сессии». Если видите чужое устройство — нажмите «Завершить».
- При смене телефона — сначала включите аутентификатор на новом устройстве, добавьте BitMoment (можно временно сосуществовать), убедитесь, что код работает, и только потом снимайте 2FA со старого.