Белый список адресов, или allowlist, ограничивает вывод криптовалюты заранее сохранёнными реквизитами. Даже если посторонний войдёт в аккаунт, он не сможет сразу выбрать произвольный адрес, пока ограничение действует. Однако список не проверяет владельца кошелька, сеть и безопасность самого адреса – эти сведения пользователь сверяет отдельно.
Как работает ограничение вывода
Пользователь добавляет адрес в адресную книгу биржи, указывает актив или сеть, если сервис их запрашивает, и подтверждает изменение доступным способом защиты. После включения allowlist форма вывода принимает только сохранённые назначения. На некоторых площадках новое назначение или отключение защиты вступает в силу после периода ожидания.
Конкретные названия, сроки и способы подтверждения различаются. Перед настройкой откройте официальную справку своей биржи и узнайте, какие продукты и типы вывода покрывает функция. Не переносите инструкции одной площадки на другую.
От какой атаки помогает список
Если злоумышленник получил пароль и сессию биржи, его обычная цель – вывести активы на собственный адрес. Действующий allowlist блокирует новый реквизит или создаёт задержку, во время которой владелец может заметить уведомление, завершить чужие сессии и защитить аккаунт.
Эта мера особенно полезна для аккаунта, из которого средства регулярно уходят на один аппаратный кошелёк или ограниченный набор адресов. Для разовых переводов она менее удобна, но дополнительное ожидание всё равно отделяет изменение настроек от немедленного вывода.
Если аккаунтом пользуется организация, одного списка мало: добавление назначения и сам вывод желательно разделить между разными участниками, когда площадка поддерживает роли и согласование. Тогда человек, создающий заявку, не может единолично добавить собственный адрес и сразу исполнить перевод.
Чего белый список не проверяет
- Он не доказывает, что адрес принадлежит нужному человеку или сервису.
- Он не исправляет ошибочно выбранную сеть и не добавляет Memo или Tag.
- Он не защищает, если злоумышленник контролирует уже сохранённый кошелёк.
- Он не отменяет подтверждённую транзакцию и не гарантирует возврат.
- Он не заменяет защиту почты, 2FA и проверку активных сессий.
Поэтому при добавлении назначения выполните обычную проверку реквизитов. Пошаговый порядок есть в материале о проверке адреса и тестовом переводе.
Как безопасно добавить первый адрес
- Откройте биржу через сохранённую закладку или официальное приложение.
- Получите адрес на доверенном экране кошелька или официальной странице депозита.
- Сверьте актив, сеть, всю строку адреса и обязательный Memo или Tag.
- Дайте записи понятную метку, не содержащую секретных сведений.
- Подтвердите добавление и дождитесь фактической активации по правилам площадки.
- Отправьте небольшую сумму и убедитесь в зачислении до основного вывода.
Не копируйте адрес из старой истории транзакций: туда может попасть похожая строка. При выводе USDT дополнительно проверьте сеть по инструкции о выборе сети USDT.
Как защитить изменение списка
Используйте независимый второй фактор, а не только SMS, если биржа предлагает более устойчивый вариант. Защитите почту отдельным паролем и 2FA, поскольку через неё часто подтверждаются изменения. Уведомления о новом адресе должны приходить на устройство или ящик, которые не зависят от той же сессии.
Периодически проверяйте активные устройства, API-ключи и адресную книгу. Не оставляйте неизвестную запись «на потом». Если биржа позволяет блокировать настройки или требовать отдельного подтверждения для их изменения, оцените эту функцию вместе с allowlist.
Убедитесь, что API-выводы подчиняются тем же ограничениям. На одной площадке allowlist распространяется на интерфейс и API, на другой правила могут отличаться по продуктам. Удалите ключи, которыми не пользуетесь, и не выдавайте право вывода торговому приложению без необходимости.
Что делать при неожиданном уведомлении
Не переходите по кнопке из письма. Вручную откройте официальный сайт, проверьте адресную книгу, историю входов и выводов. Завершите неизвестные сессии, смените пароль с чистого устройства и защитите связанную почту. Если доступно штатное замораживание аккаунта, используйте его по официальной инструкции.
Создайте обращение в настоящей поддержке и передайте время уведомления, идентификаторы операций и публичные адреса. Seed-фраза, приватный ключ, пароль и код 2FA для проверки не нужны. Как отличить настоящего сотрудника, описано в статье о мошенниках под видом поддержки.
Если сохранённый адрес изменился
Адрес депозита сервиса или ваш способ хранения могут измениться. Не редактируйте запись только по письму или сообщению. Получите новые реквизиты внутри официального интерфейса, подтвердите их через второй канал и добавьте как отдельную запись. Старую запись удаляйте после проверки, чтобы похожие названия не приводили к ошибке.
Для адресов с Memo или Tag сохраняйте назначение только в той форме, которую поддерживает биржа. Неверный идентификатор может помешать зачислению даже при правильном основном адресе; отдельный алгоритм приведён в материале о неправильном Memo или Tag.
Практичная схема для регулярных выводов
Оставьте в списке минимальное число реально используемых назначений, назовите их по владельцу и сети, включите уведомления и независимую 2FA. Для нового адреса планируйте добавление заранее, а не в момент срочного перевода. Перед каждым выводом всё равно сверяйте сеть, актив, адрес и сумму.
Allowlist полезен как один из слоёв: он затрудняет быстрый вывод после захвата аккаунта, но не превращает сохранённый адрес в проверенный навсегда. Безопасность появляется из сочетания ограничения, контроля почты, второго фактора и внимательной проверки каждой транзакции.
После каждого изменения сохраняйте уведомление и самостоятельно проверяйте итоговый список. Если сервис показывает дату добавления или статус ожидания, дождитесь завершения именно внутри аккаунта. Письмо «адрес активирован» не является достаточным подтверждением, если в официальном интерфейсе запись отсутствует или отличается.
