Ви змінюєте оператора, даєте старому тарифу спливти, а за кілька місяців екран входу просить код, який надсилають на номер, що вам уже не належить. Акаунт не зник, і блокчейн тут ні до чого. Наскільки важкою буде найближча година, вирішує те, яке з трьох окремих завдань цей номер виконував для акаунта.
Номер телефону виконує до трьох завдань одночасно
Акаунт може причепити ваш номер у трьох різних місцях. Він може бути ідентифікатором входу, тобто тим, що ви вводите там, де хтось інший вводить адресу пошти. Він може бути каналом доставки одноразового коду, і саме цим є двофакторна автентифікація через SMS. І він може бути контактними даними всередині запису про особу, поруч із вашим повним іменем та номером документа.
Ніщо на екрані входу не підказує, який із трьох випадків ваш, а відмовляють ці три в різні моменти. Контактні дані відмовляють беззвучно: сповіщення перестають надходити, і ви дізнаєтеся про це лише тоді, коли підете їх шукати. Канал доставки відмовляє при наступному вході, де попросять код. Ідентифікатор відмовляє на першому ж натисканні клавіші, бо вводити вже нічого.
Це число визначає й те, скільки роботи лишиться після того, як ви полагодите очевидну частину. Перенесення другого фактора з SMS закриває друге завдання і лишає два інші рівно там, де вони були, і саме так акаунт лишається прив'язаним до мертвого номера ще довго після того, як ви вважали питання вирішеним.
| Що робив номер | Як проявляється втрата | Чим це доводиться замінити |
|---|---|---|
| Ідентифікатор входу | Вхід неможливо навіть почати | Інший ідентифікатор у записі або відновлення в провайдера |
| Канал доставки коду | Пароль підходить, код не приходить ніколи | Інший другий фактор або відновлення в провайдера |
| Контакт у записі про особу | Нічого не надходить і ніщо про це не повідомляє | Оновлений запис, змінений зсередини акаунта |
Номер перестає бути вашим не одним способом
Номер, чий тариф сплив, не є мертвою лінією. Оголошуючи свою базу переприсвоєних номерів, Федеральна комісія зв'язку Сполучених Штатів написала, що мільйони телефонних номерів переприсвоюють щороку і що абоненти, які користуються базою, зможуть з'ясувати, які номери було остаточно відключено та зроблено доступними для переприсвоєння. Тож код, надісланий на звільнений номер, цілком може бути доставлений у звичайному порядку, тому, хто володіє ним тепер.
Другий шлях полягає в тому, що номер забирають, поки він ще ваш. У разі атаки, яку називають SIM swap, зловмисник переконує вашого оператора перенести обслуговування на телефон у його руках; у шахрайстві з перенесенням він видає себе за вас, відкриває рахунок в іншого оператора й домагається переведення номера туди. У листопаді 2023 року Комісія ухвалила правила, які зобов'язують операторів мобільного зв'язку застосовувати надійні способи автентифікації клієнта, перш ніж перенаправляти його номер на новий пристрій або до нового оператора, і негайно повідомляти клієнтів про будь-яку заміну SIM-карти чи запит на перенесення в їхніх акаунтах.
Для того, хто проєктує процедуру відновлення, обидва шляхи ведуть до одного висновку. Настанови з цифрової ідентичності, опубліковані Національним інститутом стандартів і технологій Сполучених Штатів, позначають використання телефонної мережі загального користування для позасмугової перевірки як обмежене й вимагають від перевіряльників зважувати індикатори ризику, як-от заміна пристрою, зміна SIM-карти та перенесення номера, перш ніж надсилати нею секрет. Номер телефону не може бути тим, що доводить, що ви це ви, саме тому, що номер і є тією частиною, яку могли перемістити.
У кастодіального акаунта є адміністратор
Акаунт на біржі взагалі можна відкрити наново лише тому, що ключі тримає хтось інший. У кастодіальній схемі провайдер керує приватними ключами й веде поверх них обліковий шар, тож існує сторона, повноважна змінювати те, що цей акаунт приймає як доказ, що це ви.
Самостійне зберігання такої посади не має. Ніхто не випише вам заміну секрету, і тому втрачена сід-фраза й втрачений номер телефону належать до різних категорій задач, хоча обидві відчуваються як зачинені двері. Відновлення на кастодіальному акаунті нічого не повертає. Це відв'язування провайдером одного автентифікатора й прив'язування іншого до того самого користувача, і перше питання, яке йому треба вирішити, не в тому, чи тримаєте ви телефон, а в тому, чи ви та людина, якій акаунт належить.
Відсутній код заміняє запис про особу
Справа, за якою акаунт відкривали, це та сама справа, за якою його відкривають знову. Оскільки платформа під час реєстрації провела верифікацію акаунта, у неї є повне ім'я, дата народження й документ, який вона може попросити показати ще раз. Запит на відновлення оцінюють за цією справою, тож надіслане має сходитися з тим, що подавали тоді, а не з тим, як справи стоять сьогодні.
Kraken описує цю схему прямо. Якщо ви втратили доступ і до двофакторної автентифікації входу, і до Master Key, задокументований крок це обрати відновлення акаунта, коли під час входу запитують код. Коли цей шлях недоступний, ви надсилаєте звернення до підтримки, і працівник відповідає електронною поштою, щоб зняти з акаунта вимогу другого фактора й дати вам увімкнути її наново на своєму пристрої.
Та сама документація несе речення, яке варто прочитати двічі: налаштувати Master Key після того, як двофакторну автентифікацію входу вже втрачено, неможливо. Запасний вихід рахується лише тоді, коли його підготували, поки доступ ще був, і це загальна властивість конструкції відновлення, а не примха однієї платформи. Національні настанови формулюють цей самий пункт як рекомендацію тримати щонайменше два дійсні автентифікатори кожного фактора, яким ви користуєтеся.
Затримка це засіб контролю, а не тертя
Процедура відновлення, яка прив'язує новий номер за секунди, це процедура, яку за секунди пройде й зловмисник із вашим номером. Кожна перевірка, що вас гальмує, існує тому, що точно такий самий запит надходить і від людей, які не є вами, а в момент його надходження провайдер цих двох не розрізняє.
Це та сама форма, що й білий список виведення, де щойно додана адреса мусить зачекати, перш ніж стане придатною. Період очікування не робить адресу безпечнішою. Він робить час, потрібний на спорожнення викраденого акаунта, довшим за час, потрібний вам, щоб помітити й втрутитися. У застосуванні до автентифікаторів заморожування після завершеного відновлення захищає вас від тієї версії події, де відновлював доступ не ви.
Підготуйте запасний вихід заздалегідь
Робота, яка робить це безболісним, має відбутися, поки старий номер ще відповідає. Якщо ви переходите на новий пристрій, перевірте, чи вміє ваш застосунок-автентифікатор експортувати свої записи на новий, і зробіть перенесення, поки обидва телефони у вас у руках. Якщо експорту немає, спершу додайте до акаунта другий метод, а вже потім приберіть старий.
Перенесіть номер, а не дозволяйте тарифу спливти, і тримайте стару лінію доступною, доки не завершено кожну повторну прив'язку. Саме відключення насамперед перетворює зміну налаштування на перевірку особи, бо після нього в акаунта не лишається жодного каналу, який усе ще належить вам.
| Зробіть це, поки номер працює | Яке завдання це покриває |
|---|---|
| Збережіть резервні коди, видані наприкінці налаштування другого фактора | Канал доставки |
| Додайте другий фактор того самого роду, наприклад апаратний ключ безпеки | Канал доставки |
| Змініть номер телефону в налаштуваннях акаунта до відключення тарифу | Ідентифікатор і запис про особу |
| Налаштуйте власний ключ відновлення або майстер-ключ провайдера | Усі три |
| Переконайтеся, що пошта на акаунті все ще під вашим контролем | Ідентифікатор і запис про особу |
Сервіси відновлення не можуть нічого прив'язати наново
Змінювати те, що акаунт приймає як доказ, може лише провайдер, тож жодна стороння сторона не поверне доступ до кастодіального акаунта, хоч би як вона себе описувала. Пропозиції, що скупчуються навколо цієї теми, належать до тієї самої родини, що й сервіси відновлення, які обіцяють відтворити втрачену сід-фразу, і живляться вони з тієї самої асиметрії: ззовні важко зрозуміти, до якого шару системи незнайомець нібито дотягується.
Ознаки практичні. Справжнє відновлення починається там, де ви й так є, на власному екрані входу провайдера або в його формі підтримки, і ніколи не починається з того, що з вами зв'язався незнайомець. Документам, що посвідчують особу, місце всередині застосунку чи сайту провайдера й ніде більше. Передоплата, гарантований строк або прохання назвати одноразовий код описують сторону, яка або безсила, або ворожа, і в обох випадках передача документів робить ваше становище гіршим.
Підсумок
Втрата номера, прив'язаного до крипто-акаунта, це задача про прив'язку, а не про загублену річ. З'ясуйте, яке з трьох завдань виконував номер, бо саме це відділяє зміну налаштування від заміни другого фактора й від повної перевірки особи. Полагодивши другий фактор, ви лагодите одне з трьох.
Код, який ви більше не можете отримати, заміняє запис про особу, за яким акаунт відкривали, і провайдер рухатиметься зі швидкістю, яку цей запис дозволяє. Підготуйте запасний вихід зараз, поки номер ще ваш, і тримайте його там, куди втрата одного пристрою не дістане. Щоб і далі опановувати основи, читайте інші матеріали Bitbase Academy.
Схожі матеріали
Інші матеріали Bitbase на цю тему:
- Верифікація корпоративного крипторахунку: вимоги KYC для компанії
- Конвертація крипто-пилу та записи, які вона лишає
- Пропущено дедлайн виведення делістингованого токена
- Як оскаржити обмеження акаунта на криптобіржі
- Запуски мемкоїнів на Solana та ризики токенів
Застереження: Ця стаття є освітнім матеріалом Bitbase Academy і надається лише для інформації. Вона не є інвестиційною, торговою, податковою чи фінансовою порадою. Криптоактиви волатильні — оцінюйте ризики самостійно. Написано станом на вересень 2026 року; орієнтуйтеся на найновішу офіційну інформацію.
Джерела
[1] Національний інститут стандартів і технологій, спеціальна публікація 800-63B, Digital Identity Guidelines: Authentication and Lifecycle Management pages.nist.gov
[2] Служба підтримки Kraken, How to transfer authenticator app sign-in 2FA to a new phone (and bypass sign-in 2FA for a lost phone) support.kraken.com
[3] Служба підтримки Kraken, How to recover your Sign-in 2FA (Master Key як спосіб входу) support.kraken.com
[4] Федеральна комісія зв'язку, пресреліз, FCC Adopts Rules to Protect Consumers' Cell Phone Accounts, 15 листопада 2023 року docs.fcc.gov
[5] Федеральна комісія зв'язку, пресреліз, FCC Establishes Reassigned Phone Numbers Database to Help Reduce Unwanted Calls to Consumers, 12 грудня 2018 року docs.fcc.gov
