Вайтлист (whitelist)
Вайтлист (whitelist) — список заранее одобренных адресов, на которые разрешён вывод средств. При включённом вайтлисте биржа отклонит любой вывод на адрес, которого нет в списке, даже если злоумышленник знает пароль. Это одна из самых эффективных мер защиты криптоаккаунта от несанкционированного вывода.
Включить вайтлист — одна из самых эффективных мер защиты аккаунта на бирже. Даже при полной компрометации пароля и 2FA злоумышленник не сможет вывести средства без физического доступа к вашему email и телефону одновременно.
Что такое вайтлист в криптовалюте
Термин «вайтлист» происходит от английского whitelist — буквально «белый список». В контексте криптовалютных бирж это функция безопасности, ограничивающая направления, на которые разрешён вывод средств с аккаунта. Любой адрес, не включённый в вайтлист, автоматически блокируется как цель вывода.
Представьте сценарий: злоумышленник каким-то образом получил доступ к вашему аккаунту — знает пароль и даже имеет ваш SMS-код. Без вайтлиста он немедленно выведет все средства на собственный кошелёк. С включённым вайтлистом — столкнётся с блокировкой: его адрес не находится в списке доверенных. Чтобы добавить новый адрес, ему потребуется доступ к вашей электронной почте, 2FA-устройству и дополнительно 24–48 часов ожидания — за которые вы успеете среагировать.
Вайтлист используется только для исходящих переводов (вывода средств с биржи). Он никак не ограничивает пополнение аккаунта, торговлю или внутренние переводы между аккаунтами биржи. Это точечная, хирургически точная мера защиты именно того действия, которое больше всего интересует мошенников.
Как работает whitelist на биржах
Механизм вайтлиста прост и эффективен. При каждой попытке вывода система биржи проверяет адрес назначения по сохранённому списку доверенных адресов. Если адрес в списке — вывод проходит стандартным образом (с подтверждением 2FA). Если адрес отсутствует в списке — транзакция немедленно отклоняется.
Добавление нового адреса в вайтлист — намеренно многоэтапный процесс. Стандартная процедура на большинстве бирж: ввод адреса и его метки (названия) → подтверждение по электронной почте (ссылка или код) → подтверждение через 2FA-приложение → обязательный период ожидания 24–48 часов, в течение которого новый адрес ещё недоступен для вывода.
Именно период ожидания является ключевым элементом защиты. Если мошенник добавил свой адрес в ваш вайтлист, получив доступ к аккаунту, у вас есть почти двое суток, чтобы: увидеть уведомление об изменении вайтлиста, удалить несанкционированный адрес, сменить пароль, отозвать все активные сессии и перевести средства на собственный безопасный адрес.
Вайтлист на Binance: подробная настройка
Binance — крупнейшая криптобиржа мира — предлагает две связанные функции: управление адресной книгой вывода и принудительный вайтлист (вывод только на доверенные адреса).
Для добавления адреса в адресную книгу: войдите в аккаунт и перейдите в раздел «Кошелёк» → «Вывод». Выберите монету и сеть, нажмите «Добавить новый адрес». Введите адрес кошелька и дайте ему понятное имя (например, «Мой Ledger BTC» или «Холодный кошелёк USDT TRC20»). Подтвердите через email — на привязанный адрес придёт письмо с кодом подтверждения или ссылкой. Введите код из Google Authenticator или SMS. Адрес появится в статусе «Ожидание» на 24 часа.
Для включения принудительного вайтлиста (вывод только на адреса из списка): перейдите в «Профиль» → «Безопасность» → «Настройки безопасности аккаунта». Найдите опцию «Доверенные адреса для вывода» или «Whitelist». Переключите в положение «Включено». Система запросит финальное подтверждение по email и 2FA. После включения интерфейс вывода изменится: поле ручного ввода адреса исчезнет, доступен только выбор из сохранённого списка.
Лимиты Binance: до 20 адресов на каждую монету и сеть. Этого более чем достаточно для большинства пользователей. Все адреса можно именовать для удобства навигации.
Вайтлист на Bybit и других биржах
Bybit реализует функционал вайтлиста в разделе «Адресная книга» с аналогичной логикой. Переход: «Активы» → «Вывод» → «Адресная книга». Нажмите «Добавить адрес», выберите монету, введите адрес и метку, укажите сеть. Двойное подтверждение: email + Google Authenticator. Период активации: 24 часа. Лимит: до 50 адресов на сеть.
Дополнительная функция Bybit — «Заморозка вывода». При подозрении на несанкционированный доступ можно принудительно заблокировать все выводы на 24 или 72 часа. Это крайняя мера, но в экстренной ситуации она спасает активы, пока вы восстанавливаете контроль над аккаунтом.
OKX называет функцию «Список адресов вывода» (Withdrawal address list). Настройка через: «Активы» → «Вывод» → «Адреса вывода» или «Безопасность» → «Адреса вывода». Процедура аналогична Binance. Лимит: до 100 адресов суммарно. OKX дополнительно поддерживает Anti-Phishing Code — уникальный код в письмах от биржи, позволяющий отличить настоящие письма от фишинговых.
На HTX (бывший Huobi), KuCoin, MEXC вайтлист реализован схожим образом. Общее правило: ищите раздел «Безопасность» → «Управление адресами» или «Trusted Addresses». Если вайтлист не включён по умолчанию — его нужно активировать вручную.
Вайтлист в DeFi и смарт-контрактах
В децентрализованных финансах (DeFi) понятие whitelist имеет иное значение и несколько отличных применений. Технический whitelist смарт-контракта — это список адресов, которым разрешено взаимодействие с конкретным контрактом. Например, протокол может ограничить определённые функции только верифицированными участниками или DAO-членами.
Whitelist в протоколах кредитования и ликвидности определяет, какие токены принимаются в качестве залога или доступны для торговли. Например, Aave и Compound поддерживают только верифицированные, прошедшие аудит токены — это защита пользователей от взаимодействия с вредоносными контрактами.
В контексте управления доступом (Access Control) whitelist используется для разграничения привилегий: одни адреса могут только вносить ликвидность, другие — управлять параметрами протокола. Это стандартная практика для мультисиг-кошельков и DAO-казначейств.
Важное отличие от биржевого вайтлиста: в DeFi вы взаимодействуете с кодом смарт-контракта напрямую, без посредника-биржи. Это означает, что ответственность за безопасность полностью лежит на пользователе — нет службы поддержки, которая поможет в случае ошибки.
Whitelist NFT и токенсейлов: другое значение термина
В мире NFT и первичных размещений токенов (токенсейлов) слово «whitelist» означает нечто совершенно иное: предварительный список адресов, получивших право на участие в минте (выпуске) NFT или покупке токена по приоритетной или льготной цене до начала публичной продажи.
Попадание в NFT whitelist обычно требует выполнения маркетинговых задач: приглашения определённого числа друзей в Discord, активности в сообществе, ретвитов в Twitter, участия в розыгрышах. Проект таким образом формирует лояльную аудиторию и создаёт ажиотаж перед запуском.
Мошенники активно эксплуатируют популярность NFT whitelist-ов. Схема проста: создаётся фейковый проект с обещанием «гарантированного вайтлиста», жертва выполняет задания и в итоге переходит по фишинговой ссылке на поддельный сайт минта, где теряет средства через вредоносный approve-запрос. Никогда не подключайте кошелёк к незнакомым сайтам, даже если вас туда направляет «официальный» Discord проекта.
Преимущества вайтлиста для безопасности
Вайтлист — один из немногих инструментов безопасности, который работает даже при частичной компрометации аккаунта. Рассмотрим конкретные сценарии и то, как вайтлист меняет исход.
Сценарий: утечка пароля. Ваш пароль попал в базу данных после взлома стороннего сервиса. Без вайтлиста мошенник войдёт и выведет средства. С вайтлистом — не сможет вывести на свой адрес, даже получив доступ к аккаунту.
Сценарий: SIM-своп. Злоумышленник клонировал вашу SIM-карту и получил доступ к SMS-коду 2FA. Без вайтлиста — критическая ситуация. С вайтлистом — он не может добавить новый адрес без доступа к email (отдельный аккаунт), а вывод на свой адрес невозможен.
Сценарий: фишинговый сайт. Вы случайно ввели логин и пароль на поддельном сайте биржи. Без вайтлиста — средства могут быть выведены немедленно. С вайтлистом — мошенник упирается в ограничение адресов.
Вайтлист особенно ценен в сочетании с Google Authenticator (не SMS). SMS уязвим к SIM-свопу; Google Authenticator требует физического доступа к вашему смартфону. Связка «Google Authenticator + вайтлист + отдельный email» создаёт трёхуровневую защиту, преодолеть которую без физического доступа к вашим устройствам практически невозможно.
Ограничения вайтлиста: что он не защитит
Вайтлист — мощный, но не универсальный инструмент. Понимание его ограничений помогает строить комплексную защиту, не полагаясь на единственный механизм.
Вайтлист не защитит от следующего: торговые операции внутри биржи (конвертация BTC в ETH или USDT) не ограничиваются вайтлистом — мошенник может менять активы без вывода; P2P-мошенничество, если вы сами инициируете продажу и получаете оплату фальшивыми средствами; социальная инженерия, при которой вас убеждают самостоятельно добавить адрес злоумышленника в вайтлист; взлом холодного кошелька или компрометация seed-фразы, если адрес вашего личного кошелька в вайтлисте и мошенник получил доступ к нему.
Особого внимания заслуживает атака через социальную инженерию: мошенник звонит жертве, представляясь сотрудником биржи, и инструктирует «для безопасности» добавить конкретный адрес в вайтлист. Через 24–48 часов, когда период ожидания истечёт, мошенник снова связывается с жертвой и просит перевести средства на «резервный защищённый кошелёк». Вайтлист в этом сценарии не спасает — потому что сама жертва добавила адрес злоумышленника.
Вайтлист и AML: как биржи используют списки адресов
Параллельно с пользовательскими вайтлистами биржи используют собственные централизованные whitelist-ы и blacklist-ы адресов для AML-целей (противодействие отмыванию денег).
AML-whitelist биржи — это список адресов, взаимодействие с которыми считается безопасным и не требует дополнительных проверок. В первую очередь это адреса верифицированных институциональных участников, других лицензированных бирж и кастодиальных сервисов.
AML-blacklist — список адресов, транзакции с которыми блокируются или требуют углублённой проверки. Он формируется на основе данных Chainalysis, TRM Labs, Elliptic и регуляторных санкционных списков (OFAC, EU, ООН). Если вы получили криптовалюту с адреса, входящего в AML-blacklist биржи, ваш аккаунт может быть заблокирован по AML-проверке даже при наличии корректно настроенного пользовательского вайтлиста.
Эти две системы существуют параллельно и независимо: пользовательский вайтлист управляет направлением ваших выводов, AML-система биржи управляет допустимостью транзакций с точки зрения регуляторного соответствия. KarCrypto помогает в обоих случаях: при несправедливой AML-блокировке подготавливает пакет Source of Funds для разморозки аккаунта.
Что делать если не можешь вывести с биржи
Ситуации, когда вывод средств становится невозможным, бывают нескольких типов — и алгоритм действий различается.
Вывод заблокирован вайтлистом (вы сами включили функцию и забыли добавить нужный адрес). Решение простое: добавьте нужный адрес в вайтлист стандартным образом через настройки безопасности. Дождитесь 24–48 часов ожидания. Вывод станет доступен. Совет на будущее: добавляйте все регулярно используемые адреса в вайтлист заблаговременно.
Аккаунт заблокирован по AML-проверке. Это принципиально иная ситуация. Биржа заморозила аккаунт по подозрению в нарушении AML-политики. Здесь вайтлист не причём. Необходимо: подготовить пакет документов Source of Funds (подтверждение легального происхождения криптовалюты), направить официальный запрос в compliance-отдел биржи, при необходимости — задействовать юридические механизмы. KarCrypto сопровождает весь этот процесс.
Аккаунт заблокирован из-за верификации (KYC). Биржа требует пройти более глубокую идентификацию. Стандартный KYC требует загрузки паспорта и селфи; расширенный — подтверждения адреса проживания и источника средств. Пройдите процедуру через официальный интерфейс биржи. Если KYC-документы были отклонены — обратитесь в поддержку с запросом о причинах.
Вывод недоступен из-за технических ограничений. Биржа может временно приостанавливать вывод конкретных монет на технические работы, при высокой нагрузке сети или при подозрительной активности. В этом случае обращайтесь в поддержку и следите за официальными объявлениями биржи.