Безопасна ли криптокарта? Риски и что с ними делает Nomux

Реальные риски криптокарты

Большая часть денег, потерянных через карточные аккаунты, уходит из-за украденного входа, а не из-за взлома платёжной сети. Обычные пути — фишинговые страницы, копирующие экран входа, поддельная поддержка в мессенджерах и пароли, повторно используемые и утёкшие с других сайтов.

Настоящей поддержке никогда не нужны ваш пароль, код двухфакторной защиты или фраза восстановления кошелька. Считайте любую такую просьбу атакой, от чьего бы имени она ни пришла. Поддержка Nomux работает в Telegram-боте Nomux.

Второй риск — сама карта: номер, скопированный скиммером или утёкший из магазина. Этот риск одинаков для любой Visa или Mastercard, поэтому важно, где поставщик хранит реквизиты карт, — об этом ниже.

Вход в аккаунт

Аккаунт Nomux открывается через вход в Telegram или по почте. При регистрации Nomux предлагает двухфакторную аутентификацию TOTP — стандарт RFC 6238, которым пользуются Google Authenticator, Aegis и другие приложения-аутентификаторы.

Двухфакторная защита не обязательна, и она защищает вход: с ней одного пароля недостаточно, чтобы открыть аккаунт. Код не запрашивается повторно при каждом платеже или выводе, если сессия уже открыта.

Включение двухфакторной защиты или смена пароля завершают все остальные сессии. Если подозреваете, что у кого-то ещё есть доступ, начните с этого.

Реквизиты карты остаются у эмитента

Номер карты, срок действия и код безопасности показывает банк-партнёр в собственном защищённом окне внутри приложения Nomux. Они не проходят через серверы Nomux и не попадают в базу данных или логи Nomux.

Поэтому взлом Nomux не мог бы раскрыть номера карт: у Nomux их просто никогда не было.

Баланс, который нельзя переписать

Баланс Nomux считается из записей журнала учёта, и сама база данных отклоняет любую правку или удаление записи после её проведения. Приложение не может изменить проведённую запись даже с полными правами на запись.

Ошибки исправляются встречной записью, а прежняя запись остаётся на месте, так что вся история аккаунта сохраняется и читается.

Каждое пополнение из блокчейна зачисляется ровно один раз, даже если сеть сообщает об одном событии несколько раз. Это исключает и двойное зачисление, и потерянное.

Уведомления и что хранит Nomux

Для пополнения, заказа карты и подписки аккаунт сначала нужно подключить к Telegram: именно туда Nomux сообщает о каждом движении денег. Так вы узнаёте о каждой операции в момент, когда она происходит.

Виртуальная карта выдаётся без документов, поэтому сканов паспорта для неё у Nomux нет. Для пластиковой карты проверку проводит сервис верификации, а Nomux хранит только отметку о пройденной проверке.

Логи хранятся короткий фиксированный срок и затем удаляются. Кроме того, приложение работает без прав на изменение структуры базы данных, поэтому даже взломанное приложение не сможет удалить таблицу.

Что можете сделать вы сами

Включите двухфакторный вход, используйте пароль, которого больше нигде нет, и не отключайте уведомления в Telegram, чтобы неожиданное списание не прошло мимо вас.

Держите на балансе карты примерно столько, сколько собираетесь потратить. Если вы пользуетесь и кошельком Nomux, запишите его фразу восстановления офлайн и держите её подальше от скриншотов и облачных заметок. Кошелёк по умолчанию некастодиальный, ключ защищён вашим пасскодом, а подробно о нём рассказывает отдельная страница о безопасности кошелька.