Jak działa bezpieczeństwo Nexo

Bezpieczeństwo w kryptowalutach to wspólna odpowiedzialność. Platformy wdrażają odpowiednie środki — kontrole infrastruktury, wykrywanie oszustw, szyfrowanie — jednak znaczna część ryzyka związanego z kontem może leżeć po stronie użytkownika: słabe hasła, niezweryfikowane linki, adresy podmieniane bez wiedzy właściciela.

Ten artykuł omawia obie kwestie. Co działa w tle w Nexo, co weryfikują niezależni audytorzy i co możesz samodzielnie włączyć, aby znacząco utrudnić dostęp do swojego konta osobom niepowołanym.

Co działa w tle

Działają domyślnie. Nie trzeba niczego konfigurować ani włączać — są aktywne dla każdego konta i każdej transakcji.

Silnik anty-scam

Każda wypłata w Nexo przechodzi przez zautomatyzowany silnik anty-scam, który analizuje transakcje w czasie rzeczywistym, zanim środki opuszczą platformę. Jeśli coś wzbudza wątpliwości — adres powiązany ze znaną aktywnością scam, nietypowy wzorzec transakcji, destynacja niezgodna z poprzednim zachowaniem — zobaczysz komunikat w prostym języku wyjaśniający powód zastrzeżeń. Bez żargonu, bez ogólnikowych ostrzeżeń. W rzadkich przypadkach wysokiego ryzyka transakcja może zostać krótko wstrzymana do weryfikacji.

Silnik działa cicho w tle. Większość użytkowników nigdy się z nim nie zetknie. O to właśnie chodzi.

Szyfrowanie

Dane przesyłane i przechowywane na platformie są chronione szyfrowaniem SSL AES 256-bit — tym samym standardem, który stosują instytucje finansowe i wielka infrastruktura chmurowa na całym świecie.

Niezależne audyty

Infrastruktura Nexo jest niezależnie audytowana pod kątem szeregu międzynarodowo uznanych standardów bezpieczeństwa, wszystkich odnawianych co roku:

SOC 2 Type 2 — operacyjne kontrole i procesy bezpieczeństwa
SOC 3 — publiczne podsumowanie audytu SOC 2
ISO 27001 — zarządzanie bezpieczeństwem informacji
ISO 27017 — kontrole bezpieczeństwa specyficzne dla chmury
ISO 27018 — ochrona danych osobowych w chmurze
CSA STAR Level 1 — zapewnienie bezpieczeństwa w chmurze

Przeprowadzają je niezależne strony trzecie w regularnych odstępach czasu.

Co możesz włączyć

Strona platformy obejmuje infrastrukturę i transakcje. Czego nie może objąć, to dostęp do Twojego konta — to zależy od tego, jak je skonfigurowałeś. Te funkcje są dostępne dla każdego użytkownika i zajmują kilka minut, by je skonfigurować.

Uwierzytelnianie dwuskładnikowe (2FA)

2FA dodaje drugi krok weryfikacji podczas logowania. W Nexo ta sama weryfikacja — SMS, e-mail lub aplikacja uwierzytelniająca — jest też wymagana przy wrażliwych działaniach: wypłatach, edycji Spisu adresów i zmianach Ustawień bezpieczeństwa. Nawet jeśli ktoś zna Twoje hasło, nie może przenieść środków ani zmienić ustawień bez drugiego składnika.

Aplikacje uwierzytelniające (takie jak Google Authenticator lub Authy) są bezpieczniejsze niż 2FA przez SMS. SMS jest podatny na ataki SIM swap, podczas których atakujący przekonuje operatora sieci komórkowej do przeniesienia numeru na kontrolowaną przez siebie kartę SIM. Jeśli używasz 2FA przez SMS, przejście na aplikację uwierzytelniającą jest warte dwóch minut, które to zajmuje.

Aby włączyć: przejdź do Ustawień bezpieczeństwa i wybierz preferowaną metodę 2FA.

Ważna uwaga: 2FA znacznie zmniejsza ryzyko nieautoryzowanego dostępu, ale nie jest pełną gwarancją bezpieczeństwa. Przechowuj kody odzyskiwania w bezpiecznym miejscu — utrata dostępu do urządzenia 2FA bez kopii zapasowej może zablokować dostęp do konta.

Kod antyphishingowy

Phishing — fałszywe e-maile podszywające się pod Nexo — to jeden z najczęstszych wektorów ataku w świecie kryptowalut. Kod antyphishingowy to osobisty ciąg znaków ustawiony przez Ciebie, który pojawia się w stopce każdego oficjalnego e-maila od Nexo. Jeśli e-mail podający się za Nexo nie zawiera Twojego kodu, nie pochodzi od Nexo.

Aby go ustawić: otwórz aplikację Nexo → dotknij swojego profilu → Bezpieczeństwo i Ustawienia → Kod antyphishingowy → wprowadź wybrany przez siebie kod.

Po ustawieniu traktuj każdy e-mail od Nexo bez Twojego kodu jako podejrzany — niezależnie od tego, jak przekonująco wygląda.

Dodawanie adresów do białej listy

Jednym z cichszych wektorów ataku w świecie kryptowalut jest podmiana adresu — złośliwe oprogramowanie, które po cichu zastępuje skopiowany adres wypłaty adresem kontrolowanym przez atakującego. Jeśli nie weryfikujesz pełnego adresu znak po znaku przed potwierdzeniem, możesz tego nie zauważyć.

Biała lista adresów blokuje wypłaty do adresów zapisanych w Twoim Spisie adresów (do 500). Możesz też ustawić opóźnienie Extra Security dla nowo dodanych adresów — konfigurowalne okno czasowe, zanim nowy adres stanie się dostępny do wypłat. Zamyka to okno podmiany: nawet jeśli atakujący uzyska tymczasowy dostęp do Twojego konta, nie może natychmiast wypłacić środków na nowy adres.

Aby włączyć: przejdź do Ustawień bezpieczeństwa i włącz Białą listę adresów.

Weryfikator kanałów

Zanim skorzystasz z jakiegokolwiek adresu e-mail, konta w mediach społecznościowych lub adresu URL podającego się za Nexo, możesz je zweryfikować na stronie nexo.com/channel-validator. Jeśli nie ma go w weryfikatorze, nie jest to oficjalny kanał Nexo.

Jest to szczególnie przydatne w mediach społecznościowych — fałszywe konta Nexo na X, Telegram i Discord są powszechne i zazwyczaj podszywają się pod pracowników wsparcia lub prowadzą fałszywe kampanie promocyjne.

Czego Nexo nigdy nie zrobi

Kilka rzeczy wartych zapamiętania, bo ich znajomość ułatwia rozpoznanie prób socjotechniki:

Nexo nigdy nie poprosi o Twoje hasło ani kod 2FA
Nexo nigdy nie poprosi Cię o autoryzację transakcji przez czat, e-mail ani SMS
Nexo nigdy nie wyśle Ci linku do logowania przez SMS

Jeśli ktokolwiek podający się za Nexo robi któryś z tych rzeczy, nie jest to Nexo. Podejrzaną aktywność możesz zgłosić zespołowi obsługi klienta pod adresem support.nexo.com/contact.

Skąd naprawdę pochodzi bezpieczeństwo Twojego konta

Żadna platforma nie jest w stanie wyeliminować całego ryzyka. To, co robią opisane powyżej środki — zarówno infrastruktura po stronie platformy, jak i funkcje po stronie użytkownika — to zmniejszenie powierzchni ataku i znaczne utrudnienie włamania na Twoje konto.

Infrastruktura zajmuje się tym, czego użytkownicy nie widzą ani nie kontrolują. Funkcje po stronie użytkownika radzą sobie z tym, czego platforma nie może — bo żaden poziom bezpieczeństwa backendu nie powstrzyma atakującego, który posiada Twoje dane uwierzytelniające, ani użytkownika, który kliknie w link phishingowy.

Skonfigurowanie 2FA przez aplikację uwierzytelniającą, włączenie kodu antyphishingowego i uruchomienie białej listy adresów zajmuje mniej niż dziesięć minut. To działanie w zakresie bezpieczeństwa o najwyższym zwrocie, którego większość użytkowników jeszcze nie podjęła.

Aby zapoznać się z pełnym przeglądem typowych zagrożeń i sposobów ochrony przed nimi, zobacz Typowe zagrożenia bezpieczeństwa i jak im zapobiegać.

Najczęściej zadawane pytania

1. Czym jest silnik anty-scam i jak działa?

To zautomatyzowany system, który analizuje każdą wypłatę w czasie rzeczywistym, zanim środki opuszczą platformę. Jeśli transakcja wygląda podejrzanie — na podstawie adresu docelowego, wzorca transakcji lub innych sygnałów — zobaczysz wyjaśnienie w prostym języku. W rzadkich przypadkach wysokiego ryzyka transakcja może zostać krótko wstrzymana. Działa domyślnie, bez konieczności konfiguracji.

2. Jaka jest różnica między 2FA przez SMS a aplikacją uwierzytelniającą?

Obie metody dodają drugi krok weryfikacji podczas logowania. 2FA przez SMS jest podatne na ataki SIM swap, podczas których atakujący przekonuje operatora sieci komórkowej do przypisania numeru do kontrolowanej przez niego karty SIM. Aplikacje uwierzytelniające generują kody lokalnie na urządzeniu i nie są powiązane z numerem telefonu, co czyni je bardziej odpornymi na ten typ ataku.

3. Co zrobić, jeśli otrzymam podejrzany e-mail podający się za Nexo?

Sprawdź, czy zawiera Twój kod antyphishingowy w stopce — jeśli nie, nie pochodzi od Nexo. Możesz też zweryfikować dowolny adres e-mail, konto społecznościowe lub URL na stronie nexo.com/channel-validator. Zgłoś podejrzane wiadomości zespołowi obsługi klienta Nexo pod adresem support.nexo.com/contact.

4. Czy pracownicy Nexo mogą uzyskać dostęp do mojego konta bez mojej zgody?

Nexo nigdy nie poprosi o Twoje hasło ani kod 2FA i nigdy nie poprosi Cię o autoryzację transakcji przez czat, e-mail ani SMS. Jeśli ktokolwiek podający się za wsparcie Nexo robi któryś z tych rzeczy, nie jest to Nexo.

5. Czym jest biała lista adresów i czy warto ją włączyć?

Biała lista adresów ogranicza wypłaty do adresów wstępnie zatwierdzonych przez Ciebie w Spisie adresów. Pozwala też ustawić opóźnienie, zanim nowo dodane adresy staną się dostępne do użycia. Chroni to przed złośliwym oprogramowaniem podmieniającym adresy i ogranicza możliwości atakującego, który uzyska tymczasowy dostęp do konta. Warto ją włączyć, jeśli masz stałe adresy docelowe wypłat.

Te materiały są dostępne globalnie, a dostępność informacji nie oznacza dostępu do opisanych usług, które mogą być niedostępne w niektórych jurysdykcjach. Niniejsze materiały mają wyłącznie charakter ogólnych informacji i nie stanowią porady finansowej, prawnej, podatkowej ani inwestycyjnej, oferty, zachęty, rekomendacji czy aprobaty do korzystania z jakichkolwiek usług Nexo; nie są też spersonalizowane ani w żaden sposób dostosowane do konkretnych celów inwestycyjnych, sytuacji finansowej czy potrzeb. Aktywa cyfrowe wiążą się z wysokim poziomem ryzyka, w tym m.in. ze zmiennością cen rynkowych, zmianami regulacyjnymi oraz postępem technologicznym. Dotychczasowe wyniki aktywów cyfrowych nie stanowią wiarygodnego wskaźnika przyszłych rezultatów. Aktywa cyfrowe nie są pieniędzmi ani prawnym środkiem płatniczym, nie są gwarantowane przez rząd ani bank centralny, a większość z nich nie posiada aktywów bazowych, strumienia przychodów ani innego źródła wartości. Należy kierować się niezależnym osądem uwzględniającym własną sytuację, a przed podjęciem jakiejkolwiek decyzji zalecana jest konsultacja z wykwalifikowanym specjalistą.

Środki bezpieczeństwa opisane w tym artykule odzwierciedlają infrastrukturę i funkcje Nexo według daty publikacji. Bezpieczeństwo to dziedzina stale się rozwijająca i żaden system nie eliminuje całkowicie ryzyka. Zachęcamy użytkowników do śledzenia aktualności i aktywnego udziału w ochronie swoich kont.