איך מאבטחים חשבון בבורסת קריפטו? 2FA וכתובות משיכה ב-White List

💡 תקציר המאמר

---

• אבטחת חשבון בבורסת קריפטו מבוססת על שלוש הגדרות: אימות דו-שלבי (2FA), רשימת כתובות משיכה מאושרות (White List) ומפתחות API לקריאה בלבד. עסקה שנשלחה לכתובת של תוקף בדרך כלל אינה ניתנת להחזרה.
• לפי דף העזרה של Coinbase, שיטות ה-2FA מדורגות מהחזקה לחלשה: מפתח אבטחה פיזי, Passkey, אפליקציית אימות, התראה באפליקציה ו-SMS. SMS פגיע להעברת מספר טלפון למכשיר אחר (SIM swap).
• White List מאפשר משיכה רק לכתובות שאושרו מראש. ב-Coinbase כתובת חדשה ממתינה 48 שעות, וב-Bybit היא חסומה ל-24 שעות. ההמתנה נותנת לבעל החשבון זמן לזהות פריצה ולחסום את החשבון לפני שהכסף יוצא.
• מפתח API שהוגדר לקריאה בלבד, בלי הרשאת משיכה ובלי הרשאת מסחר, אינו מאפשר להוציא כסף מהחשבון. מומלץ ליצור מפתח נפרד לכל כלי ולמחוק מפתחות שאינם בשימוש.
• אם חשבון הבורסה נפרץ: פונים מיד לתמיכת הבורסה ומבקשים להקפיא את החשבון, מחליפים סיסמה בבורסה ובמייל, מבטלים מפתחות API, מתעדים כתובות ו-Transaction Hash, ומגישים תלונה במשטרה.

---

אבטחת חשבון בבורסת קריפטו היא מכלול ההגדרות שמונעות מגורם לא מורשה להשתלט על החשבון ולהוציא ממנו כסף: אימות דו-שלבי (2FA), רשימת כתובות משיכה מאושרות (White List) ומפתחות API לקריאה בלבד. הבורסה שומרת את המפתחות בשבילכם, ולכן הגנה על החשבון היא הגנה על הכסף, ועסקה שנשלחה לכתובת של תוקף בדרך כלל אינה ניתנת להחזרה.

המדריך הזה עוסק בחשבון בבורסה ומשווה בין Binance, Coinbase, Kraken, Bybit ו-OKX: איך מגדירים בכל אחת 2FA ו-White List, איך מחברים API בלי לסכן את החשבון, ומה עושים אם החשבון נפרץ.

איך משתלטים על חשבון בבורסת קריפטו?

השתלטות על חשבון בבורסה לא דורשת פריצה לבורסה עצמה: מספיקה סיסמה שדלפה או משתמש ששכנעו אותו למסור קוד. לכן ההגנות החשובות ביותר הן אלה שחוסמות את השלב האחרון, הוצאת הכסף לכתובת חדשה. על סוגי ההונאות הנפוצות ראו הונאות קריפטו הנפוצות ואיך להימנע מהן.

דרך השתלטות	איך זה עובד	מה חוסם אותה
סיסמה שדלפה	שימוש באותה סיסמה בשירותים שנפרצו	סיסמה ייחודית לכל שירות ו-2FA חזק
פישינג	אתר או הודעה מזויפים שמתחזים לבורסה ומבקשים סיסמה וקוד 2FA	כניסה דרך סימניה בלבד, קוד אנטי-פישינג בבורסה, מפתח חומרה
החלפת סים (SIM swap)	העברת מספר הטלפון למכשיר של התוקף כדי לקבל קודי SMS	אפליקציית אימות או מפתח חומרה במקום SMS
השתלטות על המייל	איפוס סיסמה דרך חשבון המייל של הבורסה	2FA גם בחשבון המייל
תמיכה מזויפת	אדם שמתחזה לנציג של הבורסה ומבקש קודים או אימות	נציג אמיתי לא יבקש סיסמה או קוד 2FA
הוספת כתובת משיכה של התוקף	אחרי הכניסה לחשבון התוקף מוסיף כתובת משלו ומושך את היתרה	White List עם המתנה לכתובת חדשה

לפי Chainalysis, נגנבו בקריפטו בשנת 2025 (מינואר ועד תחילת דצמבר) יותר מ-3.4 מיליארד דולר, מתוכם 1.5 מיליארד דולר בפריצה אחת, ל-Bybit בפברואר. פריצות לארנקים אישיים היוו 20% מהערך שנגנב, לעומת 44% ב-2024. הנתון מתייחס לכלל הגניבות ולא רק לחשבונות בבורסות. (Chainalysis, 18.12.2025)

איך מתגוננים מפישינג שמכוון לחשבון הבורסה?

2FA לבדו לא מספיק מול דף מזויף שמבקש גם את הקוד. הסבר כללי על פישינג מצוי במאמר ההונאות שלנו; כאן רק מה שייחודי לחשבון בבורסה:

1. נכנסים רק מסימניה או מהאפליקציה הרשמית, לא דרך קישור מהודעה או מודעה ממומנית בגוגל.
2. לא מוסרים קוד 2FA לאף אחד, גם לא ל"נציג תמיכה". Coinbase מציינת בדף העזרה שלה שנציגי התמיכה לא יבקשו סיסמה או קודי אימות דו-שלבי, Binance ממליצה לא לשתף קודי 2FA עם אף אחד, ובמיוחד לא עם מתחזים, ו-Kraken מציינת שהתמיכה שלה לא תבקש סיסמה.
3. מפעילים קוד אנטי-פישינג בבורסות שתומכות בכך: מחרוזת שאתם בוחרים, שמופיעה בכל מייל רשמי מהבורסה. התכונה מתועדת ב-Binance (6 עד 8 תווים, בהגדרות האבטחה), ב-OKX וב-Bybit. בדפי העזרה של Kraken ו-Coinbase לא מצאנו תכונה כזו, ולכן שם הגנה מבוססת על כניסה מסימנייה, בדיקת מיילים מול הדף הרשמי ו-passkey.
4. מעדיפים מפתח אבטחה פיזי או Passkey על פני קודים שמקלידים ידנית, כי הם קשורים לדומיין האמיתי של הבורסה. 

אם כבר לחצתם על קישור חשוד והזנתם פרטים, עברו מיד לפרק מה עושים אם החשבון נפרץ.

איך מגדירים אימות דו-שלבי (2FA) בבורסות קריפטו?

אימות דו-שלבי דורש שלב אימות נוסף מעבר לסיסמה, ולכן סיסמה שדלפה לבדה לא מספיקה להשתלט על החשבון. השיטות אינן שווות: בדף העזרה של Coinbase מדורגות השיטות מהמאובטחת ביותר ועד הפחות מאובטחת: מפתח אבטחה פיזי, מפתח גישה (passkey), אפליקציית אימות (TOTP), התראת אישור באפליקציה, ובסוף SMS, שהאתר מציין שהוא פגיע להעברת מספר טלפון (SIM swap).

בורסה	שיטות שנבדקו בדפי העזרה הרשמיים	מה שכדאי לדעת
Coinbase	מפתחות אבטחה, passkeys, אפליקציות TOTP, Coinbase Security Prompt, SMS	SMS הוא ברירת המחדל, וממליצים להוסיף שיטה חזקה יותר. שילובים מומלצים: שני מפתחות אבטחה, או passkey בשילוב מפתח אבטחה
Kraken	מפתח אבטחה (חומרה), אפליקציית אימות	2FA להתחברות וגם 2FA נפרד למשיכות (Funding). מפתח החומרה מתואר כאפשרות המאובטחת ביותר
Bybit	Google Authenticator, 2FA במייל, Passkey, Secure Transaction Approval	ממליצים לבטל סנכרון חשבון ב-Google Authenticator, להגדיר 2FA גם בחשבון המייל המקושר, ולהגדיר קוד אנטי-פישינג
Binance	Passkey, אפליקציית אימות ו-SMS. Passkey או 2FA נדרשים לאישור פעולות אבטחה כמו הפעלת White List	בדף טיפי האבטחה של Binance מומלצים passkey או אפליקציית אימות, ו-SMS מוצג כחלופה חלשה יותר. קיים גם קוד אנטי-פישינג (6 עד 8 תווים) בהגדרות האבטחה
OKX	אפליקציית אימות, קוד במייל, אימות בנייד ו-passkey (כולל מפתח אבטחה פיזי דרך passkey). 2FA נדרש לכיבוי ה-Allowlist	קוד אנטי-פישינג מגדירים תחת Security > Advanced Security. מפתח אבטחה פיזי מוסיפים דרך Security Center > Passkey > Add Passkey

מה הסדר המומלץ? מפתח אבטחה פיזי או passkey, אחריהם אפליקציית אימות, ורק בסוף SMS. הסדר הזה מבוסס על הדירוג של Coinbase, והוא מתאים גם לשאר הבורסות כשהשיטות קיימות בהן.

כמה הנחיות שחלות על כל 2FA, בכל בורסה:

1. שמרו את קודי הגיבוי במקום נפרד מהטלפון, בדרך כלל באופן אופליין, כדי שאבידת המכשיר לא תנעל אתכם מהחשבון.
2. הגדירו 2FA גם בחשבון המייל שקשור לבורסה, כי המייל משמש לאיפוס סיסמה.
3. הפעילו אימות נפרד למשיכות אם הבורסה מאפשרת זאת (ב-Kraken האפשרות קיימת בהגדרות המתקדמות תחת הפרק Funding).
4. אל תשתמשו באותה סיסמה בבורסה ובשירותים אחרים.

מה זה White List לכתובות משיכה, ולמה חובה להגדיר אותו?

White List (בחלק מהבורסות קוראים לזה Allowlist) הוא הגדרה שמאפשרת משיכה רק לכתובות שאישרתם מראש. אם מישהו מצליח לנהל את החשבון שלכם, הוא לא יוכל לשלוח את הסכום לכתובת שלו בלי להוסיף אותה קודם, ובחלק מהבורסות הוספה כזו מחייבת גם המתנה של שעות עד ימים. ההמתנה הזו היא העניין: היא נותנת לכם זמן לשים לב להתראה ולחסום את החשבון לפני שהכסף יוצא.

בורסה	מה היא מאפשרת	המתנה לכתובת חדשה וניהול הרשימה	הפעלה
Binance	Withdrawal Whitelist: משיכה רק לכתובות ברשימה, עד 200 כתובות	הגדרה אופציונלית (Whitelist Withdrawal Limit) מעכבת משיכה לכתובות חדשות לתקופה שבחרתם, ומומלץ להשאיר אותה פעילה. שינוי ברשימה עלול להביא להשהיית משיכות של 24, 48 או 72 שעות	Settings > Withdrawal > Withdrawal Whitelist, ואישור ב-passkey או 2FA
Coinbase	Address book allowlist: שליחה רק לכתובות ששמורות בספר הכתובות	48 שעות לכתובת חדשה. כיבוי האפשרות גם הוא ממתין 48 שעות (אם כיביתם תוך 8 שעות מההפעלה, אין המתנה)	Settings > Allow list, באישור שלב האימות הדו-שלבי
Kraken	Global Settings Lock (GSL): חוסם הוספת כתובות משיכה, שינוי מייל, הוספה או שינוי של 2FA ושל מפתחות API, גם למי ששולט בחשבון. 2FA למשיכות לבדו לא מונע הוספת כתובות	תקופת ההסרה נקבעת בהפעלה, בין יום ל-30 ימים (ברירת מחדל 3). בלי Master Key גם תוקף חייב לחכות אותה, והתמיכה לא יכולה לקצר אותה	Kraken Pro: Settings > Security > Advanced Settings > Global Settings Lock > Activate. בממשק הקלאסי: Settings > Security > Global Settings Lock
Bybit	New Address Withdrawal Lock: כתובת חדשה לא ניתנת לשימוש למשך 24 שעות. קיים גם Withdrawal Address Book	24 שעות לכתובת שנוספה אחרי ההפעלה. כיבוי הנעילה דורש קוד במייל וקוד 2FA, ואחריו 24 שעות ללא משיכה לכתובות חדשות	Account > Security > Scenario-based protection (באפליקציה: Settings > Security > Scenario-based protection > Withdrawal Security)
OKX	Allowlist: משיכה רק לכתובות בספר הכתובות. קיים גם New address withdrawal lock אופציונלי	נעילה אופציונלית של 24 שעות לכתובת חדשה, שאפשר להפעיל יחד עם ה-Allowlist או בנפרד. כיבוי ה-Allowlist דורש קודי 2FA	Portfolio > Transfer > Withdraw > בחרו קריפטו > Address book > איקון Address Settings > Allowlist

כאן הנושא הקריטי: ההמתנה לכתובת חדשה היא תכונה ולא תקלה. אם הבורסה שלכם מחכה 48 שעות, גם תוקף ששלט בחשבון חייב לחכות.

איך מגדירים כתובת משיכה ב-White List בצורה בטוחה

1. הפעילו את ה-White List בהגדרות האבטחה של הבורסה ואשרו ב-2FA חזק.
2. הוסיפו רק כתובות שאתם בעליהן, למשל הארנק הקר שלכם, ואחרי שבדקתם שהיא מתאימה לרשת הנכונה (כתובת של רשת אחת לא תעבוד עם רשת אחרת).
3. העתיקו את הכתובת מהארנק עצמו ולא מהיסטוריית עסקאות או מהודעה, ובדקו את ההתחלה והסוף שלה.
4. שלחו סכום קטן לבדיקה לפני העברה גדולה.
5. הוסיפו שם ברור לכל כתובת, כדי שלא תבלבלו בין כתובות.

מגבלה חשובה: White List מגנה מפני תוקף ששלט בחשבון, אבל לא מפני מצב שבו התוקף משכנע אותכם לאשר בעצמכם את הכתובת שלו. לכן אל תאשרו כתובת שנשלחה אליכם בהודעה, בבקשת תמיכה או בהצעה "השקעה".

תפריטים ותקופות ההמתנה נערכים באפליקציות באופן תדיר, לכן כדאי לבדוק אותם באפליקציה עצמה לפני שמתכננים עסקה דחופה.

איך מחברים API לבורסה בלי לסכן את החשבון?

מפתח API מאפשר לכלי חיצוני, למשל כלי מעקב או דוחות מס, לגשת לחשבון. ההרשאות שהמפתח מקבל קובעות מה אפשר לעשות איתו: מפתח שהוגדר לקריאה בלבד, בלי הרשאת משיכה ובלי הרשאת מסחר, אינו מאפשר להוציא כסף.

1. צרו מפתח נפרד לכל כלי, כדי שאפשר יהיה לבטל אחד בלי להשפיע על האחרים.
2. סמנו הרשאת קריאה בלבד. אל תסמנו משיכה או מסחר.
3. אם הבורסה מאפשרת, הגבילו את המפתח לכתובות IP מוכרות. ב-Binance מפתח בלי הגבלת IP מקבל הרשאת קריאה בלבד, והרשאת משיכה מחייבת הגבלת IP. ב-Kraken וב-Coinbase אפשר להגביל מפתח לכתובות IP, וב-OKX לצרף עד 20 כתובות למפתח. כלי חיצוני יעבוד מול מפתח מוגבל IP רק אם הוא מפרסם כתובות IP קבועות.
4. מחקו מפתחות שאתם לא משתמשים בהם.
5. אל תשתפו את המפתח ואל תשמרו אותו בצילום מסך או בהודעה.

בלוקסטקס מתחברת לבורסות בחיבור API לקריאה בלבד. 

מה עושים אם חשבון הבורסה נפרץ?

בשעות הראשונות אחרי חדירה לחשבון חשובה מהירות, אבל לא פאניקה: כל דקה שבה התוקף שולט בארנק או בחשבון מאפשרת לו להרחיב את הנזק.

1. פנו מיד לתמיכת הבורסה וביקשו להקפיא את החשבון.
2. החליפו סיסמה בבורסה ובחשבון המייל, בטלו מפתחות API וסשנים פעילים, והגדירו 2FA מחדש ממכשיר נקי.
3. אחרי שחזרתם לשלוט בחשבון, העבירו את היתרה לכתובת שבשליטתכם.
4. דווחו לבורסה שאליה הועבר הכסף, אם ידוע לאן הוא הועבר. ייתכן שהיא תוכל להקפיא את היתרה, אך זה לא מובטח.
5. תעדו הכל מיידית: כתובות, קישורי עסקאות (Transaction Hash), תאריכים וסכומים, צילומי מסך והתכתבויות עם הבורסה.
6. הגישו תלונה במשטרה. 

ההיבט המיסויי: הטיפול המיסויי באובדן קריפטו בגניבה תלוי בנסיבות המקרה ובמסמכים שבידיכם. פירוט במאמר הכרה בהפסדי קריפטו.

מקורות (דפי עזרה רשמיים, נפתחו ב-14.10.2026): Binance, Withdrawal Whitelist · Coinbase, Address book allowlist · Coinbase, 2-step verification · Kraken, Withdrawal 2FA · Bybit, Account security · OKX, Allowlist

מקורות נוספים (נפתחו ב-18.10.2026): Binance, Account security tips · Binance, Anti-phishing code · Binance, API keys · OKX, Account security · OKX, Physical security key · OKX, Allowlist (app) · OKX, API FAQ · Kraken, What is the GSL · Kraken, Setting up the GSL · Kraken, Securing your account · Kraken, API key · Bybit, Withdrawal security · Coinbase, What is phishing · Coinbase, API security · Chainalysis, 2025 theft