O tym, co zrobić najpierw, decydują trzy fakty i nie są one równie pilne. Sama skradziona skrzynka pocztowa nie jest drogą do konta Blomo, bo Blomo nie ma maila „nie pamiętam hasła”, który dałoby się wykorzystać. Skradzione konto Telegram jest drogą do środka, chyba że włączone jest uwierzytelnianie dwuskładnikowe. A skradziona fraza odzyskiwania portfela w ogóle nie jest drogą do środka — to same pieniądze, już stracone, jeśli ktoś inny ją ma. Przejdź listę poniżej po kolei, bo kroki na początku to te, które przestają być możliwe, gdy tylko ktoś inny zacznie działać.
Zrób to w tej kolejności
- Jeśli twoja fraza odzyskiwania portfela była dostępna z konta, które zostało skradzione, najpierw przenieś krypto z tego portfela. Dostępna znaczy: wpisana w maila, wysłana samemu sobie w komunikatorze, zapisana w notatce synchronizowanej z kontem w chmurze powiązanym z tą skrzynką albo sfotografowana do galerii zdjęć. Utwórz nowy Blomo Wallet i wyślij na niego saldo, a nową frazę trzymaj na papierze i poza każdym kontem, które zostało przejęte. To, co daje ten krok, jest wąskie i warto to nazwać: fraza, do której złodziej ma dostęp, przestaje kontrolować twoje pieniądze. Nic innego na tej liście nie jest warte zrobienia przed tym, bo przelewu w blockchainie nie cofnie ani Blomo, ani nikt inny.
- Odzyskaj konto, które naprawdę zostało skradzione. Zmień hasło do skrzynki albo do konta Telegram i włącz dwuskładnikowe uwierzytelnianie samego dostawcy. Jeśli to pominiesz i pójdziesz od razu do Blomo, ten, kto siedzi w twojej skrzynce, będzie patrzył, jak to robisz.
- Zmień hasło do Blomo w aplikacji. Settings → Security → Email and password (Ustawienia → Bezpieczeństwo → E-mail i hasło). Zmiana wymaga podania obecnego hasła, a w chwili, gdy się powiedzie, wszystkie inne sesje zostają wylogowane. To krok, który usuwa kogoś, kto już jest zalogowany jako ty.
- Włącz uwierzytelnianie dwuskładnikowe, jeśli jest wyłączone. Settings → Security → Two-factor authentication. Blomo używa TOTP według RFC 6238, więc działa każda aplikacja uwierzytelniająca. Potwierdzenie również wylogowuje wszystkie inne sesje, a od tej chwili logowanie przez Telegram nie omija już drugiego składnika.
- Przechowuj kody odzyskiwania gdzieś offline. Są pokazywane raz, gdy potwierdzasz uwierzytelnianie dwuskładnikowe, a Blomo nie trzyma kopii, żeby pokazać ci je ponownie. Każdy kod działa raz.
- Przejrzyj powiadomienia, karty i historię portfela, a potem napisz do supportu. Wejściem do supportu jest bot w Telegramie @blomo_bot i jest on jedynym — to ten sam czat, który aplikacja otwiera z Settings → Help → Support → Write to support.
Co daje komuś skradziona skrzynka
Mniej, niż ludzie się obawiają. Blomo nie ma dziś resetu hasła przez e-mail: nie ma linku, który skrzynka mogłaby odebrać i zamienić w nowe hasło. Ktoś, kto czyta twoją pocztę, nie zaloguje się do Blomo tym, co tam znajdzie, i nie odetnie cię od twojego własnego konta.
To działa też w drugą stronę i uczciwie jest to powiedzieć. Jeśli zapomnisz hasła do Blomo i nie masz podpiętego konta Telegram, nie czeka na ciebie także żaden samodzielny reset. Druga droga do środka — podpięte konto Telegram albo potwierdzony adres e-mail, jeśli rejestrowałeś się przez Telegram — to to, co sprawia, że zapomniane hasło nie zamienia się w zablokowane konto.
Co daje komuś skradzione konto Telegram
Więcej. Logowanie przez Telegram to pełne zalogowanie do podpiętego do niego konta Blomo. Jeśli uwierzytelnianie dwuskładnikowe jest wyłączone, ten, kto kontroluje konto Telegram, kontroluje konto Blomo.
Jeśli jest włączone, te drzwi zamykają się w tym samym miejscu co drzwi z hasłem: Blomo prosi o kod z aplikacji uwierzytelniającej także po zalogowaniu przez Telegram. To celowe — drugi składnik, który jedna z dwóch metod logowania omija, nie jest drugim składnikiem.
Co obejmuje uwierzytelnianie dwuskładnikowe, a czego nie
Drugi składnik jest sprawdzany przy logowaniu. Nie jest wymagany ponownie przy każdej czynności w sesji, która jest już otwarta. Kod chroni więc drzwi, a zakończenie innych sesji to to, co usuwa kogoś, kto już przez nie przeszedł. Dlatego krok 3 jest na liście nad krokiem 4.
Sesja w Blomo trwa do trzydziestu dni, chyba że zostanie zakończona. W aplikacji nie ma dziś listy aktywnych urządzeń ani osobnego przycisku „wyloguj wszędzie”. Zmiana hasła to sposób, żeby zakończyć je wszystkie naraz; potwierdzenie uwierzytelniania dwuskładnikowego robi to samo w chwili potwierdzenia.
Jeszcze jedna rzecz, którą warto znać, zanim będzie potrzebna: Blomo nie wysyła ci alertu, gdy ktoś loguje się na twoje konto. Powiadomienia w aplikacji dotyczą doładowań, zdarzeń na kartach i odpowiedzi supportu. Cisza nie jest dowodem, że nic się nie stało — sprawdź konto sam.
Portfel to osobna sprawa, a uczciwa część jest krótka
Dwie rzeczy obowiązują tu niezależnie od wszystkiego innego. Kto ma frazę odzyskiwania, ten może przenieść pieniądze z tego portfela — do tego właśnie służy fraza i dlatego fraza, która trafiła do skradzionej skrzynki, to sytuacja alarmowa, a nie niedogodność. A przelew w blockchainie jest ostateczny: Blomo nie może go cofnąć, nie może zamrozić adresu odbiorcy i nie może zwrócić pieniędzy z własnej kieszeni. To ta część „bez dokumentów, bez weryfikacji”, która ma swoją cenę: pośrodku nie stoi żadna instytucja, która mogłaby cofnąć przelew. Jeśli to się stanie, i tak napisz do supportu — support powie ci wprost, co da się zrobić, a czego nie — ale spodziewaj się uczciwego „nie”, a nie odzyskania środków.
Dlatego fraza powinna leżeć na papierze i nigdzie, dokąd sięga skradzione konto. Nie jako zrzut ekranu: zrzut ekranu ląduje w galerii zdjęć synchronizowanej z kontem w chmurze, a właśnie stamtąd kradnie się frazy.
Krótkie odpowiedzi
Czy ktoś może zresetować moje hasło do Blomo przez mój e-mail? Nie. Blomo nie ma resetu hasła przez e-mail, więc sama skrzynka nie jest drogą do konta Blomo.
Czy uwierzytelnianie dwuskładnikowe zatrzyma kogoś, kto ma moje konto Telegram? Przy logowaniu tak. Logowanie przez Telegram nie omija drugiego składnika — jeśli jest włączony, kod z aplikacji uwierzytelniającej nadal jest wymagany.
Jak wylogować urządzenie, którego nie widzę? Zmień hasło w aplikacji. Wymaga to obecnego hasła i wylogowuje wszystkie inne sesje. Włączenie uwierzytelniania dwuskładnikowego robi to samo w chwili potwierdzenia.
Czy Blomo zwróci krypto, które wyszło z mojego portfela? Nie. Blomo nie może cofnąć przelewu w blockchainie i nie obiecuje tego.
Ktoś pisze do mnie, podając się za support Blomo — czy to ma związek? Często tak: z wycieku skrzynek buduje się listę celów. Support Blomo jest w jednym miejscu, w bocie @blomo_bot, a po czym poznać fałszywą wiadomość od supportu warto przeczytać, zanim komukolwiek odpowiesz.
Co przeczytać dalej
- Bezpieczeństwo konta i kart — co chroni konto i pieniądze na nim.
- Blomo Wallet — czym jest portfel i czym różni się od salda Blomo, z którego płacą karty.
- Jak rozpoznać fałszywą wiadomość od supportu Blomo — rzeczy, o które Blomo nigdy nie prosi.