Что делать в первую очередь, решают три факта, и срочность у них разная. Украденный почтовый ящик сам по себе не открывает аккаунт Blomo, потому что у Blomo нет письма «забыли пароль», которым можно было бы воспользоваться. Украденный аккаунт Telegram аккаунт открывает, если не включена двухфакторная защита. А украденная фраза восстановления кошелька вообще не вход — это сами деньги, и если она у кого-то другого, они уже потеряны. Идите по списку ниже по порядку, потому что первые шаги — как раз те, которые становятся невозможными, как только начнёт действовать кто-то другой.
Делайте это в таком порядке
- Если фраза восстановления вашего кошелька была доступна из украденного аккаунта, сначала выведите крипту из этого кошелька. Доступна — значит: напечатана в письме, отправлена самому себе в мессенджере, сохранена в заметке, которая синхронизируется с облачным аккаунтом, привязанным к этой почте, или сфотографирована в галерею. Создайте новый Blomo Wallet и отправьте баланс туда, а новую фразу храните на бумаге и вне всех аккаунтов, которые были взломаны. Этот шаг даёт вам узкую, но важную вещь: фраза, до которой может дотянуться вор, перестаёт управлять вашими деньгами. Ничего другого из этого списка не стоит делать раньше, потому что перевод в блокчейне не может отменить ни Blomo, ни кто-либо ещё.
- Верните себе тот аккаунт, который на самом деле украли. Смените пароль от почты или от аккаунта Telegram и включите двухфакторную защиту у самого этого сервиса. Если пропустить этот шаг и сразу пойти в Blomo, тот, кто сидит в вашей почте, будет смотреть, как вы это делаете.
- Смените пароль от Blomo в приложении. Settings → Security → Email and password (Настройки → Безопасность → Почта и пароль). Для смены нужен текущий пароль, и в момент, когда она проходит, все остальные сеансы завершаются. Это и есть шаг, который выкидывает того, кто уже вошёл под вами.
- Включите двухфакторную защиту, если она выключена. Settings → Security → Two-factor authentication (Настройки → Безопасность → Двухфакторная аутентификация). Blomo использует TOTP по RFC 6238, поэтому подойдёт любое приложение-аутентификатор. Подтверждение тоже завершает все остальные сеансы, и с этого момента вход через Telegram больше не обходит второй фактор.
- Сохраните резервные коды где-нибудь офлайн. Их показывают один раз, когда вы подтверждаете двухфакторную защиту, и Blomo не хранит копию, чтобы показать их снова. Каждый код срабатывает один раз.
- Просмотрите уведомления, карты и историю кошелька, затем напишите в поддержку. Вход в поддержку — Telegram-бот @blomo_bot, и он единственный — это тот же чат, который приложение открывает из Settings → Help → Support → Write to support (Настройки → Помощь → Поддержка → Написать в поддержку).
Что даёт чужому украденная почта
Меньше, чем принято бояться. Сброса пароля по почте у Blomo сейчас нет: нет ссылки, которую можно получить в ящик и превратить в новый пароль. Тот, кто читает вашу почту, не сможет войти в Blomo с тем, что там найдёт, и не сможет закрыть вам доступ к вашему же аккаунту.
У этого есть и обратная сторона, и о ней честно стоит сказать. Если вы забудете пароль от Blomo, а аккаунт Telegram не привязан, сброса самостоятельно вас тоже не ждёт. Второй способ входа — привязанный аккаунт Telegram или подтверждённый адрес почты, если вы регистрировались через Telegram, — вот что не даёт забытому паролю превратиться в заблокированный аккаунт.
Что даёт чужому украденный аккаунт Telegram
Больше. Вход через Telegram — это полноценный вход в привязанный к нему аккаунт Blomo. Если двухфакторная защита выключена, тот, кто управляет аккаунтом Telegram, управляет и аккаунтом Blomo.
Если двухфакторная защита включена, эта дверь закрыта там же, где и дверь с паролем: после входа через Telegram Blomo тоже спрашивает код из аутентификатора. Это сделано намеренно — второй фактор, мимо которого проходит один из двух способов входа, вторым фактором не является.
Что двухфакторная защита закрывает, а что нет
Второй фактор проверяется при входе. Внутри уже открытого сеанса его не спрашивают заново перед каждым действием. Так что код защищает дверь, а выкидывает того, кто уже прошёл, завершение остальных сеансов. Поэтому шаг 3 в списке стоит выше шага 4.
Сеанс Blomo длится до тридцати дней, если его не завершить. Списка активных устройств в приложении сейчас нет, и отдельной кнопки «выйти везде» тоже нет. Смена пароля — способ завершить их все сразу; подтверждение двухфакторной защиты делает то же самое в момент подтверждения.
И ещё одно, что стоит знать заранее: Blomo не присылает оповещение, когда кто-то входит в ваш аккаунт. Уведомления в приложении касаются пополнений, событий по картам и ответов поддержки. Тишина не доказывает, что ничего не произошло, — проверьте аккаунт сами.
Кошелёк — отдельный вопрос, и честная часть здесь короткая
Две вещи верны здесь при любых обстоятельствах. Тот, у кого есть фраза восстановления, может перевести деньги из этого кошелька — для этого фраза и существует, и поэтому фраза, попавшая в украденную почту, — это авария, а не неудобство. И перевод в блокчейне окончателен: Blomo не может его отменить, не может заморозить адрес получателя и не может возместить его из своего кармана. Это та часть «без документов и без верификации», у которой есть цена: посередине нет организации, способной откатить перевод. Если это случилось, всё равно напишите в поддержку — там прямо скажут, что можно сделать, а что нельзя, — но ждите честного «нет», а не возврата.
Поэтому фразе место на бумаге и там, куда не дотянется украденный аккаунт. Не на скриншоте: скриншот лежит в галерее, которая синхронизируется с облачным аккаунтом, и именно оттуда фразы и крадут.
Короткие ответы
Может ли кто-то сбросить мой пароль от Blomo через мою почту? Нет. Сброса пароля по почте у Blomo нет, поэтому почтовый ящик сам по себе не открывает аккаунт Blomo.
Остановит ли двухфакторная защита того, у кого мой аккаунт Telegram? При входе — да. Вход через Telegram не обходит второй фактор: если он включён, код из аутентификатора всё равно нужен.
Как завершить сеанс на устройстве, которое я не вижу? Смените пароль в приложении. Для этого нужен текущий пароль, и смена завершает все остальные сеансы. Включение двухфакторной защиты делает то же самое в момент подтверждения.
Вернёт ли Blomo крипту, ушедшую из моего кошелька? Нет. Blomo не может отменить перевод в блокчейне и не обещает этого.
Мне пишет кто-то, кто называет себя поддержкой Blomo, — это связано? Часто да: утёкший почтовый ящик — это то, из чего собирают список целей. Поддержка Blomo живёт в одном месте, в боте @blomo_bot, а признаки фальшивого сообщения от поддержки стоит прочитать, прежде чем кому-то отвечать.
Что прочитать дальше
- Безопасность аккаунта и карт — что защищает аккаунт и деньги на нём.
- Blomo Wallet — что такое кошелёк и чем он отличается от баланса Blomo, с которого тратят карты.
- Как распознать фальшивую поддержку Blomo — то, чего Blomo никогда не просит.