Выплаты в CryptoLike защищают настройки, которые вы включаете в кабинете: свежий код 2FA на каждую выплату из кабинета или Telegram-бота, белый список адресов, где новый адрес начинает работать только через 24 часа после добавления, и второе подтверждение другим владельцем или администратором выше суммы, которую вы задаёте для каждого актива. Выплатам через API код 2FA не нужен: их разрешает ключ с правом withdraw, поэтому ограничьте такие ключи IP ваших серверов и включите обязательный белый список. Вместе с API-ключами, у которых нет лишних прав, они не дают украденному паролю, сессии или ключу отправить ваши деньги куда угодно. Настройка по этому гайду занимает около 15 минут плюс сутки ожидания для новых адресов.
Какая настройка от чего защищает
Каждая мера закрывает свой путь. 2FA останавливает того, у кого есть только ваш пароль. Белый список не пропустит выплату на адрес, который вы не добавили хотя бы сутки назад. Второе подтверждение не даёт одному человеку — или одному взломанному аккаунту — отправить крупную сумму в одиночку. Ключ без права withdraw не сможет вывести деньги, даже если утечёт.
| Мера | От чего защищает | Кто меняет | По умолчанию |
|---|---|---|---|
| 2FA на выплаты из кабинета и Telegram | Выплата по одному украденному паролю или сессии | Каждый пользователь в «Профиль и безопасность» | Обязательна: без 2FA выплаты из кабинета и Telegram отклоняются |
| Белый список адресов | Выплата на адрес, добавленный меньше 24 часов назад или не добавленный вовсе | Включает владелец или администратор, с 2FA. Адреса: владелец, администратор или финансист; добавление — с 2FA, удаление — без кода | Выключен |
| Второе подтверждение | Крупная выплата, созданная одним человеком | Владелец или администратор, с 2FA | Выключено |
| Права API-ключа и список IP | Выплата утёкшим ключом или с чужого сервера | Владелец, администратор или разработчик; право withdraw выдаёт владелец или администратор со своей 2FA, разработчик его только запрашивает |
Для каждого ключа |
| Лимиты проверки | Необычный объём: выше лимита на выплату или на день, крупная выплата на новый адрес, серия выплат подряд | Платформа, для аккаунта | Для каждого аккаунта |
Сверено с API и кабинетом CryptoLike 24.09.2026. Полный перечень мер платформы — на странице защиты.
Что нужно заранее
Нужна роль владельца или администратора в верифицированном аккаунте CryptoLike: выплаты доступны после верификации аккаунта (KYB). Сотрудник с ролью финансиста может добавлять адреса в белый список и создавать выплаты, но менять настройки выплат и давать второе подтверждение могут только владельцы и администраторы. Всем, кто работает с выплатами, нужно приложение-аутентификатор для 2FA.
Соберите адреса, на которые вы платите, — счета на биржах, свой холодный кошелёк, постоянные подрядчики — и сеть каждого: USDT в TRON и USDT в Ethereum — разные активы с разными адресами.
1. Включите 2FA всем, кто делает выплаты
Откройте Профиль и безопасность и включите двухфакторную аутентификацию через приложение-аутентификатор; 10 кодов восстановления сохраните офлайн. Без 2FA CryptoLike не создаёт выплату: кабинет отвечает 403 с признаком mfa_setup_required. Попросите сделать то же всех владельцев, администраторов и финансистов, прежде чем идти дальше.
С включённой 2FA каждая выплата из кабинета или Telegram, каждый новый адрес в белом списке и каждое изменение настроек выплат требуют свежего кода, и один код нельзя использовать дважды. Удаление адреса кода не требует. Повторные неверные коды блокируют аккаунт, каждый раз на более долгий срок, и завершают все сессии. Неверные коды, введённые в Telegram-боте, тоже учитываются.
2. Добавьте адреса, на которые вы платите
Откройте Выплаты → Белый список → Добавить адрес, выберите актив, вставьте адрес, дайте ему название, например «Холодный кошелёк казначейства», и подтвердите кодом 2FA. Адрес проверяется на соответствие сети актива и сохраняется неактивным: пользоваться им можно через 24 часа после добавления, чтобы украденная сессия не могла сразу перенаправить выплаты.
Из-за этой задержки добавьте все постоянные адреса сразу. Удаление адреса действует немедленно — оно не двигает деньги. Каждое добавление и удаление попадает в журнал безопасности, а участники команды с уведомлениями в Telegram получают сообщение об изменении белого списка. API-ключи менять белый список не могут никогда.
3. Сделайте белый список обязательным
Откройте Выплаты → Настройки, включите Обязательный белый список адресов и подтвердите кодом 2FA. С этого момента выплаты из кабинета, Telegram-бота и API идут только на активные адреса из белого списка. Выплата на любой другой адрес отклоняется: 403 forbidden, «destination address is not on the active withdrawal whitelist», с details.field: to_address.
Включайте обязательный список, когда ваши адреса уже активны, иначе обычные выплаты первые сутки будут отклоняться. В Telegram-боте обязательный список меняет и диалог: вместо ввода адреса бот предлагает кнопки с вашими активными адресами.
4. Задайте порог второго подтверждения
В Выплаты → Настройки → Порог двойного подтверждения укажите сумму для каждого актива — например, 1 000 для USDT в TRON — и подтвердите кодом 2FA. Выплата из кабинета или Telegram выше этой суммы ждёт в статусе awaiting_approval, пока её не подтвердит другой владелец или администратор; выплаты меньше проходят как обычно. Пустой порог отключает проверку для актива.
Порог действует для выплат, созданных человеком. Выплаты через API-ключ второго подтверждения не ждут — их защищают белый список и ограничения самого ключа (шаг 6). Сумма выплаты, ожидающей подтверждения, заблокирована на балансе, а саму выплату можно отменить, пока её не подтвердили. См. второе подтверждение в глоссарии.
5. Подтвердите выплату вторым человеком
Второй владелец или администратор открывает Выплаты → Подтверждения, проверяет адрес, сумму и оценку, нажимает Подтвердить и вводит код 2FA — после этого выплата встаёт в очередь на подпись. То же подтверждение доступно в карточке выплаты в Telegram-боте. Автор выплаты подтвердить её не может: API отвечает 409 conflict с reason: same_user.
Что проверить перед подтверждением:
- Адрес назначения — ожидаемый адрес из белого списка для этого актива и сети.
- Сумму и
total_debit: в оценке видны комиссия платформы, резерв комиссии сети и итог, который уйдёт с баланса. - Основание выплаты — из комментария или ваших собственных записей.
6. Ограничьте API-ключи
Откройте Разработчикам → API-ключи и проверьте каждый ключ. Магазину, плагину или отчётной системе нужны только create_invoice и read; право withdraw дайте лишь системе, которая делает выплаты, и заполните у ключа Белый список IP адресами серверов, которые обращаются к API. Запрос с другого IP отклоняется с 403 auth.ip_not_allowed.
Управлять API-ключами могут владельцы, администраторы и разработчики, но право withdraw выдаёт только владелец или администратор со свежим кодом 2FA. Разработчик, которому нужен ключ для выплат, запрашивает это право: ключ сразу работает с остальными правами, а выплаты отклоняет с 403 withdraw_pending_approval, пока владелец или администратор — не тот, кто запросил, — не одобрит запрос в разделе Разработчикам → API-ключи. Запросы ждут там в блоке Запросы на одобрение, а рядом с пунктом меню виден их счётчик: кто и когда запросил, какой ключ, белый список IP, с которым подан запрос, и когда запрос истекает. Одобрение действует для этого списка: если белый список ключа с тех пор изменился, одобрить запрос нельзя. Разработчик, который меняет белый список IP ключа для выплат, подтверждает это кодом 2FA, и ключ перестаёт проводить выплаты, пока владелец или администратор не одобрит новый запрос для нового списка. Одобрить требует код 2FA одобряющего и не меняет секрет ключа; Отклонить принимает необязательную причину. У самого ключа видна метка Выплаты: ждёт одобрения, а потом отклонено или просрочено — так разработчик узнаёт ответ. Запрос без решения истекает по умолчанию через 72 часа. Если тот, кто запросил, или тот, кто одобрил, уходит из команды или меняет роль, ключ теряет withdraw. Выплата через API должна нести ваш payout_id: повтор запроса с тем же активом, суммой и адресом вернёт ту же выплату, а не создаст вторую, — это защищает от двойной оплаты, если запрос оборвался по таймауту. Как это устроено — в статье про идемпотентность в платёжных API.
7. Проверьте настройки небольшой выплатой
Создайте небольшую выплату на один из адресов белого списка и проследите, как она проходит каждую проверку. Затем попробуйте выплату выше порога и подтвердите её со второго аккаунта. И наконец убедитесь, что увидите при атаке: выплата на адрес не из списка должна быть отклонена.
| Проверка | Ожидаемый результат |
|---|---|
| Небольшая выплата на активный адрес из белого списка | pending, затем processing, broadcast и completed |
| Выплата выше порога | awaiting_approval; после подтверждения вторым человеком — pending, затем processing |
| Подтверждение автором выплаты | 409 conflict, reason: same_user |
| Выплата на адрес не из белого списка | 403 forbidden, details.field: to_address |
| Выплата на адрес, добавленный меньше 24 часов назад | Отклоняется так же, пока адрес не станет активным |
Статусы выплат приходят вебхуками withdrawal.*; массовые выплаты из CSV-файла проверяются по тому же белому списку построчно — см. гайд массовые выплаты в USDT.
Что проверяет платформа поверх ваших настроек
Ваши настройки работают поверх проверок, которые CryptoLike выполняет для каждой выплаты. Выплата выше лимита на одну выплату или на день для вашего аккаунта или необычная активность, например крупная выплата на новый адрес или серия выплат подряд, уходит на ручную проверку, а не отклоняется; причину показывает кабинет. Адреса назначения проверяются при создании выплаты и ещё раз перед подписью: адрес из санкционных списков отклоняется, адрес с высоким риском уходит на проверку.
После всех подтверждений выплату подписывает отдельный сервис подписи, который подписывает только выплаты в обработке с соответствующей блокировкой суммы на вашем балансе. Как средства распределены между горячим и холодным хранением — в статье горячий и холодный кошельки.
Вопросы и ответы
Через сколько начинает работать новый адрес в белом списке?
Через 24 часа после добавления с кодом 2FA. До этого, если белый список обязателен, выплаты на него отклоняются. Задержка даёт время заметить изменение, которого вы не делали: изменения белого списка попадают в журнал безопасности и приходят уведомлениями в Telegram.
Действует ли второе подтверждение на выплаты через API?
Нет. Порог действует на выплаты, созданные человеком в кабинете или Telegram-боте. Выплаты через API защищают право withdraw у ключа, его белый список IP и — если он обязателен — белый список адресов, который распространяется и на API-ключи.
Может ли автор выплаты сам её подтвердить?
Нет. Второе подтверждение должно прийти от другого владельца или администратора, и база данных проверяет, что подтверждающий не совпадает с автором. Попытка автора вернёт 409 conflict с reason same_user, а выплата продолжит ждать второго человека.
Может ли злоумышленник с украденным API-ключом изменить белый список?
Нет. API-ключи не могут добавлять и удалять адреса белого списка или менять настройки выплат. Эти действия есть только в кабинете: владельцы, администраторы и финансисты добавляют адрес со свежим кодом 2FA, а удаляют без него; настройки выплат меняются только с кодом владельца или администратора. Каждое изменение попадает в журнал безопасности.
Что происходит с деньгами, пока выплата ждёт подтверждения?
Сумма, комиссия платформы и резерв комиссии сети заблокированы на балансе, поэтому потратить их дважды нельзя. Если выплату никто не подтверждает, отмените её: блокировка вернётся в доступный баланс, и ничего не будет отправлено.