На Kraken появилась история сессий для контроля входов в аккаунт
16 октября 2026 года после продолжительных технических работ на русскоязычной площадке Kraken появилась история сессий. Новый раздел показывает дату и время авторизации, User-Agent, использованный домен и статус активности, а подозрительный параллельный вход можно завершить. Функция особенно заметна на фоне июльских жалоб продавцов на угон аккаунтов и неожиданное включение 2FA. Однако пока это инструмент обнаружения последствий компрометации, а не защита, способная сама по себе остановить фишинг или кражу учетных данных.Что появилось в настройках Kraken
После завершения технических работ на главной странице Kraken появился баннер с сообщением о новой функции безопасности. Раздел истории сессий доступен из меню профиля и рядом с другими данными учетной записи.По опубликованному описанию, каждая строка содержит дату и время входа, User-Agent, домен, через который была создана сессия, и отметку о том, остается ли она активной. Пользователь может увидеть несколько одновременных авторизаций и принудительно завершить ту, которую считает подозрительной.
Само наличие такой таблицы не доказывает, что конкретный аккаунт был атакован. Один пользователь может иметь несколько законных сессий на разных устройствах или через разные официальные адреса. Ценность функции в другом - раньше такая активность практически не была видна владельцу аккаунта, теперь появляется материал для сравнения.
Обновление напрямую отвечает на июльскую историю с угонами аккаунтов
Появление истории сессий особенно важно в контексте событий после предыдущего крупного обновления Kraken. В июле PavRC разбирал жалобы продавцов на потерю доступа к аккаунтам, внезапно включенную 2FA и исчезновение содержимого витрин.Тогда главным ограничением расследования было отсутствие проверяемой истории действий по каждому аккаунту. Пользователи утверждали, что не переходили на фишинговые зеркала, администрация указывала на недостаточную защиту, а независимо установить время чужого входа, появление новой сессии и изменение настроек было невозможно.
История сессий закрывает часть этого информационного пробела. Если у пользователя появляется неизвестная параллельная авторизация, теперь ее можно хотя бы заметить и завершить. Это не устанавливает способ компрометации, но дает владельцу аккаунта дополнительный индикатор того, что доступом пользуется кто-то еще.
Домен входа может помочь при разборе фишинга
Отдельно в таблице указывается домен, через который была создана сессия. Для площадки с несколькими адресами это потенциально полезное поле: пользователь может сравнить неизвестную авторизацию с тем адресом, которым пользовался сам.Но домен нельзя использовать как единственное доказательство атаки. У площадки могут существовать несколько легитимных адресов, а изменение инфраструктуры после технических работ само по себе способно создавать непривычные записи. Поэтому подозрительной сессию делает совокупность признаков - неизвестное время входа, непривычный User-Agent, неожиданный домен и параллельная активность.
Ранее Kraken уже усиливал отдельные механизмы защиты после жалоб пользователей. PavRC писал, например, о шифровании чувствительных данных продавцов до момента сделки. История сессий продолжает ту же линию, но работает уже на уровне контроля учетной записи.
Почему возможность завершить чужую сессию действительно важна
С точки зрения веб-безопасности простого отображения списка входов недостаточно. Ключевая функция - возможность отозвать подозрительную авторизацию на стороне сервера, чтобы ранее выданная сессия перестала работать.В рекомендациях OWASP по управлению сессиями прямо предлагается давать пользователям возможность видеть активные параллельные входы, отслеживать историю активности и удаленно завершать отдельные сессии. В журнале могут использоваться дата входа, User-Agent и другие характеристики клиента.
При этом User-Agent легко повторить или подделать, а несколько устройств одного владельца могут выглядеть совершенно по-разному. Поэтому новая функция полезнее как система раннего обнаружения и реагирования, чем как надежный способ установить личность того, кто вошел в аккаунт.
История сессий не заменяет пароль и 2FA
Администрация рекомендует при обнаружении подозрительного параллельного входа завершить неизвестную сессию, изменить пароль и обновить двухфакторную защиту. Такая последовательность имеет смысл: если посторонний уже получил пароль или другой фактор авторизации, простое закрытие одной сессии не исключает повторного входа.Функция также не предотвращает первоначальный фишинг. Пользователь по-прежнему может передать данные поддельной странице, установить вредоносное программное обеспечение или потерять доступ другим способом. История сессий начинает приносить пользу уже после того, как появился дополнительный вход или подозрительная активность.
Поэтому оценивать обновление как полноценное решение проблемы угонов было бы преждевременно. Его практическая эффективность будет зависеть от того, насколько точно площадка регистрирует входы, насколько быстро новые сессии появляются в таблице и действительно ли принудительное завершение немедленно отзывает соответствующую авторизацию на сервере.
Что пока остается неизвестным
Публичного технического описания новой системы пока нет. Неизвестно, как долго хранится журнал сессий, отображаются ли все типы авторизации, фиксируется ли изменение 2FA и какие дополнительные параметры кроме перечисленных доступны пользователю.По опубликованному описанию среди основных полей фигурируют дата, время, User-Agent и домен. IP-адрес отдельно не упоминается. Это не делает функцию бесполезной, но ограничивает возможности пользователя самостоятельно сопоставлять спорные входы по сетевым признакам.
Неясно также, является ли нынешнее обновление прямым ответом на июльские угоны аккаунтов. Такая связь выглядит логичной по времени и назначению функции, но администрация площадки публично ее не заявляла.
Итог
История сессий дает пользователям Kraken то, чего особенно не хватало во время предыдущих споров об угонах аккаунтов: возможность увидеть параллельную авторизацию и самостоятельно ее завершить. Дата, время, User-Agent и домен создают базовый журнал активности, который может помочь быстрее заметить чужой вход.При этом функция не решает проблему фишинга сама по себе и не заменяет 2FA, уникальный пароль и проверку адреса площадки. Ее реальная ценность будет зависеть от полноты журналирования и корректного серверного отзыва сессий. Поэтому пока правильнее говорить о заметном улучшении контроля аккаунта, а не о полном решении проблемы угонов.
Редакция PavRC