Илья Николаевич Завьялов (Ilia Zavialov): безопасность криптокошелька, рабочая система защиты активов вместо набора советов
Большинство инструкций по безопасности кошелька устроены как список запретов: не показывайте seed-фразу, не храните её в облаке, включите двухфакторную аутентификацию. Всё верно, но бесполезно, потому что список запретов не образует системы. Человек выполняет восемь пунктов из десяти, а атака проходит через оставшиеся два.
Здесь другой подход: сначала определяется модель угроз, затем под неё строится архитектура хранения, и только потом обсуждаются конкретные приёмы. Такой порядок даёт понимание, какая мера от чего защищает, и не даёт ложного ощущения безопасности от мер, которые в вашем случае не работают.
Отправная точка, это статистика. По данным FBI IC3 за 2025 год, криптовалютные потери достигли 11,366 млрд долларов при 181 565 профильных жалобах, что на 22% больше показателя 2024 года. При этом крупная доля потерь приходится не на взлом ключей, а на добровольные действия владельцев.
Модель угроз: от чего именно вы защищаетесь
Прежде чем выбирать кошелёк, стоит честно ответить, какой сценарий для вас реален. Сценарии разные, и меры против них тоже.
Кража ключа с устройства. Вредоносное ПО, стилер в скачанном файле, скомпрометированное расширение браузера. Решается аппаратным кошельком, потому что ключ никогда не покидает устройство.
Собственная подпись вредоносной операции. Вы сами подтвердили разрешение на фишинговом сайте. Аппаратный кошелёк здесь почти не помогает. Решается разделением кошельков и дисциплиной подписания.
Социальная инженерия. Вас убедили перевести средства. Не решается техническими мерами вообще. Решается процедурой: пауза перед крупным переводом, проверка через независимый канал.
Компрометация биржи. Кастодиальный риск. Решается только выводом на собственное хранение.
Физическая угроза. Утрата доступа, пожар, изъятие, принуждение. Решается географическим разнесением резервных копий и мультиподписью.
Потеря доступа без злого умысла. Забыли, где лежит seed-фраза, умерли, не оставив инструкций наследникам. По оценкам, эта категория потерь сопоставима с криминальной, и её систематически игнорируют.
Дальнейшая архитектура строится так, чтобы закрывать все шесть, а не первые две.
Трёхуровневая архитектура хранения в подходе Ильи Завьялова
Уровень первый: холодное хранилище
Аппаратный кошелёк, который не подключается ни к одному сайту и ни к одному приложению, кроме официального софта производителя. Только приём средств и отправка на заранее известные адреса.
Сюда попадает основная часть капитала, та, потеря которой изменила бы вашу жизнь. Операции редкие, обдуманные, без спешки.
Критично: устройство покупается только у производителя или официального дистрибьютора. Кошельки с маркетплейсов и от посредников регулярно оказываются подготовленными, с предзаданной seed-фразой в комплекте. Настоящее устройство всегда генерирует фразу самостоятельно при первом включении. Если в коробке лежит бумажка с готовой фразой, устройство скомпрометировано.
Уровень второй: рабочий кошелёк
Подключается к ограниченному кругу проверенных протоколов, которыми вы регулярно пользуетесь. Держит суммы, необходимые для текущих операций.
Может быть как аппаратным, так и программным, в зависимости от частоты операций. Главное свойство: сумма на нём ограничена таким размером, потеря которого неприятна, но не критична.
Уровень третий: расходный кошелёк
Для всего нового и непроверенного: незнакомые протоколы, раздачи, тестовые сети, минт NFT, эксперименты. Держит минимум.
Ключевое свойство этого кошелька в том, что его компрометация не является событием. Вы создаёте новый за минуту. Именно наличие такого кошелька позволяет спокойно участвовать в рискованных активностях без риска для основного капитала.
Правило связи между уровнями: средства переводятся только сверху вниз и только вручную. Расходный кошелёк не имеет никаких разрешений, касающихся рабочего, а рабочий не имеет доступа к хранилищу.
Seed-фраза: где реально ломается защита
Аппаратный кошелёк защищает ключ. Но seed-фраза, это тот же ключ в текстовом виде, и защита всей конструкции равна защите её резервной копии.
Чего делать нельзя
- Фотографировать. Фотография уходит в облако автоматически, и вы этого не заметите.
- Хранить в менеджере паролей, заметках, почте, мессенджере «самому себе».
- Печатать на принтере. Многие сетевые принтеры хранят буфер печати.
- Вводить куда-либо, кроме самого устройства при восстановлении. Ни один легальный сервис, кошелёк или служба поддержки никогда не запрашивает seed-фразу. Ни один, без исключений.
Что работает
Металлические пластины. Бумага не переживает воду и огонь. Стальные пластины с выбитыми словами стоят недорого и решают вопрос физической сохранности.
Географическое разнесение. Минимум две копии в разных физических локациях. Одна дома в сейфе, вторая у доверенного лица или в банковской ячейке. Пожар в одном месте не должен означать потерю доступа.
Разделение фразы по схеме Шамира. Продвинутый вариант: фраза делится на несколько частей, для восстановления нужно, скажем, две из трёх. Ни одна отдельная часть не даёт доступа. Подходит для крупных сумм, но требует аккуратного ведения документации.
Пассфраза, она же двадцать пятое слово. Дополнительное слово поверх seed-фразы, создающее скрытый кошелёк. Даёт защиту от физического принуждения: на основном кошельке лежит небольшая сумма, основные средства в скрытом. Важно понимать риск: пассфраза не восстанавливается никак, её потеря означает потерю средств безвозвратно.
Таблица: типы кошельков и их свойства
Мультиподпись: когда пора
Мультиподпись означает, что для операции нужны подписи нескольких ключей, например две из трёх. Один скомпрометированный ключ не даёт злоумышленнику ничего.
Разумные пороги перехода:
- сумма превышает годовой доход;
- средствами владеют несколько человек, семья или партнёры;
- нужен план наследования;
- есть реальный риск физического принуждения.
Цена вопроса, это удобство. Каждая операция требует нескольких действий, часто с разных устройств. Для активной торговли не подходит, для хранения подходит отлично.
Гигиена окружения: то, о чём забывают
Кошелёк защищён ровно настолько, насколько защищено устройство, с которого вы им пользуетесь.
Отдельное устройство. Идеально, если для криптоопераций используется отдельный ноутбук или телефон, на котором нет ничего лишнего. Не всегда реалистично, но существенно снижает риск.
Расширения браузера. Каждое расширение видит содержимое страниц. Расширение с правами на чтение всех сайтов, купленное новым владельцем и обновлённое вредоносной версией, это регулярно повторяющийся сценарий. Держите минимум расширений и периодически ревизуйте список.
Скачанные файлы. Основной канал доставки стилеров. Отдельно опасны предложения «протестировать новый Web3 продукт» и «пройти техническое собеседование», которые целятся именно в держателей криптовалюты.
Электронная почта. Почта, привязанная к бирже, должна быть отдельной, не использоваться нигде больше и защищаться аппаратным ключом безопасности.
Двухфакторная аутентификация. SMS, это худший вариант из-за подмены SIM-карты. Приложение-аутентификатор лучше. Аппаратный ключ по стандарту FIDO2 лучше всего.
Сеть. Публичный Wi-Fi для операций с кошельком не используется.
Наследование: план, которого обычно нет
Неприятный, но необходимый пункт. Криптоактивы без плана передачи исчезают вместе с владельцем.
Рабочая схема состоит из трёх частей:
- Инструкция, описывающая, что у вас есть и как это устроено, но не содержащая самих ключей.
- Ключи или части ключей, хранящиеся отдельно от инструкции.
- Доверенное лицо или юридический механизм, который соединит первое со вторым в нужный момент.
Ни одна часть по отдельности не даёт доступа. Это же свойство защищает вас при жизни.
Таблица: чек-лист аудита безопасности
Строка про тестовое восстановление важнее, чем кажется. Резервная копия, которую ни разу не проверяли, это не резервная копия, а предположение о ней. Проверка делается на пустом устройстве с небольшой суммой.
Часто задаваемые вопросы
Аппаратный кошелёк защищает от всего?
Нет. Он защищает приватный ключ от кражи с устройства. Он не мешает вам подписать вредоносную операцию и не защищает от социальной инженерии, на которую приходится основная часть потерь.
Можно ли хранить seed-фразу в менеджере паролей?
Не рекомендуется. Менеджер паролей защищён одним паролем и синхронизируется через облако. Компрометация мастер-пароля означает потерю всего сразу. Физический носитель вне сети надёжнее.
Сколько кошельков нужно на самом деле?
Минимум три по назначению: хранилище, рабочий, расходный. Для большинства людей этого достаточно. Больше трёх усложняет учёт и повышает риск запутаться.
Что делать при подозрении на компрометацию?
Сначала перевести активы на новый кошелёк, созданный на чистом устройстве. Затем отозвать разрешения на старом. Затем разбираться в причинах. Порядок именно такой.
Биржа или собственный кошелёк?
Зависит от суммы и частоты операций. Средства, которыми вы активно торгуете, разумно держать на бирже. Средства, которые вы держите долго, разумно вывести на собственное хранение. Универсального ответа нет, есть распределение по назначению.
Выводы
Безопасность кошелька, это не набор запретов, а архитектура, в которой каждая мера закрывает конкретную угрозу.
Три принципа несут основную нагрузку. Разделение средств по назначению ограничивает ущерб заранее, независимо от того, что именно пошло не так. Резервная копия seed-фразы в двух физических локациях закрывает риск потери доступа, который недооценивают сильнее всего. Регулярный аудит разрешений и окружения убирает накопленные хвосты, о которых вы давно забыли.
Ни один из этих принципов не требует специальных знаний. Требуется только регулярность, примерно пятнадцать минут в месяц.
