Как безопасно настроить аппаратный кошелёк

Безопасная настройка аппаратного кошелька начинается с покупки напрямую у производителя. Затем проверьте, что устройство пришло неиспользованным, сгенерируйте новую seed-фразу на самом устройстве, запишите фразу от руки без подключения к интернету, установите PIN-код, установите официальное приложение, проверяйте адреса для получения средств на экране устройства и протестируйте перевод на небольшую сумму, прежде чем переводить крупные суммы.

Перед началом

Вам понадобятся устройство, его официальное приложение, скачанное с сайта производителя, прочный носитель для seed-фразы и уединённое место для работы. См. сравнение hot wallet и cold wallet, где объясняется, почему аппаратные кошельки хранят ключи в офлайн-режиме.

Настройка

1. Покупайте у производителя

Рисунок: Семь шагов безопасной настройки аппаратного кошелька.

Заказывайте напрямую у производителя или авторизованного реселлера. Устройства с маркетплейсов или от перепродавцов могли быть изменены.

2. Проверьте устройство и упаковку

Следуйте инструкциям производителя по проверке пломб и подлинности. Устройство, которое пришло с уже напечатанной или заполненной seed-фразой, — это мошенничество: никогда не используйте его.

3. Сгенерируйте новую seed-фразу на устройстве

Пусть устройство создаст фразу, и запишите её от руки так, как она отображается на собственном экране устройства. См. как безопасно создать резервную копию seed-фразы.

4. Установите PIN-код

Выберите неочевидный PIN-код. После множества неверных попыток устройство обычно сбрасывается, поэтому резервная копия так важна.

5. Установите официальное приложение и обновите прошивку

Используйте только приложение, ссылка на которое размещена на официальном сайте производителя, и устанавливайте обновления прошивки через него.

6. Проверяйте адреса на экране устройства

При получении средств убедитесь, что адрес, показанный в приложении, совпадает с адресом на экране устройства. Вредоносное ПО может изменить то, что показывает ваш компьютер, но не то, что отображает устройство.

7. Протестируйте на небольшой сумме

Отправьте небольшую сумму на кошелёк, затем отправьте часть обратно, прежде чем переводить более крупные суммы.

Выбор способа подключения

Аппаратные кошельки подключаются по-разному. Модели с USB-кабелем подключаются к компьютеру или телефону. Модели с Bluetooth удобнее на мобильных устройствах, но предполагают беспроводное соединение, которое производители защищают, хотя некоторые пользователи предпочитают его избегать. Модели с воздушным зазором (air-gapped) никогда не подключаются напрямую: они обмениваются транзакциями через QR-коды или карты памяти, поэтому устройство никогда физически или по беспроводной сети не связано с компьютером, подключённым к интернету. Все три типа хранят ключи на устройстве; выбор зависит от удобства и от того, насколько вы хотите ограничить контакт устройства с другим оборудованием.

Читайте экран перед подписью

Экран устройства — та часть настройки, которой можно доверять, когда компьютеру доверять нельзя. Перед подтверждением чего-либо проверьте на самом устройстве:

• Адрес получателя, символ за символом в начале и в конце, а лучше и в середине.
• Сумму и актив, включая сеть для токенов, которые существуют в нескольких блокчейнах.
• Комиссию, которая должна выглядеть разумной для данной сети.
• Для взаимодействий с смарт-контрактами — что, по словам устройства, делает транзакция. Если отображаются только нечитаемые данные, остановитесь и проверьте с помощью другого инструмента перед подписанием.

Безопасное обновление прошивки

Обновления прошивки устраняют проблемы безопасности и добавляют поддержку новых монет, поэтому они важны. Устанавливайте их только через официальное приложение производителя, никогда не переходя по ссылке из письма или сообщения, и убедитесь, что резервная копия seed-фразы у вас под рукой, прежде чем начать. Подлинное обновление никогда не просит ввести seed-фразу на компьютере. Если во время обновления запрос требует её где-либо, кроме самого устройства, остановитесь.

Если устройство утеряно, украдено или сломано

Устройство — не ваша резервная копия; ею является seed-фраза. Если оно утеряно или сломано, купите новое устройство, восстановите кошелёк по фразе и проверьте адреса и балансы. Если оно украдено, PIN-код защищает его какое-то время, поскольку повторные неверные попытки сбрасывают устройство, однако упорный злоумышленник с достаточным временем и инструментами может попытаться извлечь данные. Самый безопасный вариант — восстановить фразу на новом устройстве и перевести средства в новый кошелёк с новой фразой.

Храните устройство, его кабель и коробку вместе только в том случае, если фраза восстановления хранится в совершенно другом месте; упаковка также может помочь подтвердить подлинность, если когда-либо понадобится поддержка производителя.

От чего аппаратный кошелек не защищает

Аппаратный кошелек хранит ваши ключи вдали от вредоносного ПО, но подписывает всё, что вы подтверждаете. Он не может помешать вам отправить средства мошеннику, одобрить вредоносное разрешение для токена или ввести фразу восстановления на поддельном сайте. Он не может защитить резервную копию, которую нашел кто-то другой, и не поможет, если вас вынудят его разблокировать. Устройство устраняет один из самых серьезных рисков, скомпрометированный компьютер, а остальное зависит от ваших привычек. См. что такое wallet drainer.

Использование с телефоном

Многие устройства работают с мобильными приложениями-компаньонами через кабель или Bluetooth. Действуют те же правила: устанавливайте приложение только по официальной ссылке производителя, подтверждайте каждый адрес и сумму на экране устройства, а не телефона, и считайте телефон ненадежным, поскольку именно на нем чаще всего может быть вредоносное ПО или его могут потерять.

Распространенные ошибки

• Подписание транзакций без их проверки на экране устройства.
• Ввод фразы восстановления на компьютере или сайте, чтобы «восстановить» или «проверить» кошелек.
• Использование самого устройства в качестве резервной копии: если оно потеряно, восстановить средства可以 только с помощью фразы восстановления.

Основы работы с кошельками описаны в статье о том, что такое криптокошелек, и что такое фраза восстановления.

Эта статья носит образовательный характер и не является финансовой, инвестиционной, юридической или налоговой консультацией. Цифровые активы подвержены высокой волатильности, и вы можете потерять вложенную сумму.

Часто задаваемые вопросы

Можно ли использовать один аппаратный кошелек для многих монет?

Обычно да. Большинство устройств поддерживают множество сетей с одной и той же фразой восстановления, хотя для некоторых монет нужно отдельное приложение-компаньон. Проверьте список поддерживаемых активов производителя перед покупкой.

Стоит ли покупать аппаратный кошелек для небольших сумм?

Для очень небольших сумм, которыми вы пользуетесь часто, может хватить надежного кошелька на телефоне. Когда ваши активы достигнут уровня, потеря которого была бы крайне неприятна, защита от вредоносного ПО на компьютере или телефоне, которую дает аппаратный кошелек, стоит своих денег.

Источники

• Что такое слова восстановления? (вводите слова восстановления только на устройстве, никогда не на компьютере) — поддержка BitBox
• Двенадцать слов, которые хранят все ваши биткоины (легитимный кошелек никогда не просит снова ввести фразу восстановления; проверяйте восстановление) — txid.uk
• Безопасность взаимодействия со смart-контрактами (проверяйте адреса и транзакции перед подписанием) — Security Alliance