Основы безопасности крипто-кошельков: горячие и холодные кошельки, сид-фразы

Горячие кошельки против холодных

Криптокошелёк на самом деле не хранит ваши монеты — он хранит приватные ключи, которые подтверждают, что вы контролируете баланс, записанный в блокчейне. Основное разделение типов кошельков — на горячие и холодные: горячие кошельки остаются подключёнными к интернету, холодные — нет. Именно это единственное различие определяет почти всё в том, как каждый из них следует использовать.

К горячим кошелькам относятся мобильные приложения, браузерные расширения и десктопный софт. Они удобны для частых транзакций — пополнения сессии краш-игры, перемещения USDT между платформами, проверки баланса на ходу — поскольку подписание транзакции занимает секунды. Плата за это — уязвимость: любое устройство, подключённое к интернету, представляет собой потенциальную поверхность атаки, будь то через вредоносное ПО, скомпрометированное браузерное расширение или фишинговый сайт, обманом заставляющий вас подписать что-то, чего вы не намеревались.

Холодные кошельки, как правило аппаратные устройства, а иногда даже бумага, хранят приватные ключи офлайн постоянно. Аппаратный кошелёк подписывает транзакции внутри себя и экспортирует только подписанный результат, поэтому сам ключ никогда не касается устройства, подключённого к интернету. Это делает холодное хранение значительно более сложным для удалённой компрометации ценой удобства. Никто не захочет подключать аппаратное устройство ради одной ставки в краш-игре.

Практическая схема, которую используют многие держатели: держать небольшой расходный баланс в горячем кошельке для активного использования и хранить основную часть сбережений в холодном хранилище. Это ограничивает, сколько реально может стоить компрометация горячего кошелька.

Мультиподписные кошельки добавляют ещё один уровень, о котором стоит знать: они разделяют контроль между несколькими ключами, так что одно скомпрометированное устройство не может переместить средства в одиночку. Настройка мультиподписи 2-из-3, например, может хранить один ключ на телефоне, один на аппаратном устройстве и один в отдельном физическом месте, требуя авторизации транзакции любыми двумя из трёх. Это добавляет сложность настройки, которая не нужна большинству обычных игроков в краш-игры, но является распространённым выбором для тех, кто держит более крупный, долгосрочный баланс отдельно от активного игрового кошелька.

Что такое сид-фраза на самом деле

Большинство современных кошельков генерируют сид-фразу, обычно из 12 или 24 слов, при первой настройке. Эта фраза представляет собой понятное человеку кодирование мастер-ключа, из которого математически выводятся все приватные ключи вашего кошелька. Любой, у кого есть ваша сид-фраза, может воссоздать весь ваш кошелёк на любом устройстве, в любом месте, без вашего пароля, телефона или разрешения.

Стоит на минуту остановиться на этом: сид-фраза — это не резервная копия в обычном смысле запасного экземпляра, это полный и абсолютный доступ. PIN-код или пароль приложения-кошелька защищает приложение на вашем конкретном устройстве; сама по себе сид-фраза ничего не защищает, а даёт абсолютно всё тому, кто ею владеет. Именно эта асимметрия объясняет, почему обращение с сид-фразой рассматривается совершенно иначе, чем обычная гигиена паролей.

Правила гигиены сид-фразы

Короткий набор правил охватывает большую часть того, что действительно важно:

• Никогда не вводите свою сид-фразу на сайте, в форме или в чате — ни один легитимный кошелёк или служба поддержки её не запрашивает
• Никогда не храните её в виде фото, скриншота, заметки в облаке или черновика письма
• Запишите её на бумаге или выбейте на металле и храните физически, желательно в более чем одном надёжном месте
• Никогда не произносите её вслух рядом с телефоном или умной колонкой, которые могут слушать или записывать
• Рассмотрите использование дополнительной парольной фразы, иногда называемой «25-м словом», для дополнительного уровня защиты, понимая, что её потеря так же невосстановима, как и потеря самого сида

Заманчиво считать цифровое хранение более удобным и, вероятно, приемлемым, особенно для небольших балансов. Но фишинговые наборы и вредоносное ПО специально сканируют облачные хранилища и фотогалереи в поисках паттернов сид-фраз, поэтому такой компромисс в пользу удобства редко себя оправдывает, когда речь идёт о значимой сумме.

Распространённые ошибки безопасности кошельков

Помимо обращения с сид-фразой, за большинство потерь, связанных с кошельками, отвечает горстка ошибок. Одна из них — одобрение разрешения на токены без чтения того, что именно оно предоставляет: многие децентрализованные приложения запрашивают право перемещать токены от вашего имени, а вредоносный контракт может позже воспользоваться чрезмерно широким разрешением, иногда спустя месяцы. Стоит выработать привычку периодически проверять и отзывать старые разрешения.

Скачивание расширения или приложения кошелька из неофициального источника — ещё одна распространённая ловушка, особенно через рекламу в поиске или ссылки в чат-группах, имитирующие брендинг настоящего кошелька. Всегда проверяйте, что устанавливаете именно из официального канала провайдера кошелька, прежде чем вводить что-либо чувствительное.

Подключение кошелька к незнакомому сайту и подписание транзакции без внимательного прочтения — третий распространённый паттерн. Запрос на подпись, который выглядит как бессмысленный набор символов, не обязательно опасен, но и не обязательно безопасен — в случае сомнений отклоните его и сначала разберитесь.

Выбор кошелька для игры в краш-игры

Для реальной игры в краш-игры с криптовалютой большинство игроков используют горячий кошелёк, подключённый к той сети, которую поддерживает платформа, обычно Ethereum, Polygon, BNB Smart Chain, Tron для переводов USDT или Solana, каждая со своим совершенно разным профилем комиссий. Комиссии за газ в основной сети Ethereum могут составлять примерно от $1 до $20 и более в зависимости от загруженности сети, тогда как транзакции в Polygon или BNB Smart Chain часто стоят несколько центов. Переводы USDT через Tron часто стоят менее $1, а транзакции Solana нередко завершаются за несколько секунд за долю цента.

Поскольку эти различия настолько велики, важно проверить, какую сеть платформа реально использует, прежде чем вносить депозит — отправка средств на адрес неверной сети или уплата комиссий основной сети Ethereum за депозит, который можно было сделать в более дешёвой сети, — простой способ потерять деньги на одном лишь трении, а не в самой игре.

Также полезно держать отдельный кошелёк исключительно для игровой активности, отдельно от кошелька со сбережениями или средствами, предназначенными для других целей. Если игровой горячий кошелёк когда-либо будет скомпрометирован через вредоносный сайт казино или фишинговую ссылку, замаскированную под страницу депозита, ущерб ограничится тем балансом, который вы намеренно перевели для этой сессии, а не поставит под угрозу гораздо более крупные накопления. Некоторые игроки даже меняют игровой кошелёк каждые несколько месяцев, переводя каждый раз только запланированный банкролл, что ограничивает накопление устаревшей истории разрешений и общей уязвимости на одном адресе.

Многофакторная аутентификация и безопасность устройства

Безопасность кошелька не ограничивается самим приложением. Устройство, на котором он живёт, тоже имеет значение. Держите операционную систему телефона и компьютера обновлённой, избегайте установки софта кошелька на устройство со снятыми ограничениями (jailbreak или root), и используйте уникальный, надёжный код доступа к устройству вместо простого графического ключа.

Там, где платформа это поддерживает, включайте двухфакторный вход через приложение-аутентификатор, а не через SMS, поскольку атаки подмены SIM-карты остаются реальным риском. Отдельное устройство или профиль браузера, используемые исключительно для криптоактивности и отделённые от обычного просмотра сайтов, дополнительно ограничивают риск заражения вредоносным ПО, который вы приносите с собой в сессию работы с кошельком.

Что делать при подозрении на компрометацию

Если вы считаете, что сид-фраза, приватный ключ или устройство были скомпрометированы, скорость важнее уверенности. Немедленно переведите оставшиеся средства на совершенно новый кошелёк со свежесгенерированной сид-фразой — не ждите подтверждения взлома, поскольку подтверждение часто приходит слишком поздно, чтобы иметь значение.

Отзовите разрешения на токены, привязанные к старому кошельку, с помощью инструмента проверки разрешений в блокчейн-эксплорере, а затем считайте подозрительным каждое устройство, которое соприкасалось со скомпрометированным сидом, пока оно не будет проверено или очищено. Смените любые повторно используемые пароли в других местах, поскольку повторное использование учётных данных — именно та привычка, которую злоумышленник, нашедший одну слабую точку, попытается использовать следующей.

Стоит составить этот план реагирования ещё до того, как он вам реально понадобится, точно так же, как вы продумали бы, что делать, если бы пропал физический кошелёк. Записав шаги там, где вы их действительно вспомните — сгенерировать новый кошелёк, немедленно перевести средства, отозвать старые разрешения, проверить каждое подключённое устройство, — вы избавляете себя от необходимости впервые ясно мыслить прямо посреди стрессовой ситуации. Спокойная, отрепетированная реакция, как правило, спасает заметно больше средств, чем быстрая, но хаотичная.