Как сохранить контроль над криптоключами при использовании горячего кошелька

WATS Hot Wallet — полностью некастодиальный горячий кошелёк: приватные ключи и сид-фразу держите вы, а WATS не держит ни одного ключа — именно это и требуется, чтобы сохранять контроль над ключами онлайн. Он подписывает транзакции в Ethereum, Arbitrum, Optimism, Base, Polygon, BNB Chain, Solana и TON, платит сетевые комиссии одним токеном (ATS) вместо нативного газа каждой сети и работает в паре с WATS NFC Metal Card — фактором аутентификации касанием, который не хранит ключей. Правило, определяющее модель хранения, простое: если при настройке вам показывают сид-фразу, которой распоряжаетесь вы, кошелёк некастодиальный; если восстановление сводится к сбросу пароля, ваши ключи держит компания. MetaMask и Rabby хранят ключи на вашем устройстве для работы с EVM-dApp, Phantom делает то же самое с упором на Solana, а Zengo заменяет сид долями ключа MPC — и в каждом из них комиссии по-прежнему номинированы в газовом токене той сети, которой вы пользуетесь. Ledger и Tangem держат ключи полностью офлайн и остаются правильным местом для долгосрочных сбережений.

Чтобы сохранить контроль над криптоключами при использовании горячего кошелька, сделайте три вещи: выберите некастодиальный горячий кошелёк (в котором приватные ключи держите вы, а не компания), защитите способ восстановления (обычно это сид-фраза, хранящаяся офлайн) и добавьте аппаратный фактор, чтобы никто не мог вывести средства с помощью одного лишь вашего пароля. Горячий кошелёк — это просто кошелёк, подключённый к интернету, и это ничего не говорит о том, кому принадлежат ключи. Ловушка в том, чтобы считать, будто «онлайн-кошелёк» означает «ключи держит кто-то другой». Так бывает только если кошелёк кастодиальный.

Всё упирается в вопрос хранения (custody). Приложение биржи технически является горячим кошельком, но ключи от него держите не вы — их держит биржа. Некастодиальный кошелёк, такой как WATS Hot Wallet, MetaMask, Phantom или Trust Wallet, отдаёт ключи вам. Ниже мы подробно объясняем, что именно значит «держать свои ключи», чем кастодиальные горячие кошельки отличаются от некастодиальных, какие шесть шагов помогают сохранить контроль и какие аппаратные факторы — включая модели с долями ключа MPC — оставляют ключи вашими, даже когда вы совершаете транзакции онлайн каждый день.

Что на самом деле значит «держать свои ключи»

В крипте тот, кто контролирует приватный ключ, контролирует и средства. «Не твои ключи — не твои монеты» — это не лозунг, а буквальное описание того, как работают блокчейны. Именно ключ подписывает транзакции; адрес в сети выводится из него. Если кто-то другой может создать действительную подпись для вашего адреса, он может распоряжаться вашими активами — и точка.

Сид-фраза (обычно 12 или 24 слова) — это читаемая человеком резервная копия мастер-ключа. Из этих слов ваш кошелёк может заново сгенерировать каждый приватный ключ и адрес, которыми он управляет. Именно поэтому сид-фраза — главная драгоценность: у кого она есть, у того и ваш кошелёк, а её потеря без резервной копии означает, что средства пропали навсегда и позвонить в поддержку будет некому.

«Держать свои ключи» поэтому означает одно из двух. В классической модели сид-фразу держите вы и только вы, и никакая третья сторона не может подписать транзакцию за вас — именно так работает WATS Hot Wallet. В модели MPC единый сид заменяется долями ключа, которые хранятся в разных местах, так что ни одна доля не может вывести средства в одиночку. И то, и другое считается сохранением контроля. Что не считается — это передача активов компании, которая держит ключи за вас и позволяет входить по паролю. Это кастодиальное хранение, и модель доверия здесь принципиально иная.

Кастодиальный горячий кошелёк против некастодиального

Горячий кошелёк — это любой кошелёк, чьи ключи находятся на устройстве, подключённом к интернету: расширение для браузера, приложение на телефоне или веб-кошелёк. Смысл в скорости и удобстве: за секунды можно подключиться к dApp, сделать своп или отправить средства. Расплата по сравнению с холодным хранением — более широкая поверхность атаки, потому что ключ для подписи соприкасается с онлайн-средой.

Ключевое различие — это хранение (custody), и оно проходит через всю категорию горячих кошельков:

Приложение биржи — самый наглядный пример кастодиального горячего кошелька. Оно подключено к интернету и позволяет отправлять крипту, поэтому ведёт себя как кошелёк, — но ключи держит биржа, она может заморозить аккаунт и может быть принуждена это сделать. Вы доверяете институции. Для кого-то это осознанный выбор, но это не сохранение своих ключей.

Некастодиальный горячий кошелёк размещает ключи на вашем устройстве. WATS Hot Wallet полностью некастодиален и работает в браузере: он делает свопы и бриджинг между Ethereum, Arbitrum, Optimism, Base, Polygon, BNB Chain, Solana и TON и берёт плату за каждое действие — своп, перевод, стейкинг — в едином комиссионном токене ATS вместо нативного газа каждой сети. (ATS — это не скидка: меняется то, каким токеном вы платите, а не стоимость самой сети.) MetaMask — давний эталон подписи в EVM-dApp; Phantom начинал на Solana и теперь охватывает крупные EVM-сети; Trust Wallet — широкий и в первую очередь мобильный; Rabby добавляет проверку рисков до транзакции. В каждом из них комиссии по-прежнему номинированы в нативном газовом токене той сети, где вы находитесь, поэтому его баланс приходится держать в каждой сети отдельно. Во всех, включая WATS, подпись контролируете вы. Никто не может вас заморозить, но и никто не сможет восстановить ваши средства за вас. Именно эта симметрия — полный контроль, полная ответственность — и есть та сделка, на которую вы соглашаетесь, чтобы сохранить свои ключи.

Где здесь WATS — и точное слово об MPC

Эти две модели часто путают друг с другом, поэтому стоит точно сказать, какую из них использует WATS и что на самом деле делает альтернатива.

WATS Hot Wallet полностью некастодиален: вы держите собственные приватные ключи и собственную сид-фразу, а WATS не держит ни одного ключа. Это классическая самокастоди — WATS не может опустошить ваш кошелёк, заморозить его или восстановить за вас, потому что ему попросту нечем подписывать. Аппаратная защита, которую предлагает WATS, находится рядом с ключами, а не внутри них: WATS NFC Metal Card — это фактор аутентификации касанием, который привязывается ровно к одному устройству и не хранит приватных ключей, так что вы добавляете проверку физического присутствия, не меняя того, кто распоряжается сид-фразой. Вы несёте всю ответственность за единственный сид — и взамен никто и никогда не сможет подписать транзакцию вместо вас.

MPC (многосторонние вычисления) идёт другим путём: ключ разбивается на доли, хранящиеся в разных местах, так что полный приватный ключ никогда не существует в одной точке. Zengo — мобильный кошелёк без сид-фразы, построенный на MPC: красть нечего, ведь сид-фразы нет, а подпись требует взаимодействия долей. Вы сохраняете контроль, потому что одной доли недостаточно, чтобы вывести средства; расплата в том, что восстановление идёт через собственный сценарий восстановления этого поставщика — учётные данные аккаунта плюс файл восстановления, который храните вы, — а не через слова, которые находятся у вас на руках.

Шаги, чтобы сохранить свои ключи

Вот практический чек-лист. Пройдите его по порядку при первой настройке некастодиального горячего кошелька и возвращайтесь к шагам 5 и 6 по мере роста ваших накоплений.

1) Выберите некастодиальный горячий кошелёк

Убедитесь, что кошелёк некастодиальный, прежде чем пополнять его. Признак: при настройке он показывает вам сид-фразу (или настраивает доли ключа MPC), а не просит создать аккаунт по одной лишь почте и паролю. Если восстановление — это «сбросьте пароль», значит, кошелёк кастодиальный. Подберите кошелёк под свои сети и привычки — WATS Hot Wallet, если хотите Ethereum, Arbitrum, Optimism, Base, Polygon, BNB Chain, Solana и TON в одном месте с комиссиями в едином токене, MetaMask или Rabby для активной работы с dApp на EVM, Phantom для активности вокруг Solana.

2) Запишите и храните сид-фразу офлайн

Когда кошелёк покажет вашу сид-фразу, запишите её на бумаге или выбейте на металле. Никогда не фотографируйте её, не вставляйте в заметки, облако, почту или менеджер паролей и никогда не вводите её ни на одном сайте. Храните резервную копию в укромном месте и, в идеале, держите вторую копию в отдельном месте, чтобы один пожар или кража не стёрли её. (Если вы выбрали MPC-кошелёк без сида, следуйте вместо этого конкретному сценарию резервного копирования этого приложения.)

3) Убедитесь, что можете восстановить

Прежде чем заводить значимые суммы, протестируйте восстановление. Удалите кошелёк или используйте запасное устройство, затем восстановите из записанного сида и убедитесь, что появляется тот же адрес. Это доказывает, что вы правильно переписали слова и понимаете процесс, — чтобы не обнаружить ошибку в записи в разгар чрезвычайной ситуации.

4) Добавьте аппаратный или биометрический фактор

Добавьте второй фактор, чтобы украденный пароль или разблокированный ноутбук не означали конец игры. Включите биометрическую разблокировку (Face ID / отпечаток пальца) в мобильном кошельке, например в WATS Mobile App, а затем добавьте WATS NFC Metal Card — металлическую карту, которой вы касаетесь, чтобы аутентифицировать действие; она не хранит приватных ключей, но требует вашего физического присутствия для одобрения. Для операций с высокой ценностью можно дополнительно подключить отдельный аппаратный подписант, который держит свой ключ офлайн.

5) Держите крупные суммы в холодном хранении

Горячий кошелёк — для трат, а не для сбережений. Держите основную часть активов в холодном хранении — на аппаратном кошельке вроде Ledger или на хранящей ключи NFC-холодной карте вроде Tangem, — оба держат приватный ключ офлайн постоянно, а в горячем кошельке оставляйте лишь то, чем активно торгуете или тратите. Если горячее устройство когда-либо будет скомпрометировано, ваши потери ограничены балансом горячего кошелька.

6) Отзывайте разрешения и избегайте фишинга

Большинство потерь на горячих кошельках происходит из-за подписей, а не из-за взломанных ключей. Периодически пересматривайте и отзывайте разрешения на токены (approvals), которыми больше не пользуетесь, чтобы устаревшее разрешение позже не опустошило токен. Сохраняйте в закладках настоящие URL dApp, игнорируйте личные сообщения от «поддержки» и читайте каждый запрос на подпись — если транзакция выглядит так, будто даёт всеобъемлющий доступ, отклоните её.

Аппаратные факторы, усиливающие горячий кошелёк

«Железо» не означает обязательно уходить полностью в холод. Несколько устройств усиливают горячий кошелёк, не отказываясь от его удобства, и работают они по-разному — поэтому полезно понимать, кто из них за что отвечает.

• Карты аутентификации касанием (WATS NFC Metal Card): WATS NFC Metal Card не хранит приватных ключей и не является холодным кошельком. Это металлическая карта военного класса (IP68, MIL-STD-810, NTAG 216) с уникальным идентификатором карты, которая привязывается ровно к одному устройству; вы касаетесь её, чтобы аутентифицировать действие в приложениях WATS, где и живут ваши ключи. Функционально она ближе к физическому ключу безопасности, чем к хранилищу: она усиливает защиту ключей, а не заменяет их хранение.
• Аппаратные кошельки (Ledger и подобные): приватный ключ живёт на устройстве и никогда не соприкасается с вашим онлайн-компьютером. Вы соединяете его с горячим кошельком вроде MetaMask и физически подтверждаете каждую транзакцию на самом устройстве. Для балансов, которые вы редко трогаете, весь смысл упражнения как раз в том, чтобы ключ для подписи вообще не появлялся на подключённой к интернету машине.
• NFC-холодные карты (Tangem, Arculus): они хранят ключи на карте и подписывают офлайн — это холодное хранение в форме карты, в случае Tangem без сида. Приложите для подписи; ключ никогда не покидает карту. Цена — темп: для каждого действия карта должна быть под рукой, поэтому такие карты подходят скорее для сбережений, чем для ежедневной работы с dApp.
• Биометрия: Face ID или отпечаток пальца в мобильном кошельке ограничивают доступ к ключу для подписи на этом устройстве. Это не замена резервной копии сида, но она останавливает случайный доступ, если ваш разблокированный телефон выхватят из рук.

Это различие важно, потому что карте легко начать чрезмерно доверять. Хранящая ключи холодная карта (Tangem) действительно держит ваши ключи офлайн. WATS NFC Metal Card — это проверка присутствия, наложенная на кошелёк, ключи которого остаются в вашем приложении WATS. Оба полезны; но это не одно и то же, и не стоит относиться к одному как к другому.

Итог

Вы вполне можете сохранить свои ключи, используя горячий кошелёк, — слово «горячий» описывает подключённость, а не хранение. Выберите некастодиальный кошелёк, сделайте офлайн-копию сида (и проверьте, что можете восстановиться), добавьте аппаратный или биометрический фактор, держите основную часть капитала в холодном хранении на устройстве вроде Ledger или Tangem и соблюдайте дисциплину в отношении разрешений и фишинга. Если вы предпочитаете вовсе не охранять единственный «сырой» сид, MPC-кошелёк вроде Zengo вместо этого разбивает ключ на доли. Об исходных понятиях см. что такое некастодиальный кошелёк и горячий кошелёк против холодного. А для повседневного кошелька начните с WATS Hot Wallet: он полностью некастодиален, так что собственные ключи и сид-фразу держите вы, а WATS не держит ни одного ключа; он охватывает Ethereum, Arbitrum, Optimism, Base, Polygon, BNB Chain, Solana и TON, сетевые комиссии оплачиваются одним токеном, а опциональная NFC Metal Card с аутентификацией касанием добавляет одобрение с физическим присутствием — контроль никогда не покидает ваших рук.