Как сохранить контроль над криптоключами при использовании горячего кошелька

Чтобы сохранить контроль над криптоключами при использовании горячего кошелька, сделайте три вещи: выберите некастодиальный горячий кошелёк (в котором приватные ключи держите вы, а не компания), защитите способ восстановления (обычно это сид-фраза, хранящаяся офлайн) и добавьте аппаратный фактор, чтобы никто не мог вывести средства с помощью одного лишь вашего пароля. Горячий кошелёк — это просто кошелёк, подключённый к интернету, и это ничего не говорит о том, кому принадлежат ключи. Ловушка в том, чтобы считать, будто «онлайн-кошелёк» означает «ключи держит кто-то другой». Так бывает только если кошелёк кастодиальный.

Всё упирается в вопрос хранения (custody). Приложение биржи технически является горячим кошельком, но ключи от него держите не вы — их держит биржа. Некастодиальный кошелёк, такой как WATS Hot Wallet, MetaMask, Phantom или Trust Wallet, отдаёт ключи вам. Ниже мы подробно объясняем, что именно значит «держать свои ключи», чем кастодиальные горячие кошельки отличаются от некастодиальных, какие шесть шагов помогают сохранить контроль и какие аппаратные факторы — включая более новые модели вроде MPC и двойного хранения — оставляют ключи вашими, даже когда вы совершаете транзакции онлайн каждый день.

Что на самом деле значит «держать свои ключи»

В крипте тот, кто контролирует приватный ключ, контролирует и средства. «Не твои ключи — не твои монеты» — это не лозунг, а буквальное описание того, как работают блокчейны. Именно ключ подписывает транзакции; адрес в сети выводится из него. Если кто-то другой может создать действительную подпись для вашего адреса, он может распоряжаться вашими активами — и точка.

Сид-фраза (обычно 12 или 24 слова) — это читаемая человеком резервная копия мастер-ключа. Из этих слов ваш кошелёк может заново сгенерировать каждый приватный ключ и адрес, которыми он управляет. Именно поэтому сид-фраза — главная драгоценность: у кого она есть, у того и ваш кошелёк, а её потеря без резервной копии означает, что средства пропали навсегда и позвонить в поддержку будет некому.

«Держать свои ключи» поэтому означает одно из двух. В классической модели сид-фразу держите вы и только вы, и никакая третья сторона не может подписать транзакцию за вас. В новых моделях единый исходный сид заменяется чем-то разделённым или общим — доли ключа в MPC или двойное хранение, — так что ни одна из сторон (включая кастодиана) не может вывести средства в одиночку. И то, и другое считается сохранением контроля. Что не считается — это передача активов компании, которая держит ключи за вас и позволяет входить по паролю. Это кастодиальное хранение, и модель доверия здесь принципиально иная.

Кастодиальный горячий кошелёк против некастодиального

Горячий кошелёк — это любой кошелёк, чьи ключи находятся на устройстве, подключённом к интернету: расширение для браузера, приложение на телефоне или веб-кошелёк. Смысл в скорости и удобстве: за секунды можно подключиться к dApp, сделать своп или отправить средства. Расплата по сравнению с холодным хранением — более широкая поверхность атаки, потому что ключ для подписи соприкасается с онлайн-средой.

Ключевое различие — это хранение (custody), и оно проходит через всю категорию горячих кошельков:

Приложение биржи — самый наглядный пример кастодиального горячего кошелька. Оно подключено к интернету и позволяет отправлять крипту, поэтому ведёт себя как кошелёк, — но ключи держит биржа, она может заморозить аккаунт и может быть принуждена это сделать. Вы доверяете институции. Для кого-то это осознанный выбор, но это не сохранение своих ключей.

Некастодиальный горячий кошелёк размещает ключи на вашем устройстве. MetaMask — эталонный пример для EVM-сетей и подписи в dApp; Phantom лидирует в Solana и теперь охватывает крупные EVM-сети; Trust Wallet — широкий и в первую очередь мобильный; Rabby добавляет проверку рисков до транзакции. WATS Hot Wallet — это браузерный веб-кошелёк, который делает свопы и бриджинг между EVM, Solana и TON и берёт плату за каждое действие — своп, перевод, стейкинг — в едином комиссионном токене ATS, вместо того чтобы жонглировать нативным газом каждой сети. Во всех этих случаях подпись контролируете вы. Никто не может вас заморозить, но и никто не сможет восстановить ваши средства за вас. Именно эта симметрия — полный контроль, полная ответственность — и есть та сделка, на которую вы соглашаетесь, чтобы сохранить свои ключи.

Точное слово о двойном хранении и MPC

Две модели оставляют контроль за вами без того, чтобы вручить вам единственный «сырой» сид для одиночной охраны, и стоит описать их точно, чтобы вы не приняли ни одну из них за классическую самокастоди.

MPC (многосторонние вычисления) разбивает ключ на доли, хранящиеся в разных местах, так что полный приватный ключ никогда не существует в одной точке. Zengo — известный бессид-фразовый/MPC мобильный кошелёк: красть нечего, ведь сид-фразы нет, а подпись требует взаимодействия долей. Вы сохраняете контроль, потому что одной доли недостаточно, чтобы вывести средства.

WATS Hot Wallet использует двойное хранение: есть ключ пользователя и ключ WATS, и ни одна из сторон не может вывести средства в одиночку. Это не кастодиан, держащий ваши активы, — WATS не может опустошить ваш кошелёк сам по себе, и в этом весь смысл. Но будем точны: это и не классическая самокастоди с одним ключом, ведь вы не единственный подписант. Это модель совместного контроля. Честнее всего описать так: вы никогда не отдаёте единоличный контроль кастодиану, но и никогда не несёте в одиночку всю тяжесть единственного сида. Подходит ли вам такой размен — зависит от того, как вы взвешиваете удобство и возможность восстановления против того, чтобы быть единственным подписантом.

Шаги, чтобы сохранить свои ключи

Вот практический чек-лист. Пройдите его по порядку при первой настройке некастодиального горячего кошелька и возвращайтесь к шагам 5 и 6 по мере роста ваших накоплений.

1) Выберите некастодиальный горячий кошелёк

Убедитесь, что кошелёк некастодиальный, прежде чем пополнять его. Признак: при настройке он показывает вам сид-фразу (или настраивает доли ключа MPC / модель совместной подписи), а не просит создать аккаунт по одной лишь почте и паролю. Если восстановление — это «сбросьте пароль», значит, кошелёк кастодиальный. Подберите кошелёк под свои сети и привычки — MetaMask или Rabby для активной работы с dApp на EVM, Phantom для Solana или WATS Hot Wallet, если хотите EVM, Solana и TON в одном месте с комиссиями в едином токене.

2) Запишите и храните сид-фразу офлайн

Когда кошелёк покажет вашу сид-фразу, запишите её на бумаге или выбейте на металле. Никогда не фотографируйте её, не вставляйте в заметки, облако, почту или менеджер паролей и никогда не вводите её ни на одном сайте. Храните резервную копию в укромном месте и, в идеале, держите вторую копию в отдельном месте, чтобы один пожар или кража не стёрли её. (Если вы выбрали MPC-кошелёк без сида, следуйте вместо этого конкретному сценарию резервного копирования этого приложения.)

3) Убедитесь, что можете восстановить

Прежде чем заводить значимые суммы, протестируйте восстановление. Удалите кошелёк или используйте запасное устройство, затем восстановите из записанного сида и убедитесь, что появляется тот же адрес. Это доказывает, что вы правильно переписали слова и понимаете процесс, — чтобы не обнаружить ошибку в записи в разгар чрезвычайной ситуации.

4) Добавьте аппаратный или биометрический фактор

Добавьте второй фактор, чтобы украденный пароль или разблокированный ноутбук не означали конец игры. Включите биометрическую разблокировку (Face ID / отпечаток пальца) в мобильном кошельке, например в WATS Mobile App. Подключите аппаратный подписант для операций с высокой ценностью или используйте компаньон с подтверждением касанием, такой как WATS NFC Metal Card — физическую карту, которой вы касаетесь, чтобы аутентифицировать действие; она не хранит ваши ключи, но требует вашего физического присутствия для одобрения.

5) Держите крупные суммы в холодном хранении

Горячий кошелёк — для трат, а не для сбережений. Держите основную часть активов в холодном хранении — на аппаратном кошельке вроде Ledger или на хранящей ключи NFC-холодной карте вроде Tangem — и оставляйте в горячем кошельке лишь то, чем активно торгуете или тратите. Если горячее устройство когда-либо будет скомпрометировано, ваши потери ограничены балансом горячего кошелька.

6) Отзывайте разрешения и избегайте фишинга

Большинство потерь на горячих кошельках происходит из-за подписей, а не из-за взломанных ключей. Периодически пересматривайте и отзывайте разрешения на токены (approvals), которыми больше не пользуетесь, чтобы устаревшее разрешение позже не опустошило токен. Сохраняйте в закладках настоящие URL dApp, игнорируйте личные сообщения от «поддержки» и читайте каждый запрос на подпись — если транзакция выглядит так, будто даёт всеобъемлющий доступ, отклоните её.

Аппаратные факторы, усиливающие горячий кошелёк

«Железо» не означает обязательно уходить полностью в холод. Несколько устройств усиливают горячий кошелёк, не отказываясь от его удобства, и работают они по-разному — поэтому полезно понимать, кто из них за что отвечает.

• Аппаратные кошельки (Ledger и подобные): приватный ключ живёт на устройстве и никогда не соприкасается с вашим онлайн-компьютером. Вы соединяете его с горячим кошельком вроде MetaMask и физически подтверждаете каждую транзакцию на самом устройстве. Это самый надёжный фактор для крупных балансов.
• NFC-холодные карты (Tangem, Arculus): они хранят ключи на карте и подписывают офлайн — это холодное хранение в форме карты, в случае Tangem без сида. Приложите для подписи; ключ никогда не покидает карту.
• Компаньоны с подтверждением касанием (WATS NFC Metal Card): отдельная категория. WATS NFC Metal Card не хранит приватные ключи и не является холодным кошельком — это прочный стальной компаньон (водозащита IP68, стандарт MIL-STD-810, AES-128, NTAG 216), которым вы касаетесь, чтобы аутентифицировать действие, добавляя фактор физического присутствия к вашему мобильному кошельку. Он дополняет безопасность ваших ключей, но не заменяет их хранение.
• Биометрия: Face ID или отпечаток пальца в мобильном кошельке ограничивают доступ к ключу для подписи на этом устройстве. Это не замена резервной копии сида, но она останавливает случайный доступ, если ваш разблокированный телефон выхватят из рук.

Это различие важно, потому что карте легко начать чрезмерно доверять. Хранящая ключи холодная карта (Tangem) действительно держит ваши ключи офлайн. Компаньон с подтверждением касанием (карта WATS) — это проверка присутствия, наложенная на горячий кошелёк, чьи ключи находятся в другом месте. Оба полезны; но это не одно и то же, и не стоит относиться к одному как к другому.

Итог

Вы вполне можете сохранить свои ключи, используя горячий кошелёк, — слово «горячий» описывает подключённость, а не хранение. Выберите некастодиальный кошелёк, сделайте офлайн-копию сида (и проверьте, что можете восстановиться), добавьте аппаратный или биометрический фактор, держите основную часть капитала в холодном хранении и соблюдайте дисциплину в отношении разрешений и фишинга. Если вы предпочитаете не нести в одиночку единственный «сырой» сид, MPC-кошельки вроде Zengo и WATS Hot Wallet с двойным хранением (ключ пользователя + ключ WATS, где ни один не выводит средства в одиночку) оставляют контроль вне рук любого одного кастодиана — просто помните, что это совместный контроль, а не классическая самокастоди с одним ключом. Выберите модель, соответствующую тому, сколько ответственности вы действительно хотите нести, и ваш горячий кошелёк останется по-настоящему вашим. Подробнее о лежащих в основе понятиях см. что такое некастодиальный кошелёк и горячий кошелёк против холодного.