Кажется, что всем все уже давно известно о безопасности хранения криптовалюты: просто используй холодные кошельки или храни крипту на бирже с 2FA и очень сложным паролем, и все будет в порядке.
Однако люди, которые так считают и продолжают думать, что у них все под контролем, буквально ежеминутно рискуют всем своим капиталом, даже этого не подозревая.
В этой статье разберем все способы хранения криптовалюты: от централизованных бирж до аппаратных кошельков, расскажем про уязвимости и преимущества каждого способа, а также выведем настоящий секрет безопасного хранения и использования ваших активов.
Как работает хранение криптовалюты: где лежат ваши активы
Чтобы сравнить разные способы хранения криптовалюты, нужно сначала разобраться, как вообще хранится крипта и где она «лежит».
Например, многие люди думают, что холодные кошельки лучше горячих из-за того, что криптовалюта лежит на физическом носителе, типа на флешке. И пока злоумышленник физически не доберется до этой «флешки», средства в безопасности.
Однако это очень далеко от правды.
Дело в том, что криптовалюта не лежит на вашем кошельке, балансе биржи или «флешке». Она вообще нигде не лежит, потому что у нее нет такого свойства.
Ваши монеты — это просто записи внутри блокчейна, на которых написано: «вот этому адресу принадлежит вот столько-то монет». Они всегда находятся внутри сети и никуда из нее не перемещаются: ни к вам на компьютер, ни к вам на кошелек, ни куда-то еще.
Так что когда вы отправляете условный 1 BTC своему другу, то вы не перемещаете никакие монеты, а просто подтверждаете транзакцию, которая передает блокчейну, что ему пора бы обновить информацию о том, какой адрес теперь имеет право распоряжаться этим 1 BTC.
Так что кто владеет адресом, который имеет право распоряжаться монетами — тот и владеет криптовалютой.
А чтобы доказать сети, что именно вы являетесь владельцем конкретного адреса, используются приватные ключи.
Приватный ключ как раз позволяет подписать транзакцию и тем самым дать блокчейну команду перевести право на владение 1 BTC адресу вашего друга.
Получается, кто владеет приватными ключами, тот владеет адресом, а кто владеет адресом — тот владеет правом распоряжаться монетами, то есть простыми словами, владеет криптовалютой.
Это крайне важно понимать. Без этой базы в принципе невозможно оценивать безопасность того или иного способа или вида хранения криптовалюты.
Кстати, если вы подумали, что это конец цепочки, то нет. Есть еще кое-что. Для полного понимания нужно добавить еще одну переменную: сид-фразу.
Сид-фраза — это как раз тот самый набор из 12 или 24 слов, который вам предлагают записать при создании нового кошелька. Именно сид-фраза генерирует приватные ключи и дает возможность их восстановить в будущем.
То есть полная цепочка выглядит так:
Владеешь сид-фразой — владеешь приватными ключами — владеешь адресом с правом распоряжаться монетами = владеешь криптовалютой.
Лучшие способы хранения криптовалюты
Из всего, что мы узнали выше, самый лучший и безопасный способ хранить крипту — это быть единственным владельцем приватных ключей и никогда, никому, ни при каких обстоятельствах их не раскрывать.
То есть самый большой риск для ваших активов — это компрометация ваших приватных ключей и риск, что кто-то кроме вас получит к ним доступ.
Это автоматически делает хранение криптовалюты на всех централизованных биржах (CEX) одним из самых ненадежных способов хранения криптовалюты в принципе.
Баланс вашего аккаунта на бирже — это просто циферки, которые сама биржа вам нарисовала в своем красивом интерфейсе. А приватные ключи, то есть доступ к самим активам, биржа хранит сама.
Это означает, что в теории в любой момент биржа может забрать ваши деньги без вашего разрешения. И тут как раз важно понимать, что как бы надежно ни был защищен ваш аккаунт на бирже — главный риск никуда не девается.
Представьте, что вы пришли к вашему знакомому в гости с большой сумкой денег. Вы хотите максимально надежно и безопасно хранить свои средства и поэтому установили суперпрочную титановую дверь с десятью замками, поставили сигнализацию, повесили решетки на окна и наняли охрану по периметру, а потом просто дали эту сумку знакомому в руки и ушли по своим делам.
Вот примерно так выглядит «надежное» хранение криптовалюты на централизованной бирже, где у вас суперсложный пароль, двухфакторная аутентификация с трех устройств и другие способы «защиты» ваших активов.
Конечно, «знакомый» не обязан забирать ваши деньги. Но сам факт того, что он может, никуда не пропадает.
Кроме того, биржи регулярно подвергаются хакерским атакам и взламываются, так что вы можете потерять свои деньги даже без «соскамившейся» биржи.
Именно поэтому, если вы хотите по-настоящему владеть вашими активами — вы должны использовать некастодиальные кошельки, которые не владеют вашими приватными ключами, а лишь предоставляют интерфейс и возможность взаимодействия с блокчейном.
Как выбрать некастодиальный криптокошелек
Некастодиальные криптокошельки как раз бывают двух видов: горячие и холодные (аппаратные). И ни у тех, ни у других нет доступа к вашим приватным ключам и к вашей криптовалюте. Точнее, доступ у них есть, но строго технический, иначе кошелек не смог бы подписывать транзакции.
Но, как я уже сказал ранее, кошелек — это лишь интерфейс и способ взаимодействовать с блокчейном, он не может владеть вашими активами. Ими владеете вы.
Это как сказать, что приложение «Погода» на вашем телефоне имеет доступ к облакам и возможность менять погодные условия.
Однако существуют вредоносные и поддельные версии популярных криптокошельков. Вот там у вас буквально украдут все средства в ту же секунду, как вы введете свою сид-фразу.
Поэтому стоит быть очень внимательным при установке приложений и расширений кошельков, а также при покупке аппаратных кошельков.
Горячие кошельки — всегда скачиваем только по ссылкам с официальных сайтов, а домены и названия разработчиков внимательно проверяем.
Аппаратные кошельки также стоит покупать исключительно у официальных производителей или их авторизованных продавцов, а не на Авито или у рандомного продавца на маркетплейсе.
Но давайте лучше разберемся, чем на практике отличается холодный кошелек от горячего и в каких именно случаях он безопаснее.
Почему холодный (аппаратный) кошелек — это не гарантия безопасности
Разница между горячим и холодным кошельком заключается лишь в том, что на холодном кошельке ваши приватные ключи находятся в изолированной среде и не выходят «наружу».
При подписании транзакция передается внутрь аппаратного кошелька, где устройство использует приватный ключ для создания цифровой подписи. После этого наружу возвращается уже подписанная транзакция, а сам приватный ключ так и остается внутри изолированной аппаратной среды.
Например, какой-нибудь MetaMask или Trust Wallet, установленный у вас на компьютере, подключенном к интернету, является потенциально более опасной средой, чем аппаратный кошелек.
Но фактически это спасает вас от очень и очень конкретных уязвимостей и слабых мест горячих кошельков.
Чтобы аппаратный кошелек на практике сыграл роль и «спас» ваш капитал по сравнению с горячим, должен быть выполнен довольно специфический набор условий:
- горячий кошелек должен быть установлен на зараженном устройстве или злоумышленник должен иметь прямой доступ к кошельку
- горячий кошелек не должен иметь обычного защитного пароля или злоумышленник должен откуда-то его знать
- кошелек должен быть без multi-sig
- злоумышленник почему-то должен иметь физический доступ к устройству с горячим кошельком, но не иметь доступа к аппаратному
- сид-фраза аппаратного кошелька должна быть изначально создана внутри него и ни разу не вводиться на компьютере, смартфоне, сайте или в каком-либо приложении
Только при соблюдении всех этих условий можно сказать, что аппаратный кошелек реально безопаснее горячего.
То есть векторов атаки на ваши средства и на ваш кошелек просто огромное количество: от вирусов и случайно подписанной вредоносной транзакции до самовольной передачи сид-фразы злоумышленнику. А наличие и использование холодного кошелька защищает вас лишь от самой малой части.
И по факту, конечно, это не делает холодные кошельки бессмысленными. Это скорее делает их более рискованными для многих людей из-за ложного ощущения безопасности.
Поэтому если вы счастливый обладатель какого-нибудь Ledger или Tangem и думаете, что ваша криптовалюта неуязвима для глупых злоумышленников, но при этом:
- не проверяете адрес получателя и адрес сдачи при подписании транзакций
- параллельно светили сид-фразой или приватными ключами в интернете
- или вообще купили свой аппаратный кошелек на Wildberries или Ozon
То ваши средства точно так же уязвимы (если не больше), как и у любого Васи, который 5 минут назад впервые скачал Trust Wallet, услышав о заработке на стейкинге.
Самый безопасный способ хранить криптовалюту
Как мы уже поняли, за реальную безопасность криптовалюты отвечает не способ хранения сам по себе, а ваши знания, аккуратность, внимательность и умение соблюдать базовые правила цифровой гигиены и работы с криптовалютой.
Тем не менее «супербезопасный» способ хранения криптовалюты все-таки можно создать. И я сейчас расскажу, как можно заморочиться при большом желании.
Представим, что мы хотим хранить наши Биткоины максимально безопасно.
Нам понадобится связка из трех аппаратных кошельков, multi-sig 2/3 и собственной Bitcoin-ноды.
Multi-sig означает, что для отправки криптовалюты нужно не одно подтверждение, а сразу несколько. В схеме 2/3 у нас есть всего три независимых ключа, но для перевода средств достаточно любых двух из них.
Берем три аппаратных кошелька разных производителей:
- Первый кошелек: Trezor
- Второй кошелек: Ledger
- Третий кошелек: Keystone
Создаем на каждом устройстве отдельную сид-фразу, после чего добавляем публичные ключи трех устройств в Sparrow Wallet и создаем общий multisig-кошелек.
Тогда даже если какой-то кошелек украдут, взломают, потеряют или найдут его сид-фразу — получить доступ к средствам все равно не получится. Для этого понадобится еще один независимый ключ.
Дальше каждый комплект из аппаратного кошелька, его сид-фразы и резервной копии конфигурации multi-sig храним в отдельном месте:
- один дома в сейфе
- второй в банковской ячейке
- третий можно доверить близкому родственнику
Главное, чтобы ни в одной точке одновременно не находились два разных ключа.
Для управления такой связкой используем Sparrow Wallet. Он выступает обычным интерфейсом: показывает баланс, создает транзакции и передает их аппаратным кошелькам на подпись.
Дальше настраиваем собственную Bitcoin-ноду, которая будет самостоятельно хранить и проверять блокчейн. А потом уже подключаем к ней Sparrow.
Это позволяет не доверять чужим серверам и самостоятельно проверять баланс и транзакции.
Также важно: перед переводом крупной суммы сначала всегда отправляем небольшую тестовую транзакцию, а затем проверяем, что средства можно вывести с помощью любых двух кошельков. И только после этого туда переводим основной капитал.
В итоге такая система защищает сразу от большинства реальных угроз: поломки устройства, потери сид-фразы, взлома одного кошелька, пожара, кражи, компрометации одного места хранения и зависимости от чужих серверов.
Нужно ли это 99% инвесторов? Скорее всего, нет. Подавляющему большинству людей будет достаточно обычного некастодиального кошелька, немного внимательности и цифровой гигиены.
Тем более что капитал в крипте можно не только защищать (физически), но и работать с ним и извлекать из него прибыль. И это, кстати, гораздо важнее параноидального возведения китайской стены вокруг ваших активов.
Я говорю про активное использование своих активов в сфере децентрализованных финансов (DeFi). Потому что одно дело — безопасно хранить свои активы, другое дело — активно их использовать и приумножать свой капитал на дистанции.
Практически все крупные игроки не позволяют своим активам лежать мертвым грузом. Вместо этого они используют свой капитал в DeFi и извлекают прибыль из действий и активности других пользователей.
Откуда я это знаю?
В блокчейне ничего невозможно скрыть. Все находится в открытом доступе. Я лишь проанализировал крупные кошельки (сотни кошельков) и посмотрел, что конкретно криптокиты делают со своими активами, какие стратегии используют и как получают нечестное преимущество на рынке.
Я написал целую статью с подробным разбором стратегии криптокитов и показал всю суть реального заработка на криптовалюте.
