Горячий и холодный кошелёк: в чём разница и как разделить средства

Горячий и холодный кошелёк различаются тем, где хранится приватный ключ и где подписывается перевод. У горячего кошелька ключ лежит в телефоне, компьютере или браузере, которые выходят в интернет. У холодного ключ хранится на устройстве или носителе без выхода в сеть, перевод подписывается там же, а наружу уходит только готовая подпись. Монеты не лежат ни в том, ни в другом: они записаны в блокчейне за адресом. Обычная схема – небольшая сумма на расходы в горячем кошельке, сбережения в холодном. У каждого из них своя резервная копия, и её стоит расписать заранее, до первой поломки или кражи.

Где ключ и где подпись: сравнение по шести вопросам

Бюллетень Комиссии по ценным бумагам США (SEC) даёт короткие определения. Горячий кошелёк подключён к интернету, это приложение для компьютера, телефона или веб-сервис. Он удобен для операций и открыт сетевым угрозам. Холодный обычно хранится на физическом носителе без подключения к сети, вплоть до листа бумаги. Пользоваться им менее удобно, зато от сетевых атак он защищён лучше. Носитель можно потерять, повредить или лишиться его при краже, и по оценке SEC это может закончиться безвозвратной потерей средств.

Слово «холодный» описывает, где живёт ключ. Аппаратный кошелёк подключают к компьютеру кабелем или по Bluetooth, но ключ из устройства не выходит: компьютер собирает перевод, устройство его подписывает и возвращает подпись. Bitcoin.org описывает тот же принцип на двух компьютерах: перевод готовят на подключённом к сети, подписывают на отключённом, отправляют снова с подключённого. Раз подключённая к сети машина подписывать не умеет, то и вывести средства через неё, даже взломанную, нельзя.

Строка про стоимость тоже из бюллетеня SEC: устройства для холодного хранения обычно платные, горячие кошельки поначалу бесплатны, а за сами переводы сеть берёт комиссию в любом случае. Про биржевую модель целиком, с её рисками и выгодами, рассказано в материале «Биржа или личный кошелёк: кто контролирует доступ».

Бумажный кошелёк и «отключённый» телефон

Ключ, записанный на бумаге, холоден ровно до первой траты. Чтобы отправить средства, его придётся ввести в программу на устройстве с интернетом, и с этого момента ключ становится горячим. Похожая история с телефоном, в котором просто выключили сеть: кошелёк создавался и обновлялся на устройстве, которое обычно бывает онлайн, поэтому ключ в нём остаётся горячим. Холодное хранение держится на том, что ключ никогда не попадает на подключённую к сети машину.

От чего холодный кошелёк не спасает

Холодный кошелёк закрывает одну дорогу к ключу – через заражённый компьютер или телефон. Остальные риски никуда не деваются.

• Сид-фраза. Устройство защищено ровно так, как защищена его резервная копия. Снимок фразы на телефоне может синхронизироваться в облако, и тогда ключи холодного кошелька фактически лежат на подключённых к сети серверах. Как хранить фразу и как её выманивают, разобрано в статье «Сид-фраза: что она открывает и как избежать её утечки».
• Опасная подпись. Устройство подпишет то, что вы подтвердили. Если фишинговый сайт подсунул разрешение на списание токенов, а вы нажали кнопку, контракт злоумышленника получит это право. Что такое разрешения и как их отзывать, описано в материале о смарт-контрактах.
• Ошибка сети и адреса. Перевод, отправленный не в ту сеть или на чужой адрес, назад не вернётся, каким бы ни был кошелёк получателя.
• Потеря и забытый PIN. Носитель можно потерять, а PIN забыть. Без резервной копии доступ к средствам на нём не вернуть.

Карта доступа: что будет, если сломается одно звено

Учебный пример. Сценарий условный, реальные кошельки и средства в нём не участвовали. У Марины три места хранения. Аккаунт на бирже нужен, чтобы покупать криптовалюту за рубли. На телефоне стоит приложение-кошелёк с отдельной фразой из 12 слов, там лежит сумма на месяц. Сбережения хранятся на аппаратном кошельке с фразой из 24 слов. Эта фраза записана на двух листах, один лежит дома, второй у родителей. Марина хочет заранее знать, что делать в каждой беде, и составляет таблицу.

Строка про PIN проверена по документации Trezor. Справка Trezor пишет, что Trezor Safe 7 стирает кошелёк после 10 неверных вводов PIN подряд, а прежние модели допускают 16 попыток. Для забытого PIN там же предложен порядок: сбросить устройство и восстановить кошелёк по резервной копии. Если сбросить устройство без действующей копии, средства будут потеряны навсегда. У других производителей число попыток и порядок сброса свои, смотрите их в официальной справке на сайте производителя.

Строка про утёкшую фразу самая неприятная, и в ней легко ошибиться. Новый адрес внутри той же фразы проблему не решает. Справка MetaMask предупреждает, что все аккаунты скомпрометированной фразы под угрозой, а за ними может следить бот-перехватчик, который забирает всё поступившее быстрее человека. Поэтому не пополняйте старые адреса, даже монетой «на комиссию» для вывода токенов. Если средства уже уходят сами, действуйте по разделу «Если фраза могла утечь». Что делать с телефоном, на котором стоял кошелёк, подробнее описано в материале «Как работает криптокошелёк».

Как составить свою карту

Возьмите лист бумаги и для каждого места хранения ответьте на четыре вопроса: у кого ключ, чем восстанавливается доступ, где лежат копии и кто ещё о них знает. Потом пройдитесь по событиям из таблицы и проверьте, нет ли строки, где ответ «ничем», хотя должен быть. Типичная находка – одна копия фразы в одном месте или аккаунт, который вы когда-то импортировали по отдельному приватному ключу и который фразой не восстанавливается.

На карте не пишите ни слов фразы, ни PIN-кодов, ни паролей. Пишите только, где лежит копия: «лист в папке с документами у родителей». Карта, на которой записана фраза, сама становится копией фразы, причём такой, которую проще всего найти.

Bitcoin.org советует заранее подумать о близких: если никто не знает, где кошельки и как получить к ним доступ, средства могут остаться недоступными навсегда. Карта без секретов как раз годится, чтобы рассказать доверенному человеку, где искать.

Как перевести средства с горячего кошелька на холодный

Пополнение холодного кошелька – это обычный перевод на его адрес. Само устройство для получения подключать не нужно, его подключают, чтобы получить и проверить адрес.

1. Получите адрес в приложении аппаратного кошелька и выберите нужную монету и сеть. Сеть должна совпадать с той, в которой отправляет горячий кошелёк. Если кошелёк не поддерживает сеть отправителя, средства окажутся на адресе, которым вы не сможете распорядиться из своего приложения.
2. Сверьте адрес на экране устройства. Trezor объясняет зачем: вредоносная программа может подменить адрес на экране компьютера или в буфере обмена, но то, что показывает само устройство, она изменить не может. Совпадение адреса на экране устройства и в приложении, из которого отправляете, подтверждает, что получатель – ваш кошелёк.
3. Отправьте небольшую пробную сумму. Проверьте её поступление в обозревателе блоков по хешу перевода. Как читать карточку перевода, показано в инструкции «Как проверить перевод криптовалюты по хешу транзакции».
4. Отправьте основную сумму на тот же проверенный адрес. Перед отправкой ещё раз сравните первые и последние символы адреса во вставленном поле.

Обратный путь, с холодного кошелька, всегда проходит через устройство. Приложение собирает перевод, устройство показывает адрес получателя и сумму, и вы подтверждаете их кнопкой. Если адрес или сумма на экране устройства отличаются от тех, что вы ввели, Trezor советует перевод не подтверждать: значит, данные подменили по дороге. Сам экран не знает, правильный ли адрес дал вам получатель. Он только подтверждает, что по дороге ничего не изменилось.

Сколько держать в горячем кошельке

Bitcoin.org предлагает сравнение с наличными: если вы не носите в кармане тысячу долларов, не держите столько и в кошельке на телефоне. Там же совет хранить на повседневном устройстве небольшие суммы, а остальное – в более защищённой среде. Точного порога нет, и зависит он от вас. Удобно мерить так: в горячем кошельке лежит то, что вы потратите за ближайшие недели, и потерю этой суммы при краже телефона вы переживёте. Всё остальное – кандидат на холодное хранение.

Холодный кошелёк окупается не сразу. Устройство нужно купить, разобраться с ним и правильно записать фразу. Если сумма небольшая, а переводы частые, иногда проще остаться на горячем кошельке и аккуратнее хранить его фразу. Ethereum.org называет аппаратные кошельки устройствами для хранения средств офлайн и очень безопасным вариантом. Резервная копия нужна и им: SEC напоминает, что устройство можно потерять или повредить.

Частые вопросы

Биржа пишет, что хранит средства в холодных кошельках. Это то же самое, что свой холодный кошелёк?

Нет. Холодные кошельки биржи защищают её ключи, а ключей от ваших средств у вас по-прежнему нет. Бюллетень SEC советует спросить хранителя, какие кошельки он использует и как распределяет между ними средства клиентов, и напоминает, что при взломе, закрытии или банкротстве хранителя доступ к активам можно потерять.

Нужен ли холодному кошельку интернет, чтобы получить перевод?

Нет. Перевод записывается в блокчейн на ваш адрес, устройство в этот момент может лежать в ящике стола. Подключать его нужно, чтобы показать и проверить адрес и чтобы подписать исходящий перевод.

Можно ли ввести фразу аппаратного кошелька в приложение на телефоне для удобства?

Технически совместимое приложение покажет те же адреса. Но после этого ключи окажутся на телефоне, и сбережения станут горячими. Если нужен быстрый доступ к части средств, заведите для неё отдельный горячий кошелёк с другой фразой.

Что сделать сегодня

Составьте карту доступа для всех мест, где у вас есть криптовалюта, и найдите в ней строку с ответом «ничем». Чаще всего это единственная копия фразы или забытый импортированный аккаунт. Затем решите, какую сумму вы готовы держать на телефоне, и переведите остальное на холодный кошелёк по проверенному на экране устройства адресу, начав с пробного перевода.