Создавайте горячий кошелёк на обновлённом устройстве без вредоносных программ, храните фразу восстановления офлайн, защищайте приложение надёжной локальной блокировкой и держите в нём только сумму для повседневных операций. Главная мера безопасности — разделение: не используйте этот же кошелёк для долгосрочных накоплений.
Контрольный список настройки#
- Установите приложение по проверенной ссылке разработчика. Перейдите из официального домена и затем проверьте издателя, идентификатор приложения или расширения.
- Создайте кошелёк в приватной обстановке и запишите фразу офлайн. Исключите камеры, запись экрана, облачную синхронизацию и посторонних людей.
- Проверьте резервную копию до пополнения. Убедитесь в порядке слов и возможности восстановления безопасным способом, не раскрывая секрет.
- Включите шифрование устройства, обновления и уникальную блокировку приложения. Проверьте, что защита действительно запрашивается после перезапуска.
- Сначала внесите небольшую сумму, а накопления храните отдельно. Первый риск должен быть достаточно мал, чтобы ошибка не привела к существенной потере.
Что важно до начала работы#
Ключи горячего кошелька доступны устройству, подключённому к интернету. Его предназначение — удобство, поэтому цель защиты состоит не в устранении всех атак, а в ограничении ущерба при компрометации браузера, приложения или процесса подписи.
Отделяйте то, что можно проверить заранее, от того, что остаётся лишь отслеживать после действия. Для второй категории задайте жёсткие лимиты.
Более безопасная модель#
При росте суммы используйте три зоны: кошелёк-хранилище для накоплений, транзакционный кошелёк для известных протоколов и одноразовый кошелёк для непроверенных минтов и экспериментов.
Что всё ещё может пойти не так#
- Импорт сид-фразы холодного кошелька в горячий. Так корневой секрет попадает на сетевое устройство; последующая смена пароля не вернёт холодное хранение.
- Много расширений в одном профиле браузера. Каждое расширение увеличивает поверхность атаки и может видеть содержимое страниц.
- Безлимитные разрешения остаются после экспериментов. Старый контракт сможет списать будущий баланс, пока разрешение не отозвано.
- Один кошелёк одновременно служит идентификатором, торговым и сейфом. Компрометация одного сценария тогда затрагивает все активы и историю.
Какие доказательства сохранить#
Не считайте настройку завершённой только потому, что приложение показало успешное создание. Проверяйте средства защиты после закрытия и повторного запуска.
| Контрольная точка | Доказательство | Условие остановки |
|---|---|---|
| Установить приложение по проверенной ссылке | Издатель и идентификатор совпадают с официальной страницей | Требуется импорт фразы холодного кошелька |
| Создать кошелёк и записать фразу офлайн | Подтверждённая офлайн-копия без раскрытия слов | На устройстве активна облачная запись или демонстрация экрана |
| Проверить резервную копию до пополнения | Датированная запись о тесте восстановления без секретов | Копия не читается или порядок слов не подтверждён |
Сохраняйте хеши тестовых транзакций и датированные записи о проверках, но исключайте сид-фразы, приватные ключи и коды аутентификации.
Часто задаваемые вопросы#
Горячий кошелёк небезопасен по определению?
Нет, но его поверхность атаки шире. Он подходит для ограниченного баланса, которым активно управляют.
Можно ли хранить фразу на телефоне?
Избегайте скриншотов, облачных заметок и обычных файлов. Используйте надёжно размещённую офлайн-копию.
Можно ли подключить аппаратный кошелёк к интерфейсу горячего?
Да. Интерфейс остаётся онлайн, а ключи подписи — на аппаратном устройстве, если вы проверяете каждый запрос на его дисплее.
Связанные руководства#
Источники#
- Ethereum.org: Security and Scam Prevention
- MetaMask: Wallet Security
- CISA: Avoiding Social Engineering and Phishing Attacks
Предупреждение о риске: Операции с криптовалютой могут быть необратимыми. Никому не передавайте сид-фразу, приватный ключ, пароль или код аутентификации и независимо проверяйте каждый домен и запрос кошелька.
Редакционный стандарт
Материал носит образовательный характер и основан на источниках. Меры безопасности, правила бирж и правовые требования могут меняться — проверяйте важные шаги по официальным данным.
