Как защитить холодный кошелёк от взлома: сид-фраза, устройство и подпись

Чтобы защитить холодный кошелёк, берегите то, что его окружает: сид-фразу, путь устройства к вам и транзакцию, которую вы подтверждаете.

Приватный ключ остаётся внутри устройства. Поэтому последние атаки идут в обход него, а иногда и напрямую на владельца.

Сид-фраза не должна попасть ни на один экран

У кого слова, у того и монеты, устройство для этого не нужно. Просят их по почте, по телефону и через поддельные приложения. Cointelegraph описал письмо от имени Trezor с требованием пройти проверку подлинности до 15 февраля. В нём были голограмма и QR-код, который вёл на мошеннический сайт.

“Никогда не вводите свои 24 слова нигде, кроме самого устройства.”

— Ledger, страница Ledger о фишинге

Источник цитаты: страница Ledger, проверено 9 ноября 2026 года.

Соблюдайте это правило, и большинство таких схем не сработает. Ledger не звонит пользователям и не просит письмом обновить прошивку или включить 2FA. QR-коды из писем не сканируйте.

Не храните фразу в фотографиях, облачных заметках и менеджерах паролей. Выбейте её на стальной пластине, вторую копию держите в другом здании и проверьте восстановление, прежде чем пополнять кошелёк. Подробно об этом в нашем гайде.

Покупайте устройство у производителя

В октябре команда Ledger Donjon нашла постороннюю деталь в кошельках, которые продавал реселлер из Юго-Восточной Азии CryptoBilis. Она считывает экран, распознаёт фразу восстановления и отправляет её по LTE, а сам кошелёк выглядит и работает как обычно, пишет Decrypt.

Исследователь Specter насчитал подозрительных краж больше чем на $86 млн, но Ledger эту цифру не подтвердил. Trezor прекратит авторизацию реселлеров 1 января следующего года.

Заказывайте в магазине производителя и отказывайтесь от устройства, к которому уже приложены записанные слова. Если в предупреждении назван ваш продавец, переведите монеты на новую фразу на новом устройстве. Следите и за уведомлениями производителя: Coinkite в июле предупредила владельцев Coldcard об ошибке, из-за которой фразы получались слабыми, а Keystone в октябре лишилась ключа, подтверждающего подлинность устройств.

Читайте экран устройства перед подписью

Холодный кошелёк подписывает то, что вы подтвердили. В феврале 2025 года Bybit потеряла больше $1,4 млрд с холодного кошелька: внедрённый код подменил транзакцию, которая уходила на устройства подписантов.

NCC Group предполагает, что на веб-странице при этом оставалась исходная транзакция, и заключает, что подписанты подтвердили её вслепую, не проверив содержимое.

Поэтому сверяйте адрес и сумму на устройстве, а не в браузере. Экран показывает нечитаемые данные? Отклоняйте запрос, пока не поймёте, что он делает. Отклоняйте и всё, что не запускали сами, а незнакомые токены и NFT не трогайте: Ledger предупреждает, что некоторые опустошают кошелёк при взаимодействии.

Второй замок для крупных сумм

Парольная фраза это дополнительный секрет, который устройство не хранит. Она открывает отдельный кошелёк, и человек с одной только сид-фразой его не увидит. Забудете её и потеряете этот кошелёк, поэтому храните резервную копию отдельно от сид-фразы.

Мультиподпись 2 из 3 разносит ключи по устройствам и зданиям, так что одна украденная фраза ничего не сдвинет.

От насилия лучше защищает другое: о ваших монетах просто никто не должен знать. Chainalysis насчитала 46 нападений на владельцев криптовалюты до конца июня, больше $30 млн потерь.

Нападения на дом составляют 37% случаев. При взломе Keystone утекли имена и адреса доставки, так что заказывайте устройство в пункт выдачи, а не домой. Балансы в соцсетях не показывайте.

Если вы уже куда-то ввели фразу

Считайте её потерянной. Смена PIN-кода не поможет: кошелёк восстанавливается по одной фразе. Создайте новый кошелёк с новой фразой на устройстве, которому доверяете, и переведите всё сразу, начиная с самых крупных сумм. Потом сообщите о сайте производителю.

Практическое руководство для читателей, а не инвестиционный совет. Факты взяты у Ledger, Decrypt, Cointelegraph и NCC Group, цифры Chainalysis приведены по Decrypt, проверено 9 ноября 2026 года. Порядок шагов выбрала редакция.