Криптокошелёк, адрес и seed-фраза: как не потерять деньги

Слово «кошелёк» вводит в заблуждение: в криптокошельке нет денег. Деньги - это записи в блокчейне. Кошелёк хранит ключи, которые доказывают, что именно вы вправе распоряжаться этими записями. Потеряли ключи - потеряли доступ. Украли ключи - украли деньги.

Три сущности: ключ, адрес, seed-фраза

Закрытый ключ - огромное случайное число, секрет. Им подписывают транзакции. Кто знает ключ, тот управляет деньгами.

Открытый ключ и адрес вычисляются из закрытого ключа в одну сторону: по ключу адрес получить легко, а по адресу ключ - невозможно. Адрес выглядит как 0x6462…90aD и служит «номером счёта». Его можно смело показывать всем: это как публичный адрес электронной почты, а не как пароль.

Seed-фраза (мнемоническая фраза) - 12 или 24 английских слова, из которых кошелёк создаёт все ваши ключи. Это «мастер-ключ»: зная фразу, можно восстановить кошелёк на любом устройстве и забрать все деньги.

Как кошелёк подписывает действия

Когда вы нажимаете «Подтвердить» в приложении, кошелёк показывает окно с описанием действия и предлагает подписать его закрытым ключом. Подпись - математическое доказательство того, что действие одобрил владелец ключа, и при этом сам ключ не раскрывается.

Поэтому сайту или сервису не нужны ни пароль, ни регистрация: достаточно вашего адреса и вашей подписи. Сервис не может ничего сделать без подписи, а подпись вы ставите только на действиях, которые прочитали.

Виды кошельков

Программные (горячие) - приложение на телефоне или расширение браузера: MetaMask, Rabby, Trust Wallet, Coinbase Wallet, Rainbow. Ключи хранятся на устройстве. Удобно, но если устройство заражено, ключи под угрозой.

Аппаратные (холодные) - отдельное устройство вроде Ledger или Trezor. Ключ никогда не покидает устройство, а подпись ставится нажатием физической кнопки. Для крупных сумм это стандарт безопасности.

Кастодиальные - когда ключи хранит за вас биржа или сервис. Это не совсем «ваш» кошелёк: вы доверяете компании так же, как банку. Фраза «не ваши ключи - не ваши монеты» именно об этом.

Смарт-кошельки и мультисиг - кошельки, управляемые программой: например, требующие подписи двух из трёх участников. Они удобны для команд и компаний.

Золотые правила безопасности

1. Seed-фраза - только на бумаге или металле, офлайн. Не в заметках, не в облаке, не на фото, не в мессенджере.
2. Никому и никогда не называйте фразу - ни поддержке, ни «специалисту по безопасности», ни в «форму восстановления» на сайте.
3. Проверяйте адрес сайта. Мошенники создают копии настоящих сервисов с похожим адресом. Добавьте нужные сайты в закладки.
4. Пробная транзакция. Перед крупным переводом на новый адрес отправьте небольшую сумму и убедитесь, что она дошла.
5. Отдельный кошелёк для экспериментов. Хранилище для долгосрочных денег и «рабочий» кошелёк для сделок лучше разделить.
6. Скептически относитесь к «срочным» сообщениям с просьбой подключить кошелёк или подписать что-то «чтобы получить выплату».
7. Периодически отзывайте старые разрешения на токены - об этом в статье про approve.

Что будет, если потерять доступ

Восстановить кошелёк без seed-фразы невозможно: нет «забыл пароль», нет службы поддержки, которая сбросит ключ. Именно поэтому фразу нужно хранить надёжно и, желательно, в двух местах. Известно множество историй, когда люди навсегда теряли доступ к деньгам из-за потерянной фразы.

Как это связано со сделками через гаранта

Ваш кошелёк - единственная «личность» в сделке на смарт-контракте: покупатель, продавец и гарант определяются адресами. Поэтому для сделок важно, чтобы доступ к кошельку оставался только у вас. Как из одной фразы получаются все ключи - в статье про HD-кошельки, правила защиты - в чек-листе безопасности. Дальше - о том, что вообще происходит за кулисами: что такое смарт-контракт.