Ilia Zavialov

Защита

Как Илья Завьялов выстраивает защиту криптокошелька, которая держит и без постоянного внимания

Версия на русском языке для Украины.

Защита криптокошелька обычно обсуждается как список действий, которые владелец обязан повторять постоянно: проверять адрес, помнить фразу, не открывать чужую ссылку. Практика показывает обратную закономерность: держат именно те решения, которые настроены один раз и дальше работают без участия человека. Вопрос этой статьи в том, какие меры относятся к этой категории, а какие только создают ощущение контроля. Разница становится видна в момент, когда аккаунт уже скомпрометирован и на кону стоит конкретная сумма.

·12 мин чтения·Илья Завьялов

Илья Завьялов: как выстроена защита криптокошелька, которая держит без постоянного внимания
Илья Завьялов: как выстроена защита криптокошелька, которая держит без постоянного внимания

01Почему кошелёк требует другой защиты, чем банковский счёт

Банковский перевод по ошибочным реквизитам ещё можно оспорить: банк вправе отменить операцию, заблокировать получателя или инициировать возврат в рамках срока претензии. У перевода в криптовалюте такого механизма нет вообще. Как только транзакция получает достаточно подтверждений в сети, отменить её не может ни отправитель, ни биржа, ни суд. Из этого следует, что вся защита кошелька обязана сработать до момента подписи, потому что после подписи уже нечего исправлять.

По данным Федеральной торговой комиссии США, за 2025 год поступило 3 миллиона обращений о мошенничестве на 15,9 миллиарда долларов заявленных потерь, тогда как годом раньше было 2,6 миллиона обращений на сумму больше 12 миллиардов. Рост складывается из почти непрерывного потока попыток, который находит свободную минуту у каждого держателя счёта. Держатель криптокошелька в этом потоке один из миллионов адресов, до которых рано или поздно доходит очередь. Значение имеет то, на что натыкается попытка в момент, когда очередь до этого адреса доходит.

Меры, которые требуют постоянного внимания, отказывают именно тогда, когда внимания не хватает: во время усталости, спешки, незнакомого интерфейса или звонка, заставшего врасплох. Устойчивую защиту дают решения, принятые заранее и работающие сами, без участия владельца в момент атаки. Дальше разбираются именно такие меры: где проходит граница между биржей и собственным кошельком, что делает фразу восстановления единственным активом, как работает связка белого списка адресов и задержки вывода, и почему аппаратный ключ решает не каждый сценарий. Илья Завьялов, консультант по цифровой безопасности, формулирует эту границу коротко: настоящей защитой он называет только то, что продолжает держать, когда владелец о мере уже забыл.

02Хранение: разделение между биржей и собственным кошельком

Средства на бирже подчиняются правилам площадки. Площадка может заморозить счёт при проверке, задержать вывод до завершения комплаенс-процедуры или столкнуться с собственным банкротством, и в каждом из этих случаев решение принимает не владелец средств. Средства в собственном кошельке подчиняются только фразе восстановления и полностью независимы от состояния любой компании. Оба варианта хранения несут разный тип риска, и попытка свести его к одному варианту обычно означает, что второй тип риска просто не рассмотрен.

Практика, к которой приходит большинство активных держателей, это разделение: на бирже остаётся сумма, которой торгуют в ближайшее время, а в собственном хранении лежит то, что не предназначено для быстрой сделки. Эта граница пересматривается по мере того, как меняется активность держателя. Разделение ограничивает предельный ущерб одного риска пределами одного хранилища: блокировка биржи задевает биржевой счёт, а компрометация кошелька задевает кошелёк.

Выбор соотношения не имеет универсального ответа, поскольку зависит от частоты операций и от того, какому виду риска держатель готов подвергать большую часть средств. У постоянного трейдера на бирже может находиться заметная доля портфеля, а у того, кто просто удерживает позицию месяцами, основная масса переезжает в собственное хранение почти сразу после покупки. Само по себе решение о пропорции работает как защита, потому что оно принято заранее и не требует пересмотра при каждом отдельном переводе.

Меры защиты криптокошелька и сценарии, которые они закрывают
МераЧто закрываетВремя на настройку
Разделение хранения между биржей и кошелькомБлокировку или сбой площадкиОдин вечер
Фраза восстановления офлайн, в двух местахКражу устройства и утечку из облакаПятнадцать минут
Белый список адресов выводаВывод средств после кражи пароляДесять минут
Окно задержки для новых адресовДаёт время заметить и остановить выводДве минуты
Аппаратный ключ для подписиКражу ключа с заражённого устройстваДвадцать минут
Обратный звонок по сохранённому номеруКлонированный голос и вишингБез затрат, только привычка
Ежегодная ревизия с участием семьиУстаревшие настройки и схемы против пожилых родственниковПятнадцать минут в год

03Фраза восстановления: единственный актив, который нельзя восстановить

Фраза восстановления не хранится в кошельке и не пересылается по сети. Она существует только там, куда её записал владелец в момент создания кошелька, и представляет собой полный доступ к средствам без каких-либо дополнительных проверок. Тот, кто прочитал фразу, распоряжается всем балансом с той же полнотой, что и первоначальный владелец, независимо от того, как эта фраза оказалась у него в руках.

Практический вывод из этого свойства простой: фраза записывается на носитель, который не синхронизируется с облаком, не фотографируется камерой телефона и не хранится в текстовых заметках или в переписке с самим собой. Каждый из этих привычных способов создаёт цифровую копию, а цифровая копия открывает доступ через тот же канал, через который годами утекают пароли и фотографии. Бумага, металлическая пластина или другой офлайн-носитель убирают именно этот канал утечки.

Единственный экземпляр носителя тоже остаётся уязвимым местом, потому что пожар, залив или переезд способны уничтожить его так же надёжно, как кража. Устойчивое решение держит фразу более чем в одном месте, причём места выбираются так, чтобы одно и то же происшествие не могло задеть оба сразу. Ни один настоящий сервис поддержки, биржа или производитель кошелька не запрашивает эту фразу ни при каком сценарии, включая тот, где на другом конце якобы решают срочную проблему с аккаунтом.

04Белый список адресов и окно задержки: пара, которая держит после взлома

Белый список ограничивает вывод средств заранее одобренными адресами. Окно задержки добавляет паузу перед тем, как новый адрес в этом списке начинает действовать. По отдельности каждая настройка приносит небольшую пользу, а вместе они меняют то, что может сделать атакующий, получивший полный доступ к аккаунту.

Атакующий с паролем, кодом двухфакторной аутентификации и полным доступом к интерфейсу всё равно обязан добавить новый адрес вывода, если старый список не включает его собственный. Добавление подчиняется тому же окну задержки, что и для законного владельца. Именно на этом шаге схема с перехватом аккаунта может провалиться целиком, даже если все предыдущие шаги у атакующего уже получились.

Окно задержки превращается в защиту только тогда, когда уведомление о новом адресе доходит до владельца немедленно и по каналу, который сам аккаунт не контролирует: отдельное приложение, отдельная почта, смс на номер, не привязанный к тому же паролю. Именно в это окно владелец успевает увидеть чужое действие и отменить его прежде, чем задержка закончится. Уведомление, приходящее в тот же скомпрометированный почтовый ящик, этой цели не служит, потому что человек, уже получивший доступ к аккаунту, прочитает его первым.

05Аппаратный ключ и разница между кражей ключа и обманом подписи

Аппаратный кошелёк хранит закрытый ключ на отдельном устройстве, не подключённом к интернету напрямую, и подписывает транзакции внутри этого устройства. Вредоносная программа на компьютере или телефоне не может прочитать ключ, потому что ключ физически никогда не покидает чип. Это закрывает самый частый канал массовых краж, где заражённое устройство просто копирует файл кошелька или перехватывает фразу при вводе.

У этой защиты есть ровно одна граница: устройство подписывает то, что ему покажут и что владелец подтвердит нажатием кнопки. Если экран показывает перевод небольшой суммы, а на самом деле подписывается разрешение на управление всем балансом токена, устройство подтвердит именно то, что попросили, потому что для него это обычный запрос подписи. Само устройство не умеет отличить настоящий перевод от вредоносного разрешения: для него оба выглядят одинаково, как набор байтов, который нужно подписать.

Разница между двумя сценариями определяет ответ. Кража ключа с заражённого устройства решается самим аппаратным устройством, потому что ключ туда просто не попадает. Согласие на вредоносное разрешение решается только одним способом: проверкой того, что именно показано на экране, перед каждым нажатием кнопки подтверждения, без исключений.

06Голос перестал быть доказательством: клонирование и вишинг

Ещё несколько лет назад узнанный голос в трубке считался достаточным подтверждением личности. Современные исследования клонирования голоса за 2025 и 2026 годы показывают, что убедительная копия голоса собирается из записи длиной около трёх секунд и достигает примерно 85 процентов точности звучания. Источником такой записи становится что угодно: голосовое сообщение, ролик в социальной сети, отрезок из видеозвонка.

В эксперименте участники отличали настоящий голос от синтетической копии лишь в 37,5 процента случаев, то есть результат был близок к простому угадыванию. Одновременно вишинг с использованием клонированного голоса вырос на 1633 процента за один квартал, и это говорит о том, что технология уже вышла из стадии лабораторной демонстрации и применяется массово. За пределами лаборатории эта скорость роста означает, что голос, однажды прозвучавший в публичном видео или в голосовом сообщении, после этого можно скопировать без участия самого человека.

Для держателя криптокошелька это означает, что звонок голосом родственника, коллеги или сотрудника поддержки с просьбой срочно перевести средства или продиктовать код перестаёт быть надёжным подтверждением личности сам по себе. Проверка переносится на канал, независимый от голоса: обратный звонок по номеру, сохранённому заранее в контактах, или сверка через отдельный текстовый канал, где личность уже подтверждена раньше. Правило работает одинаково для звонка от «биржи», от «партнёра по инвестициям» и от родственника, потому что синтетический голос одинаково хорошо копирует любого из них.

07Почему пожилые держатели становятся мишенью чаще остальных

Данные Федеральной торговой комиссии США по пожилым потребителям показывают, что потери людей 60 лет и старше выросли примерно вчетверо: около 600 миллионов долларов в 2020 году против 2,4 миллиарда в 2024 году. Рост не объясняется одной новой схемой, поскольку одновременно росли самые разные категории обращений, от инвестиционных предложений до звонков от лица служб поддержки. Общим для этих категорий остаётся разговор с незнакомым собеседником, который в этой возрастной группе нередко продолжается достаточно долго, чтобы дойти до перевода денег.

Среди пожилых, потерявших 10 тысяч долларов и больше на подделке под компанию или государственную службу, 33 процента расплачивались криптовалютой, 20 процентов банковским переводом и 16 процентов наличными. Криптовалюта в этом списке занимает первое место, поскольку перевод в криптовалюте окончателен и не оставляет банку возможности вмешаться до того, как средства уже ушли адресату. Ни один из трёх перечисленных способов оплаты не проходит через проверку, способную остановить перевод уже после того, как разговор убедил человека действовать.

Отдельная ветка тех же схем строится на курьере, которому пожилую жертву убеждают передать наличные или золотые слитки лично в руки. Это показывает, что схема подстраивается под любой доступный канал платежа, включая тот, где криптовалюта вообще не участвует. Для семьи держателя криптокошелька практический вывод простой: белый список адресов, окно задержки и лимит на разовый вывод имеет смысл настраивать вместе с пожилым родственником заранее, пока решение можно обсудить спокойно и без давления срочного звонка.

08Резервные каналы и ежегодная ревизия: последняя линия

Резервные коды для входа хранятся отдельно от основного устройства и от приложения, которое их выдало. Их единственная задача в том, чтобы сохранять доступ в ситуации, когда обычный вход недоступен: телефон потерян, номер переведён на другую сим-карту, приложение аутентификации переустановлено. Хранение рядом с основным устройством лишает коды смысла, поскольку тот же инцидент, что вывел из строя основной доступ, обычно задевает и резервный канал тоже.

Ежегодная ревизия занимает около пятнадцати минут и решает проблему, которую не решает ни одна разовая настройка: со временем устройства меняются, номера телефонов переходят к новым владельцам, список доверенных устройств пополняется забытыми смартфонами и старыми ноутбуками. Ревизия проверяет контактный номер, резервный почтовый ящик, актуальность резервных кодов и состав списка доверенных устройств за один проход. Пятнадцать минут раз в год стоят немного по сравнению со временем, которое уходит на разбирательство после того, как забытое устройство или устаревший номер становятся точкой входа для чужого доступа.

Ни одна из мер, разобранных в статье, не работает как единственная линия защиты. Разделение хранения ограничивает ущерб от блокировки площадки. Офлайн-фраза восстановления и аппаратный ключ ограничивают ущерб от заражённого устройства. Белый список с окном задержки ограничивает ущерб от уже украденного пароля. Каждый слой закрывает свой участок, и вместе они держат ситуацию, в которой один слой уже пробит.

09Что получается, когда меры складываются в систему

По отдельности каждая мера из этой статьи звучит как техническая деталь: ещё один переключатель в настройках, ещё пятнадцать минут раз в год. Собранные вместе, они складываются в систему, где потеря одного канала, украденный пароль, заражённый телефон, звонок поддельным голосом, не приводит автоматически к потере средств. Заметить эту систему целиком сложнее, чем оценить любую отдельную настройку, потому что её эффект проявляется только в момент, когда что-то уже пошло не так.

Порядок настройки имеет меньшее значение, чем сам факт того, что она сделана заранее, до первого инцидента. Хранение разделено между биржей и собственным кошельком, фраза восстановления вынесена в офлайн и более чем одно место, вывод ограничен белым списком с окном задержки, а подпись критичных операций перенесена на аппаратный ключ. С семьёй заранее оговорено, что голосовой звонок с просьбой срочно перевести средства проверяется обратным номером, а дата ежегодной ревизии назначена так же спокойно, как любая другая ежегодная процедура.

Ни одна из этих мер не отменяет саму возможность попытки: поток обращений о мошенничестве продолжает расти год к году, а инструменты вроде клонирования голоса делают отдельные попытки убедительнее. Ценность системы в том, что каждая попытка встречает конкретную преграду на конкретном шаге, вместо того чтобы владелец полагался на то, что вовремя заметит подвох сам. Именно поэтому весь набор мер из этой статьи имеет смысл настраивать заранее, пока ни один звонок ещё не успел показаться срочным.

10Вопросы и ответы

Как защитить криптокошелёк от кражи?

Устойчивая защита складывается из нескольких мер сразу: разделение хранения между биржей и собственным кошельком, офлайн-фраза восстановления в двух местах, белый список адресов вывода с окном задержки и аппаратный ключ для подписи операций. Каждая мера закрывает свой сценарий атаки, и вместе они держат ситуацию даже после кражи пароля.

Где лучше хранить фразу восстановления криптокошелька?

На носителе, который не подключается к сети и не создаёт цифровую копию сам по себе: бумага, металлическая пластина или другой офлайн-вариант. Хранить стоит более чем в одном месте, чтобы один пожар, залив или кража не лишили владельца доступа сразу и навсегда.

Помогает ли белый список адресов, если аккаунт уже взломали?

Да, потому что список ограничивает вывод только уже одобренными адресами, и атакующему приходится добавлять новый адрес вручную. Добавление подчиняется тому же окну задержки, что и для законного владельца, и это время владелец может использовать, чтобы заметить чужое действие и остановить его.

Можно ли обмануть аппаратный кошелёк?

Аппаратный кошелёк защищает сам ключ от кражи с заражённого устройства, но подписывает любую операцию, которую владелец подтвердит на экране. Если интерфейс показывает один перевод, а подписывается вредоносное разрешение на управление всем балансом, устройство подтвердит именно то, что было запрошено.

Правда ли, что голос по телефону теперь можно подделать?

Да, современные модели клонируют голос по записи длиной около трёх секунд с точностью около 85 процентов, а в эксперименте люди отличали подделку от настоящего голоса лишь в 37,5 процента случаев. Поэтому просьбу срочно перевести средства, даже произнесённую знакомым голосом, стоит проверять через отдельный канал.

Почему мошенники чаще нацеливаются на пожилых держателей криптовалюты?

Потери людей 60 лет и старше в отчётах Федеральной торговой комиссии выросли примерно вчетверо за несколько лет, а среди тех, кто потерял крупные суммы на подделке под компанию или государственную службу, треть расплачивалась именно криптовалютой. Перевод в криптовалюте окончателен и не даёт банку возможности вмешаться, что делает его удобным каналом именно для такой схемы.

Монограмма Ильи Завьялова

Автор: Илья Завьялов, консультант по цифровой безопасности. Профиль Ильи Завьялова

11Читать дальше

Назад в блог