Настройка холодного хранения ключей
Холодное хранение — хранение private keys на устройстве, которое никогда не подключается к интернету. Правильно настроенное холодное хранение — единственный способ обеспечить security для значительных сумм. Даже если ваши онлайн-системы скомпрометированы, ключи в холодном хранилище остаются в безопасности.
Уровни угроз
Перед выбором архитектуры нужно понять от чего защищаемся:
- Удалённый взлом — хакер получает доступ к онлайн-системам
- Физический доступ — злоумышленник получает устройство
- Инсайдерская угроза — кто-то из команды злоупотребляет доступом
- Стихийные бедствия — пожар, затопление уничтожает физические носители
- Loss/forgetting — случайная потеря доступа к собственным ключам
Решения для каждой угрозы разные. Усиление защиты от одной угрозы часто ослабляет защиту от другой (сложная multi-sig защищает от кражи, но увеличивает риск потери доступа).
Варианты холодного хранения
Hardware wallet (Ledger/Trezor)
Оптимальный баланс удобства и безопасности для большинства случаев. Private key генерируется и хранится в защищённом элементе устройства, никогда не покидает его.
Настройка:
- Покупать только у официальных дистрибьюторов (не с рук)
- Проверить целостность упаковки и firmware при первом включении
- Сгенерировать seed phrase на устройстве — никогда не на компьютере
- Записать seed phrase вручную на бумаге — не фотографировать, не печатать
- Проверить seed phrase через recovery test (стереть устройство, восстановить)
- Установить strong PIN (6+ символов)
- Включить passphrase (25-е слово) для дополнительного слоя защиты
Passphrase — дополнительный секрет сверх 24 слов. Один и тот же seed + разные passphrase → разные кошельки. Если устройство украдено — без passphrase злоумышленник видит пустые или decoy-кошельки.
Air-gapped машина
Компьютер, который никогда не подключался к сети и никогда не будет. Используется для операций с ключами.
Требования:
- Физически изолированный ПК (удалены WiFi/Bluetooth адаптеры или запаяны)
- Boot только с проверенного USB
- Операционная система: Tails OS (amnesic — не оставляет следов) или специализированный Linux
- Передача данных только через QR-коды или USB с однократным использованием
Флоу подписи транзакции:
- Онлайн-машина: создаёт unsigned транзакцию → QR-код
- Air-gapped машина: сканирует QR, подписывает → QR-код с подписью
- Онлайн-машина: сканирует QR с подписью → broadcast
Инструменты: Electrum (Bitcoin), Specter Desktop, Sparrow Wallet для Bitcoin. Для Ethereum — Gnosis Safe с air-gapped signer или Frame wallet.
HSM (Hardware Security Module)
Для корпоративного использования. AWS CloudHSM, Thales Luna, Utimaco. Ключи генерируются и хранятся в tamper-evident железе. Физическое вскрытие уничтожает ключи. Поддерживает M-of-N для активации (несколько смарт-карт одновременно).
Seed phrase физическое хранение
Бумага уязвима к воде и огню. Варианты долгосрочного хранения seed phrase:
Металлические пластины. Cryptosteel Capsule, Bilodeau, Blockplate — набиваете слова буква за буквой на нержавеющей стали. Выдерживает 1400°C (большинство пожаров), waterproof.
Shamir Secret Sharing. Seed phrase разбивается на N частей, достаточно K из них для восстановления (например, 3-of-5). Каждая часть хранится у разного доверенного лица или в разных локациях. Trezor поддерживает SLIP-39 (Shamir Backup) нативно.
Geografическое распределение
Все копии ключей в одном месте = единая точка отказа. Рекомендуется:
- Основной экземпляр: домашний сейф или банковская ячейка
- Резервный: надёжный родственник в другом городе
- Резервный 2 (для крупных сумм): нотариус или специализированный криптокастодиан
Важно: доверенные лица должны знать, что хранят, но не знать PIN/passphrase. PIN/passphrase хранится отдельно от seed (другое место, другой человек).
Multi-sig как холодное хранение
Gnosis Safe с несколькими hardware wallets в разных локациях. 2-of-3: один Ledger у вас дома, один у доверенного партнёра, один в банковской ячейке. Потеря одного — не катастрофа. Кража одного — недостаточно для кражи средств.
Настройка для команд
Для компаний — обязательная документация процедур:
- Кто имеет доступ к каким ключам
- Процедура транзакции (кто инициирует, кто подписывает, кто проверяет)
- Процедура смены ключей при увольнении сотрудника
- Процедура восстановления при потере ключа
- Регулярные тесты (ежеквартально: проверка что все ключи на месте и работают)
Настройка холодного хранения для физлица — 1-2 дня консультации + внедрения. Для организации с multi-sig, HSM и документированными процедурами — 2-4 недели.