QR-код приватного ключа блокчейна выглядит безобидно. Это небольшой чёрно-белый квадрат, который легко сканировать и удобно использовать, когда вы переносите кошелёк с одного устройства на другое.
Но в этом квадрате хранится единственная информация, которая управляет вашей криптовалютой, и в отличие от пароля, её нельзя сбросить. Любой, кто отсканирует или сфотографирует код, сможет перевести ваши средства, и обратиться потом будет не к кому.
В этом руководстве мы разберём, что такое эти коды, как они работают на самом деле и какие ошибки подводят даже осторожных трейдеров.
Главное
- QR-код приватного ключа — это просто ваш секретный ключ в виде, удобном для сканирования, поэтому любой, кто получит это изображение, сможет забрать ваши средства.
- Опасен не сам QR-код, а то, где он оказывается: ключи теряются в скриншотах, облачных резервных копиях, памяти принтеров и ненадёжных приложениях.
- Холодное хранение и аппаратные кошельки держат ключ офлайн — это по-прежнему самый надёжный способ защитить долгосрочные активы.
Сначала безопасность, потом торговля
Безопасность кошелька — лишь половина уравнения, вторая половина — исполнение ордеров.
Что такое приватный ключ блокчейна?
Приватный ключ биткоина или его аналог в любом другом блокчейне — это секретное число, которое разрешает транзакции с конкретного кошелька. Он работает как главный ключ от хранилища: тот, у кого он есть, может забрать всё, что внутри.
Криптокошелёк на самом деле не хранит монеты, поскольку они существуют в блокчейне. Кошелёк хранит ключи, которые позволяют ими распоряжаться.
Приватный ключ и публичный адрес
Эти два понятия часто путают, и последствия бывают серьёзными. Адрес криптокошелька, или публичный ключ, вы сообщаете другим, чтобы получать средства, — он сравним с адресом электронной почты.
Приватный ключ вы бережно храните, чтобы тратить средства, — он сравним с паролем от этой почты. Публичный адрес можно без риска опубликовать в блокчейн-эксплорере. Но стоит один раз раскрыть приватный ключ — и средства могут быть похищены.
Приватный ключ и seed-фраза
Seed-фраза из 12–24 слов — это удобная для человека резервная копия, которая позволяет восстановить все приватные ключи кошелька. Отдельный приватный ключ управляет только одним адресом. В QR-код можно закодировать и то и другое, поэтому перед сканированием нужно точно знать, с каким именно секретом вы имеете дело.
Зачем кошелькам вообще нужны QR-коды
Приватные ключи длинные и не прощают ошибок: один неверно введённый символ — и адрес уже другой. Кодирование ключа в виде QR-изображения исключает ошибки ручного ввода и ускоряет перенос между устройствами. Именно ради этого удобства QR-коды и существуют в криптоиндустрии, и именно поэтому ими так легко злоупотребить.
Любопытный факт
- У приватного ключа Bitcoin примерно 2 в степени 256 возможных комбинаций — слишком много, чтобы их когда-либо перебрать. Почти каждая кража происходит потому, что ключ был раскрыт, а не взломан.
Как работает QR-код приватного ключа
QR-код — это визуальный контейнер. Когда вы сканируете QR-код приватного ключа, приложение-кошелёк считывает закодированную строку и импортирует её, получая право распоряжаться средствами на этом адресе. Удобство здесь реальное, но реальна и угроза.
Импорт кошелька
Чаще всего QR-код используют для импорта: вы сканируете ключ, чтобы загрузить существующий кошелёк в новое приложение. В тот момент, когда приложение считывает этот код, оно может подписывать транзакции от вашего имени.
Именно здесь происходит большинство потерь при самостоятельном хранении, потому что в момент сканирования ключ полностью доступен для считывания.
Подпись транзакций
Изолированные (air-gapped) схемы меняют картину рисков. Аппаратный кошелёк хранит приватный ключ офлайн и показывает QR-код, который содержит только подписанную транзакцию.
Устройство, подключённое к сети, сканирует его, чтобы отправить транзакцию в сеть, но сам ключ устройство не покидает. Та же технология даёт противоположный профиль риска, а разница определяется тем, что именно содержит QR-код.
Бумажные кошельки
Бумажный кошелёк биткоина содержит напечатанные на бумаге публичный адрес и приватный ключ в виде QR-кодов. В принципе, это холодное хранение криптовалюты, поскольку оно находится офлайн и защищено от удалённых атак.
На практике бумага портится, принтеры кэшируют изображения, а одна фотография стороны с приватным ключом ставит под угрозу всё. Проверить наличие средств можно в любой момент с помощью блок-эксплорера биткоина, не раскрывая приватную сторону.
Оттачивайте мастерство там, где это безопасно
Разумные трейдеры защищают свои средства и совершенствуют подход, прежде чем рисковать тем и другим.
Основные риски безопасности
Формат QR не добавляет безопасности, он увеличивает поверхность атаки. Каждое место, где это изображение можно увидеть, скопировать или сохранить в кэше, — потенциальное слабое звено. Угрозы делятся на две категории.
Цифровая уязвимость
Самые серьёзные угрозы незаметны. Вредоносное ПО для криптовалют может просматривать фотоальбом в поисках QR-изображений или перехватывать буфер обмена. Скриншоты ключа незаметно синхронизируются с облачными резервными копиями. Поддельные приложения-кошельки имитируют настоящие и собирают любой импортируемый вами ключ.
Фишинговые сайты показывают код «отсканируйте, чтобы получить airdrop», который на самом деле запрашивает ваш ключ. Приложения-камеры с загрузкой в облако могут превратить быстрое сканирование в необратимую брешь в безопасности блокчейна.
Физическая уязвимость
Распечатанные коды кажутся безопасными, но часто это не так. Память принтера может сохранить изображение. Любой, кто находится в зоне видимости камеры, способен за долю секунды снять бумажный кошелёк. Повреждённая или выцветшая бумага может навсегда лишить вас доступа. Даже ключ, записанный на листке в отдельном кабинете, находится на расстоянии одной уборки или одного видеозвонка от раскрытия.
Почему отменить ничего нельзя
В отличие от банка, у блокчейна нет отдела по борьбе с мошенничеством. Транзакции необратимы и псевдонимны. Как только злоумышленник отсканирует ваш ключ и переведёт средства, вернуть их практически невозможно. Именно эта необратимость превращает мелкую привычку, например случайный скриншот, в полную потерю.
Как безопаснее хранить ключи
Безопасность зависит от того, насколько редко ключ вообще доступен для считывания. Некастодиальный кошелёк даёт вам полный контроль, а значит, и полную ответственность.
Используйте холодное хранение
Самая надёжная защита — холодный кошелёк, который никогда не подключается к интернету. Криптовалютный холодный кошелёк или специальный аппаратный кошелёк хранит приватный ключ внутри защищённого чипа и подписывает транзакции внутри себя, поэтому ключ никогда не появляется на подключённом к сети устройстве в виде изображения, пригодного для сканирования.
Для большинства трейдеров, самостоятельно хранящих средства, лучшие аппаратные кошельки, включая Ledger, Trezor и Coldcard, обеспечивают оптимальный баланс удобства и защиты.
Храните резервные копии офлайн
Храните seed-фразы офлайн, на металле или бумаге, но никогда не в виде цифрового файла или фотографии. Ключ, который существует только в физической форме и хранится в месте, находящемся под вашим контролем, практически недоступен для удалённых атак.
Избегайте облачных заметок, менеджеров паролей с онлайн-синхронизацией и черновиков электронной почты — всё это типичные места утечки.
Проверяйте, прежде чем сканировать
Никогда не сканируйте незнакомый QR-код приватного ключа. Перед импортом проверяйте любое приложение-кошелёк по официальным источникам. При переходе на новый блокчейн-кошелёк сначала протестируйте его на небольшой сумме. Любой запрос отсканировать или передать приватный ключ по умолчанию считайте мошенническим, ведь легитимные сервисы этого никогда не требуют.
Типичные ошибки, которых стоит избегать
Большинство потерь в криптовалютах происходит из-за небольшого набора повторяющихся ошибок, а не из-за сложных атак. Зачастую достаточно заранее распознать эти шаблоны, чтобы их избежать, ведь они обычно связаны с привычками и допущениями, а не с техническими недостатками самого кошелька.
Путаница между публичным и приватным QR-кодом
Самая распространённая ошибка — поделиться QR-кодом приватного ключа вместо публичного адреса. На первый взгляд эти два кода похожи, но выполняют противоположные функции: один позволяет получать средства, другой — тратить их.
Поскольку последствия такой путаницы тяжёлые и необратимые, всегда проверяйте, какой код какой, прежде чем что-либо публиковать, отправлять или показывать. Несколько секунд проверки могут уберечь от полной потери средств.
Доверие не тем инструментам
Импорт ключей в ненадёжные приложения, хранение скриншотов ключей в облачных фотоальбомах и публикация QR-кодов в руководствах или социальных сетях — всё это открывает доступ посторонним. Каждое из этих действий берёт секрет, который должен оставаться офлайн, и помещает его туда, где его можно скопировать или перехватить.
Многие трейдеры также считают, что напечатанный QR-код автоматически безопасен, упуская из виду кэш принтеров и то, как легко код можно снять на камеру. У физических носителей свои риски, и считать бумагу изначально надёжной — частая и дорогостоящая ошибка.
Неверная оценка ответственности
Ещё одна распространённая ошибка — непонимание разницы в ответственности между кастодиальным и некастодиальным кошельком. При самостоятельном хранении никто не сможет восстановить потерянный или украденный ключ за вас, и после потери средств не к кому будет обратиться.
Свобода некастодиального кошелька означает, что вся тяжесть обеспечения безопасности ложится на владельца. Принять эту ответственность с самого начала и выработать соответствующие привычки — вот что отличает трейдеров, которые защищают свои средства, от тех, кто учится на горьком опыте.
Превратите дисциплину в привычку
Размер позиции, лимиты просадки, чёткое исполнение — всё это должно входить в вашу рутину до того, как наступит давление, а не после.
Сравнение: горячие, холодные и кастодиальные кошельки
Выбор места хранения криптовалюты — одно из важнейших решений трейдера в сфере безопасности. Понимание компромиссов между горячим и холодным кошельком, а также между кастодиальным и некастодиальным помогает подобрать каждому типу хранения подходящее применение.
Ни один вариант не подходит для всех ситуаций, и большинство опытных трейдеров используют комбинацию, а не полагаются на один подход.
Когда использовать горячий кошелёк
Горячий кошелёк удобен для активной торговли, но постоянно остаётся подключённым к интернету. Именно эта постоянная связь делает его быстрым и практичным для частых транзакций, и она же подвергает кошелёк более широкому спектру угроз, включая вредоносное ПО, фишинг и скомпрометированные приложения.
Поэтому горячий кошелёк лучше использовать для небольших рабочих сумм, то есть средств, которыми вы можете позволить себе рисковать в среде, подключённой к интернету. Если воспринимать его как текущий счёт, а не как хранилище, потенциальные потери будут ограничены, даже если устройство или приложение окажется взломанным.
Когда использовать холодное хранение
Холодный кошелёк — самый безопасный способ хранить криптовалюту в долгосрочной перспективе. Поскольку ключи остаются офлайн, они защищены от удалённых атак, перехвата буфера обмена и вредоносных приложений, нацеленных на устройства, подключённые к интернету.
Компромисс заключается в удобстве: для перевода средств требуется несколько дополнительных шагов, а в случае аппаратного кошелька — физический доступ к устройству. Для большей части активов, которыми вы не собираетесь торговать часто, эти дополнительные сложности — скорее преимущество, чем недостаток, так как они замедляют и вас, и потенциального злоумышленника.
Когда уместно кастодиальное хранение
Кастодиальные сервисы управляют ключами от вашего имени, что снимает бремя самостоятельного хранения, но требует доверить стороннему лицу хранение вашей криптовалюты. Такая модель подходит новичкам, которые пока не готовы сами управлять ключами, а также трейдерам, для которых важны удобство и быстрый доступ на бирже.
Главный момент в том, что вы зависите от безопасности, платёжеспособности и правил провайдера, а его сбой может напрямую затронуть ваши средства.
Для большинства трейдеров оптимален подход, сочетающий эти модели: горячий кошелёк для небольших рабочих сумм, кастодиальный счёт там, где нужно удобство, и холодное хранение для основной части активов.
Заключение
QR-код лишь ускоряет считывание приватного ключа — он его не защищает. Относитесь к этому маленькому квадрату так, будто стоит показать его один раз — и вы потеряете всё, потому что именно так нередко и происходит. Храните ключи офлайн, перепроверяйте, какой код вы передаёте, и с недоверием относитесь ко всему, что просит вас что-то отсканировать.
FAQ
Безопасно ли сканировать QR-код приватного ключа?
Только если вы сами его создали, доверяете приложению и рядом никого нет. Любой код, который вам присылают, следует считать мошенничеством, пока не доказано обратное.
Могут ли украсть мою криптовалюту по фотографии QR-кода?
Если это приватный ключ — да, почти мгновенно. А вот фотография вашего публичного адреса безвредна и предназначена для того, чтобы ею делились.
В чём разница между публичным и приватным QR-кодом?
Публичный нужен для получения средств. Приватный — для их траты. Выглядеть они могут почти одинаково, именно поэтому их и путают.
Где хранить приватный ключ?
Офлайн. Аппаратный кошелёк или записанная резервная копия в физическом виде надёжнее любой цифровой копии, особенно синхронизируемой с облаком.
Как проверить баланс, не раскрывая ключ?
Воспользуйтесь блок-эксплорером и введите свой публичный адрес. Приватный ключ никогда не понадобится только для того, чтобы увидеть, что находится в кошельке.