Почему фото seed-фразы — худший способ её хранить

Каждый год новая волна владельцев криптовалюты фотографирует seed-фразу «на всякий случай». И каждый год часть этих телефонов крадут, их фото уходят в облако взломанного аккаунта, их сканируют вредоносные приложения с доступом к галерее — или телефон просто забывают на зарядке в аэропорту.

Фото seed-фразы — самый рискованный способ её хранения. Рискованнее, чем приложение заметок. Рискованнее, чем менеджер паролей. Рискованнее даже листка бумаги в ящике стола.

Пять путей, которыми утекает фото

  • Облачная синхронизация. iCloud Photos, Google Фото, Microsoft OneDrive по умолчанию синхронизируют снимки. Ваша seed-фраза оказывается на сервере, который вы не контролируете, и защищена ключом, производным от пароля аккаунта. Взломали аккаунт — получили фразу.
  • Разрешения приложений. Любое приложение с доступом к фотогалерее может прочитать каждое изображение. Бесплатный фонарик, установленный ещё в 2019 году, теперь читает вашу seed-фразу.
  • Кража телефона. Современный телефон непросто вскрыть, но и не невозможно: у решительного злоумышленника с нужными инструментами и несколькими часами есть шанс добраться до фото даже на заблокированном iPhone.
  • Распознавание текста вредоносными программами. Некоторые семейства вредоносных программ для Android (SpyMax, BlackRock и более новые варианты 2024 года) распознают текст на каждом изображении в галерее и ищут там seed-фразы — 12 или 24 слова из словаря BIP-39.
  • Восстановление из облачной копии. Бывший партнёр, знающий пароль от iCloud, может восстановить ваши фото на свой телефон — и вы об этом не узнаете.

Где хранить seed-фразу вместо этого

На бумаге, на металле или и так и так. Бумагу — в несгораемый сейф. Металл — стальная пластина с выбитыми словами — переживает огонь, воду и время. Бренды: Cryptotag, Billfodl, Cryptosteel; это разовая покупка. Место хранения — отдельно от того, где лежит устройство. В идеале — две копии в двух разных местах.

Если вы уже сфотографировали

Удалите все копии: в галерее телефона, в облачных резервных копиях, на всех синхронизированных устройствах. Затем создайте новую seed-фразу на чистом устройстве, переведите все средства на адреса новой фразы, а сфотографированную считайте скомпрометированной навсегда. Это стоит одной порции комиссий, а если ничего не делать, можно потерять всё.