Краткий ответ

Кража аппаратного кошелька сама по себе ещё не потеря средств: ключ хранится в защищённом элементе (Secure Element) и без PIN-кода недоступен. Если слишком много раз ошибиться с PIN, устройство сотрёт данные: Ledger — после 3 попыток; Trezor Safe 7 — после 10, Safe 3, Safe 5, Model T и Model One — после 16, причём после каждой ошибки время ожидания удваивается; OneKey — после 10 (при некоторых настройках после 5). Если у вас есть резервная копия сид-фразы, средства можно сразу восстановить на новом устройстве, и вору ничего не достанется. Реальная потеря возникает, когда кошелёк украден и вор знает ваш PIN или подсмотрел его. Что делать: восстановите кошелёк из сид-фразы на новом устройстве и переведите средства на новую сид-фразу (старую считайте скомпрометированной, если вор мог быть подготовленным).

Реалистичная модель угроз

Для случайного вора, нашедшего ваш Ledger в украденном рюкзаке: устройство ему бесполезно. PIN он не знает, а после 3 неверных попыток устройство стирает данные.

Для изощрённого атакующего, который знает, что у вас крипта, и специально украл устройство, ситуация серьёзнее. Он может попробовать атаки по сторонним каналам: декапсуляцию чипа, сбои по питанию, анализ электромагнитного излучения. Исследователи безопасности публично показывали атаки по сторонним каналам и атаки с внесением сбоев на аппаратные кошельки, но для них нужно специальное оборудование и само устройство на руках. Новые модели с защищённым элементом обычно держат такие атаки лучше старых.

Если вор видел, как вы вводите PIN, устройство фактически в его руках: он может сразу подписывать транзакции.

Немедленный ответ на кражу

Сразу восстановите кошелёк из сид-фразы на новом аппаратном кошельке. Та же сид-фраза даёт те же адреса, поэтому балансы будут видны и на новом устройстве. Затем — и это важно — сгенерируйте новую сид-фразу, настройте новый кошелёк и переведите все средства из старого кошелька в новый кошелёк.

Почему перевод? Если старый аппаратный кошелёк был физически атакован изощрённым вором, исходную сид-фразу могли извлечь через атаку по сторонним каналам. Переход на новую сид-фразу снимает этот риск. Цена — сетевые комиссии за перевод, зато больше не нужно гадать, в безопасности ли средства.

Когда считать сид-фразу скомпрометированной

Если у вора было и устройство, и ваш PIN: сид-фраза с высокой вероятностью скомпрометирована.

Если у вора было только устройство, а PIN он не знал: вероятность низкая для случайного вора и средняя для подготовленного злоумышленника.

Если устройство никогда не покидало вашего поля зрения, но украдено кратко: низкая вероятность.

Вероятность компрометации выше, если кто-то побывал у вас дома, на кошельке появились незнакомые транзакции или есть основания думать, что кража была целенаправленной.

Страхование и правоохранительные органы

Если кража обернулась заметными потерями, подайте заявление в полицию. Вернуть украденное устройство удаётся редко, но документы понадобятся, если ваш полис страхования имущества покрывает криптовалюту или у вас есть отдельная страховка криптоактивов от кражи.

Не рассчитывайте, что обычный полис страхования имущества покроет кражу криптовалюты, — сверьтесь с его условиями. Отдельное страхование криптоактивов от кражи предлагают Coincover и андеррайтеры Lloyd's; годовая премия считается в процентах от страхуемой стоимости.

Профилактика

Храните аппаратный кошелёк в огнестойком сейфе дома. Не носите его в повседневном рюкзаке. Для путешествий устройство может остаться дома — восстанавливайте кошелёк из сид-фразы, только если действительно нужно подписывать во время путешествия.

Дополнительное чтение: Аппаратный кошелёк, Защищённый элемент (secure element).