Холодный кошелёк — общее название любой схемы, при которой приватный ключ хранится на устройстве, никогда не подключавшемся к интернету или изолированном от сети во время подписи. Это противоположность горячему кошельку, который держит ключи на устройстве с выходом в интернет, и основа любого серьёзного плана хранения, как только сумма становится больше той, которую не жалко потерять.
Три формы, которые встречаются на практике
Аппаратные кошельки. Ledger Nano S Plus, Trezor Safe 3, Coldcard Mk5, Keystone 3 Pro, OneKey Pro. Специальное устройство с защищённым элементом, которое создаёт и хранит ключи офлайн. Его подключают к компьютеру (или обмениваются с ним QR-кодами у полностью изолированных моделей) только для подтверждения транзакций; сам ключ никогда не покидает устройство.
Бумажные кошельки. Приватный ключ или мнемоническая фраза записаны на бумаге, а лучше — выбиты на стальной пластине вроде Cryptosteel Capsule или Billfodl. Самый дешёвый вид холодного хранения и удивительно долговечный: правильно хранящаяся стальная копия переживёт почти любую бытовую электронику. Подвох в обращении: чтобы что-то потратить, ключ приходится временно импортировать в горячий кошелёк, и хранение перестаёт быть холодным, если сразу не перенести остаток на новый кошелёк.
Устройства для офлайн-подписи. Навсегда отключённый от сети ноутбук или телефон — обычно старый iPhone с выключенными сотовой связью и Wi-Fi или свежий ноутбук на Linux без сетевых драйверов, — на котором кошелёк работает локально и подписывает транзакции, переданные через QR-код или карту microSD. Подходит тем, у кого крупные суммы и кому нужны гибкость программного кошелька и безопасность полной изоляции.
Что даёт «холод»
Холодное хранение защищает от трёх конкретных видов атак. Первый — вредоносные программы на повседневном компьютере: стилеры вроде Lumma Stealer и RedLine созданы, чтобы красть файлы кошельков и данные для входа с заражённых машин. Второй — компрометация программного обеспечения через цепочку поставок: атака на Ledger Connect Kit в декабре 2023 года не сработала бы против правильно изолированной схемы. Третий — постепенное ослабление дисциплины, которое неизбежно, когда ключи лежат в телефоне, с которым вы ходите в кафе.
От чего холодное хранение не защищает
Холодное хранение никак не влияет на решения, которые вы принимаете при подписи. Если вас обманом заставили подписать вредоносное одобрение или поддельный «перевод ETH», аппаратный кошелёк подпишет ровно то, что вы ему велели. Ledger показывает адрес получателя, OneKey Pro показывает адрес получателя — но если вы не читаете экран, устройство превращается просто в медленную кнопку «подписать».
Рекомендуемая схема
Деньги, потерю которых вы заметите: один аппаратный кошелёк плюс копия seed-фразы на стали. Сбережения, которые вы копили годами: аппаратный кошелёк, отдельное устройство для подписи и резервная копия Shamir 2 из 3 — дома, у родителей и в банковской ячейке. Деньги, от которых зависят планы вашей семьи: мультисиг 2 из 3 на аппаратных кошельках трёх разных марок (чтобы не зависеть от одного производителя).
Дополнительное чтение: Холодный или горячий кошелёк, Аппаратный кошелёк, Полная изоляция от сети (air gap), Сравнение аппаратных кошельков.