Взлом гостиничного номера, который не забрал устройство

Апрель 2025. Москвич летит на конференцию в Дубай. Оставляет Ledger Nano S Plus в сейфе отеля вместе с паспортом. На второй день сейф показывает признаки открытия — устройство на месте, но немного сдвинуто. Он продолжает поездку, возвращается домой и пользуется устройством как обычно. Через шесть недель, во время очередной рядовой транзакции, 4,2 BTC уходят на неизвестный адрес.

Что значит атака «злой горничной» (evil maid) в криптовалюте

Термин пришёл из компьютерной безопасности: «горничная», которой хватает нескольких минут наедине с ноутбуком в номере, успевает изменить его прошивку и уйти. В случае аппаратного кошелька физический доступ к устройству даёт злоумышленнику время заменить устройство на визуально идентичное с модифицированной прошивкой, подложить модифицированный кабель или — если в устройстве нет защищённого чипа (secure element) — попытаться вытащить seed с помощью лабораторного оборудования.

Пять правил для поездок

  • Не берите в поездку аппаратный кошелёк с основными сбережениями. Оставьте его дома в огнестойком сейфе или в банковской ячейке. С собой — только «дорожный» кошелёк с небольшой суммой.
  • Если надо везти — носите при себе. Гостиничные сейфы — не устройства безопасности, это удобная мебель. У персонала есть мастер-коды. Служба досмотра в аэропорту может попросить показать устройство — пусть это происходит у вас на глазах.
  • Используйте парольную фразу (passphrase). Если seed-фразу всё-таки извлекут, парольная фраза по-прежнему закрывает доступ к адресам: она хранится у вас в голове, а не на устройстве. Но она не поможет, если потом вы введёте её в подменённое или модифицированное устройство — для этого и нужны два следующих правила.
  • По возвращении проверьте, не вскрывали ли устройство. Сравните устройство с фотографией высокого разрешения, сделанной перед поездкой. USB-порт, экран, кнопки, задняя панель. Любого видимого отличия достаточно, чтобы перестать пользоваться устройством. Обратное не работает: устройство, которое выглядит точно так же, всё равно могли подменить.
  • Переведите средства на свежее устройство после любой потенциальной физической компрометации. Если подозреваете, что к устройству был доступ (лежит не так, появились царапины, сдвинуто), — считайте seed скомпрометированным. Создайте новый seed на новом устройстве, прошедшем проверку подлинности, и переведите средства в течение часа.

Насколько это вероятно

Большинство владельцев криптовалюты не настолько интересны, чтобы ради них устраивать физическую атаку. Угроза реальна, но редка. А защита — парольная фраза, дорожный кошелёк с небольшой суммой, основной кошелёк дома — почти ничего не стоит и закрывает целый класс уязвимостей.

Где реально хранить высокобалансное устройство

Для большинства — огнестойкий домашний сейф, достаточно тяжёлый или прикрученный к полу, чтобы его не унесли при обычной краже. Для больших сумм — банковская ячейка. Для миллионов — 2-of-3 мультисиг между домом, ячейкой и квартирой родственника.