Повна ізоляція від мережі (air gap) означає, що пристрій фізично не може виходити на зв'язок: ні Wi-Fi, ні Bluetooth, ні NFC, ні USB-з'єднання з чимось, що все це має, ні кабелю до інтернету взагалі. Це найсильніша властивість холодного зберігання, але за неї доводиться платити незручністю. У 2026 році на практиці трапляються переважно два варіанти ізоляції: через QR-коди і через карти microSD.
Чому ізоляція — це більше, ніж «просто від'єднати кабель»
Наївна ізоляція ламається трьома відомими способами. Перший — «заражений комп'ютер поруч»: ізольований ноутбук, який ви час від часу під'єднуєте через USB до звичайного комп'ютера з Windows, від втрати ізоляції відділяє один невдалий кабель. Другий — «флешка теж мережа»: атаки на кшталт BadUSB і Stuxnet довели, що USB-флешки переносять шкідливе ПЗ між ізольованими й неізольованими системами. Третій — «екран теж мережа»: дослідження про витягування даних через яскравість екрана чи шум вентилятора, записаний мікрофоном, реальні, хоча для звичайних зловмисників непрактичні.
Правильно реалізована ізоляція в апаратному гаманці закриває всі три: жодного USB в жодному напрямку, жодної можливості занести шкідливе ПЗ через кабель, а передані дані (підписані транзакції) настільки структуровані, що побічні канали зловмисникові все одно не допоможуть.
Ізоляція через QR-коди
Комп'ютер складає непідписану транзакцію в гаманці на кшталт Sparrow Wallet або AirGap Vault і показує її на екрані як QR-код. Апаратний гаманець сканує код камерою, підписує транзакцію всередині себе й показує QR-код із підписаною транзакцією. Комп'ютер сканує його своєю камерою і надсилає транзакцію в мережу.
Так працюють Keystone 3 Pro, OneKey Pro, AirGap Vault на окремому телефоні. Користуватися цим — як звичайним апаратним гаманцем, тільки з кількома зайвими кроками; зате приріст безпеки відчутний.
Ізоляція через microSD
Комп'ютер записує непідписану транзакцію (у вигляді файла PSBT) на карту microSD. Ви виймаєте карту, вставляєте її в апаратний гаманець, підписуєте, виймаєте, вставляєте назад у комп'ютер і надсилаєте транзакцію в мережу.
Так працює Coldcard Mk4. Незручностей ще більше, ніж із QR, але модель загроз інша: дані передаються у вигляді структурованих файлів PSBT, які легше перевірити.
Коли повна ізоляція зайва
Для більшості людей правильний інструмент — звичайний апаратний гаманець відомого бренду з підключенням через USB. Приріст безпеки від ізоляції через QR порівняно з USB реальний, але невеликий, а незручностей стільки, що дехто зрештою тихо повертається до гарячих гаманців.
Ізоляція варта клопоту тоді, коли втрата цих коштів перевернула б ваше життя: на такому рівні Keystone 3 Pro або Coldcard у парі зі Sparrow Wallet — стандартна схема інституційного рівня. Доти зосередьтеся на основах: офіційний магазин, нова seed-фраза, резервна копія на сталі, окремий пристрій для підпису.
Подальше читання: Апаратний гаманець, Холодний гаманець, Порівняння апаратних гаманців.