Не храните сид-фразу там, что синхронизируется с интернетом: ни фото или скриншотом, ни в заметках, ни в черновике письма, ни в «Избранном» мессенджера, ни в облачном документе. Именно там злоумышленники ищут в первую очередь — автоматически и массово. Надёжнее по умолчанию офлайн: слова на бумаге или выбитые на металле, в физически защищённом месте, лучше со второй копией в другом месте.
Сид-фраза — это и есть кошелёк. Тот, кто прочтёт 12 или 24 слова, за минуту восстановит все приватные ключи на любом устройстве в любой точке мира, и блокчейн не отличит его от вас. Поэтому хранение фразы требует больше внимания, чем пароль: украденный пароль можно сбросить, утёкшую сид-фразу — нет.
Чем опасно каждое цифровое место
Фото и скриншоты
Галерея телефона по умолчанию выгружается в iCloud Фото или Google Фото. Они и многие приложения галереи распознают текст на снимках: на iPhone функция «Живой текст» делает слова на фото выделяемыми и находимыми в поиске. Стилеры на ПК и телефонах ищут в папках с изображениями списки из 12 или 24 слов. Скриншот сид-фразы — это файл на телефоне, в облаке и во всех резервных копиях обоих.
Заметки, документы и почта
Заметки и облачные документы синхронизируются на все устройства с этим аккаунтом. Если аккаунт уведут фишингом или пароль повторяется на других сайтах, злоумышленник получит и заметки. Вирусы ищут файлы и заметки со словами BIP39 подряд. Черновики и письма «самому себе» хранятся у почтового провайдера бессрочно.
Мессенджеры
«Избранное» в Telegram и чат с собой в WhatsApp хранятся в облаке (обычные чаты Telegram) или в резервных копиях (WhatsApp в Google Диск или iCloud). Захват аккаунта через подмену SIM или украденную сессию отдаёт злоумышленнику всю историю — см. SIM-swap и 2FA.
Менеджеры паролей
Хороший менеджер паролей шифрует хранилище мастер-паролем — это намного лучше обычных заметок. Но это всё равно онлайн-цель с одним ключом. После утечки хранилищ LastPass в 2022 году исследователи связали серию краж криптовалюты в 2023 году с сид-фразами из украденных хранилищ, взломанных офлайн. Если пользуетесь менеджером, ставьте длинный случайный мастер-пароль и считайте его удобной копией, а не единственным бэкапом.
Варианты хранения по степени риска
Порядок ниже — наша оценка того, насколько вероятна утечка или потеря у обычного человека. Это не измерение, но он совпадает с тем, как теряют деньги на практике.
| Где | Как обычно подводит | Вывод |
|---|---|---|
| Скриншот или фото | Синхронизация, распознавание текста, вирусы | Никогда |
| Заметки, облачный документ, почта | Захват аккаунта, вирусы | Никогда |
| «Избранное» мессенджера | Подмена SIM, кража сессии, бэкапы | Никогда |
| Менеджер паролей | Утечка хранилища и слабый мастер-пароль | Максимум — запасная копия |
| Бумага дома | Пожар, вода, найдут гости | Допустимо с осторожностью |
| Металлическая пластина в надёжном месте | Кража пластины | Хорошо |
| Металл в двух местах или мультиподпись | Нужна подготовка | Лучше всего для крупных сумм |
Практичная офлайн-схема
- Запишите слова от руки на карточке из комплекта кошелька или на бумаге, пронумеровав 1–24, в показанном порядке. Сверьте каждое со списком слов BIP39: любое правильное слово есть в этом списке из 2048, а первые четыре буквы определяют его однозначно.
- Проверьте бэкап: большинство кошельков позволяют ввести фразу заново или проверить отдельные слова. Сделайте это до того, как отправлять средства.
- Для сумм, потерю которых вы не переживёте, перенесите слова на стальную пластину или капсулу. Планировщик металлического бэкапа посчитает, сколько букв выбивать.
- Храните вне поля зрения и без подписи «крипта». Вторая копия в другом здании защищает от пожара и кражи в одном месте.
- Решите, кто должен суметь её найти, если с вами что-то случится, — об этом гайд по наследованию.
Разделить фразу: что работает, а что нет
Разрезать фразу из 24 слов пополам и спрятать половины отдельно кажется хитрым, но каждая половина резко сокращает перебор: 12 известных слов из 24 — гораздо более слабый секрет. Если нужна защита на случай, что одно место найдут, используйте нормальные схемы: парольную фразу BIP39, хранящуюся отдельно от слов (см. «25-е слово»), резервные копии Шамира там, где кошелёк их поддерживает (SLIP-39), или мультиподпись.
Когда считать фразу скомпрометированной
- Её фотографировали, вводили на компьютере или телефоне вне приложения-кошелька или хранили в любом облаке.
- Вы вводили её на сайте или показывали «поддержке» — см. фальшивая поддержка.
- На устройстве, где она хранилась, был вирус, например клиппер.
В любом из этих случаев создайте новый кошелёк на чистом устройстве, запишите новую фразу офлайн и переведите средства. Это стоит нескольких сетевых комиссий — дёшево по сравнению с ожиданием, пока их переведёт кто-то другой.
Частые вопросы
Безопасно ли хранить сид-фразу в менеджере паролей?
Безопаснее заметок, но это всё равно онлайн-цель. Используйте его только как вторую копию и с длинным случайным мастер-паролем.
Можно хранить фото фразы, если телефон зашифрован?
Нет. Фото уходят в облако и резервные копии, а вирус на телефоне может их прочитать.
Стоит ли разделить фразу на две половины?
Это ослабляет секрет. Лучше парольная фраза, хранящаяся отдельно, бэкап Шамира или мультиподпись.
Если есть аппаратный кошелёк, бэкап не нужен?
Нужен. Если устройство потеряется или сломается, восстановить средства можно только по сид-фразе.
Как проверить, что слова записаны верно?
Пройдите проверку бэкапа в кошельке и сверьте каждое слово со списком BIP39 из 2048 слов.