Большая часть потерь крипты сводится к короткому списку ошибок: сфотографированная в облако сид-фраза, поддельное приложение кошелька, SMS-2FA на бирже, адрес из истории транзакций, безлимитное разрешение на фишинговом сайте. Чек-лист проходит 25 конкретных привычек в шести группах, даёт критичным пунктам больший вес и показывает пять открытых пунктов, которые стоит исправить первыми. Отметки остаются только в этом браузере.
Оценка безопасности: 0%
Ещё не сделано, начиная с главного:
Сид-фраза существует только офлайн: на бумаге или металле, не в фото, облачных заметках, почте, синхронизируемых менеджерах паролей и чатах.
Бэкап проверен: кошелёк восстановлен из него (или слова сверены на устройстве) до того, как туда пришли реальные деньги.
Накопления лежат на аппаратном кошельке или другой схеме с офлайн-ключами; в горячем кошельке на телефоне — только деньги на расходы.
Кошельки установлены с официального сайта или по ссылке на магазин с сайта разработчика; загрузки сверены с опубликованными хешами.
Аккаунты бирж защищены 2FA через приложение-аутентификатор или ключ безопасности, а не SMS.
Отметки хранятся только в этом браузере (localStorage).
Как считается оценка
У каждого пункта есть вес: 3 — для критичных, провал которых обычно означает потерю всего (сид-фраза онлайн, непроверенный бэкап, SMS-2FA, адреса из истории, blind signing), 2 — для важных, 1 — для полезных практик. Оценка — доля отмеченного веса. Высокая оценка при одном открытом критичном пункте всё равно проблема, поэтому список открытых пунктов отсортирован по весу.
Группы и почему они важны
Сид-фраза и бэкапы — бэкап и есть кошелёк. Офлайн, проверен восстановлением, хранится отдельно от устройства, passphrase сохранена отдельно.
Устройства и программы — накопления на аппаратном кошельке или другой схеме с офлайн-ключами, приложения по официальным ссылкам разработчика, проверенные загрузки, обновлённые системы.
Аккаунты бирж и почты — 2FA через аутентификатор или ключ безопасности, защищённая почта, белые списки вывода, PIN у оператора против SIM-swap.
Привычки при отправке — адреса из первоисточника, полная сверка, тестовые переводы, правильная сеть и memo.
Подписи и разрешения — читать перед подписью, отзывать старые разрешения, отдельный кошелёк для новых dApp.
Социальная инженерия — честным сервисам сид-фраза не нужна; закладки вместо ссылок; молчание о накоплениях; игнор незваных токенов.
Что делать с результатом
Сначала закройте критичные пункты, хоть по одному в день: уберите сид-фразу из онлайн-сервисов, восстановите кошелёк из бэкапа на запасном устройстве, чтобы убедиться, что он работает, переключите 2FA биржи на приложение-аутентификатор. Потом повторяйте проверку раз в несколько месяцев и после покупки нового телефона или компьютера — защита чаще постепенно расползается, чем ломается разом.
Если есть подозрение, что сид-фраза засветилась, не пытайтесь «почистить» кошелёк: создайте новый кошелёк с новой сид-фразой на доверенном устройстве и переведите всё туда. Старая фраза скомпрометирована навсегда.
Частые вопросы
+Ответы где-то хранятся или отправляются?
Отметки сохраняются в localStorage вашего браузера, чтобы пережить перезагрузку. На KOT.CASH ничего не отправляется; очистить их можно кнопкой «Сбросить».
+Можно ли хранить сид-фразу в менеджере паролей?
Если он синхронизируется с облаком, мы считаем это онлайн-хранением. Зашифрованная офлайн-копия — на ваше усмотрение; базовый вариант — бумага или металл в надёжном месте.
+Почему SMS-2FA отмечена как критичная?
При SIM-swap ваш номер переносят на SIM злоумышленника, и SMS-коды и сброс паролей уходят к нему. Приложения-аутентификаторы и ключи безопасности от номера телефона не зависят.
+Нужен ли аппаратный кошелёк для небольших сумм?
Нет. Для денег на расходы подойдёт проверенный мобильный кошелёк. Пункт касается накоплений — суммы, которую вы не можете позволить себе потерять.
+100% означает, что я в безопасности?
Это значит, что типовые точки отказа закрыты. Новые схемы появляются постоянно; привычка притормозить перед отправкой или подписью важнее любой оценки.
Все расчёты выполняются в вашем браузере, введённые данные не отправляются на KOT.CASH. Результаты — оценка для информации, а не финансовая, налоговая или юридическая консультация.