За два дня сообщество аппаратных кошельков дважды меня неприятно удивило
Первый раз — Ledger
В устройства, проданные дистрибьютором CryptoBilis в Юго-Восточной Азии, встроили модуль LTE eSIM. Сид-фраза отправлялась в реальном времени сразу после инициализации
В официальном обновлении от 12 октября, опубликованном спустя 72 часа, сузили масштабы проблемы
— Количество затронутых устройств ограничено
— Все подтверждённые случаи связаны с CryptoBilis
— Собственные системы Ledger и каналы прямых продаж не затронуты
— CryptoBilis прекратила все продажи
CZ тоже опубликовал предупреждение в X, что практически подтверждает версию об атаке на цепочку поставок через одного дистрибьютора
Второй раз — OneKey
Пользователь @blocktom откопал пункт IX.8 в старой версии соглашения на английском
Максимальная компенсация пользователю со стороны компании — наибольшая из двух сумм: «рыночная стоимость 0,1 ETH» или «100 сингапурских долларов»
В китайской версии этот пункт просто удалили
OneKey признала, что документация обновлялась с опозданием, извинилась и обновила соглашение
Новый лимит — наибольшая из трёх сумм: «фактически уплаченная за устройство», «расходы на платные услуги за последние 12 месяцев» и «100 долларов США»
Но при этом в пункте 15.4 сказано
В пределах, разрешённых законом, компания в принципе не несёт ответственности за потерю цифровых активов или их стоимости по любой причине
Пользователь продолжил задавать вопросы
А если расследование покажет, что убытки вызваны дефектом вашего устройства, прошивки или приложения?
Основатель @ohyishi заблокировал пользователя
В одном случае взломали цепочку поставок, в другом — препарировали соглашение
Оба случая указывают на одну и ту же чёрную дыру
Границы ответственности в сегменте аппаратных кошельков куда менее ясны, чем принято думать
/
❚ Реальные границы ответственности при самостоятельном хранении
Давайте посмотрим на факты
Примерные лимиты компенсации в пользовательских соглашениях популярных кошельков выглядят так
- Coinbase Wallet / Trust Wallet / Phantom / Uniswap Wallet: лимит — 100 долларов США
- Ledger / Trezor: компенсация, как правило, ограничена стоимостью устройства
- SafePal / Tangem: компенсация, как правило, не предусмотрена
- Новое соглашение OneKey: максимальная сумма из стоимости устройства, расходов за 12 месяцев и 100 долларов США
Проще говоря
Неважно, храните вы там 10 долларов или 10 миллионов
Если случится беда, а производитель компенсирует стоимость одного аппаратного кошелька — это уже щедро
В большинстве случаев вам не компенсируют даже стоимость самого устройства
Логику производителя понять несложно
Суть самостоятельного хранения в том, что приватные ключи не находятся у производителя. Он не может ни заморозить активы, ни отменить ончейн-транзакции
Поэтому предоставить полноценную страховку невозможно; низкий лимит компенсации — отраслевой стандарт
С математической точки зрения эта логика непротиворечива
Но это совсем не соответствует ожиданиям большинства розничных пользователей в тот момент, когда они покупают холодный кошелёк
❚ О чём думают розничные пользователи, покупая холодный кошелёк
В августе 2024 года Lazarus украла у меня все ончейн-активы. По стоимости это было примерно как потерять Mercedes E300L
С тех пор я на собственном опыте знаю, что такое холодные кошельки
Тогда я рассуждал примерно так
- Горячий кошелёк небезопасен, поэтому я потрачу деньги на холодный
- Холодный кошелёк — вещь брендовая, значит, всё будет в порядке
- Если что-то случится, хотя бы будет понятно, на какую компенсацию можно рассчитывать
- Иначе зачем мне тратить деньги на покупку этого кирпича
Но стоило открыть соглашение
- Первое: если что-то случится, мы не гарантируем компенсацию
- Второе: даже если выплатят компенсацию, её максимум — стоимость одного аппаратного кошелька
- Третье: утечка сид-фразы, фишинг, сторонние сервисы и проблемы самого блокчейна полностью исключены из покрытия
- Четвёртое: окончательное толкование остаётся за нами
Проще говоря, вы покупаете всего лишь «устройство для подписи, которое сложнее атаковать удалённо, чем горячий кошелёк»
Все остальные риски — на вас
❚ Если рассматривать эти два случая вместе
В этот раз Ledger столкнулась с атакой на физическую цепочку поставок
Имплант спрятан в месте, где находится амортизирующая прокладка экрана. Прошивка его не обнаруживает, Genuine Check тоже, найти его можно только разобрав устройство
Это означает, что
- Одного «я купил оригинальный Ledger» недостаточно
- Одного «я купил Ledger у авторизованного продавца» тоже недостаточно
- Безопасная отправная точка — только если «я купил напрямую на официальном сайте Ledger»
В этот раз OneKey препарировали соглашение
Само по себе расхождение между китайской и английской версиями — лишь небольшая проблема
Но по-настоящему тревожны границы ответственности, которые из этого следуют
- Если убытки вызваны дефектом самого продукта, соглашение ограничивает компенсацию суммой в 100 долларов или стоимостью устройства
- Производитель уклоняется от прямого ответа на вопросы пользователей
- Если слишком часто писать, могут заблокировать
Вместе эти два случая стали коллективным разоблачением всей отрасли
Реальное обещание аппаратного кошелька — быть «инструментом для подписи»
Люди просто воображают, что холодный кошелёк — это сейф для активов
/
❚ Что делать розничным пользователям
С принципами разобрались, теперь — о том, что можно применить на практике
1/ Не рассчитывайте, что производитель вас выручит
- Любой кошелёк для самостоятельного хранения, любой бренд, любое «первое место в мире по продажам»
- В соглашениях всегда заложен именно такой минимум
- Будьте морально готовы к тому, что компенсации не будет
2/ Покупайте холодные кошельки только напрямую на официальном сайте
- Не покупать у посредников
- Не покупать на Xianyu
- Не покупать через друзей и знакомых
- К любым каналам продаж, где цена «ниже, чем на официальном сайте», стоит относиться с подозрением
3/ Разделяйте крупные суммы по разным хранилищам
- Не храните в одном холодном кошельке больше половины всех своих средств
- Остальное распределяйте с помощью мультиподписи, нескольких адресов и разных брендов
- Для мультиподписи используйте как минимум два разных бренда, чтобы сбой у одного производителя не привёл к краху всей системы
4/ Регулярно меняйте адреса
- Меняйте адреса время от времени
- Старые адреса — в качестве холодного резерва
- По сути, вы просто меняете замок на аккаунте
5/ Держите часть средств на централизованных биржах
- Звучит нелогично, но это правда
- В крайних случаях SAFU и страховка крупных бирж могут лучше защитить ваши средства
- Это не значит, что нужно хранить всё на CEX. Просто не делайте холодный кошелёк единственной линией защиты
/
Одним предложением: вместе эти два случая окончательно развеяли иллюзию, будто «купил аппаратный кошелёк — и теперь в безопасности»
Аппаратный кошелёк — всего лишь один из элементов вашей стратегии безопасности
Настоящая безопасность — это диверсификация, резервирование и регулярное обслуживание
Как и с тренировками: нет упражнения, которое навсегда убережёт от травм. Помогает только привычка тренироваться регулярно
Размышления после того, как я в 2024 году лишился того «Мерседеса»
Одна фраза, которую я написал тогда, до сих пор у меня в памяти
«В криптомире вы противостоите не рынку, а злому умыслу всего человечества»
И сегодня всё по-прежнему так