Приватный ключ кошелька

Что такое приватный ключ кошелька?

Приватный ключ кошелька — это секретный криптографический ключ, который дает пользователю контроль над адресом криптокошелька и активами, связанными с этим адресом.

Он используется для создания цифровых подписей, подтверждающих, что владелец кошелька одобрил транзакцию или сообщение.

В официальной документации Ethereum об аккаунтах объясняется, что приватный ключ используется для подписания транзакций и предоставляет контроль над средствами, связанными с аккаунтом.

В глоссарии NIST о приватных ключах приватный ключ определяется как криптографический ключ, однозначно связанный с владельцем и не являющийся публичным.

Простыми словами, приватный ключ кошелька — это секрет, позволяющий кошельку расходовать криптовалюту.

Если у кого-то есть правильный приватный ключ, он обычно может подписывать транзакции из кошелька.

Если пользователь теряет приватный ключ и не имеет резервной копии или метода восстановления, активы под контролем этого ключа могут стать недоступными навсегда.

Поэтому фраза «не ваши ключи — не ваша криптовалюта» так распространена в криптообразовании.

Приватный ключ кошелька — не пароль, не адрес кошелька, не публичный ключ и не обычные учетные данные для входа.

Это основной секрет, контролирующий владение в блокчейне.

Почему приватные ключи кошелька важны

Приватные ключи кошелька важны, потому что блокчейны не используют обычные имена пользователей и пароли, чтобы решать, кто может перемещать средства.

Они полагаются на криптографические подписи.

Когда пользователь отправляет криптовалюту, кошелек подписывает транзакцию приватным ключом.

Блокчейн-сеть проверяет подпись по публичному ключу или данным, связанным с адресом.

Если подпись действительна и транзакция соответствует правилам сети, транзакция может быть принята.

Такая конструкция позволяет пользователям контролировать активы без необходимости получать одобрение банка, компании или центрального администратора для каждого действия.

Но это также означает, что потеря приватного ключа не прощает ошибок.

В официальном руководстве по безопасности Bitcoin-кошелька объясняется, что резервные копии кошелька могут защитить пользователей от сбоев компьютера и многих человеческих ошибок.

Приватный ключ обладает большой силой, поскольку предоставляет прямой контроль.

По той же причине он опасен.

Надежная криптобезопасность начинается с понимания возможностей приватного ключа.

Приватный ключ кошелька и публичный ключ

Приватный и публичный ключи — две части криптографической пары ключей.

Приватный ключ должен оставаться секретным.

Публичным ключом можно делиться более открыто.

Приватный ключ подписывает транзакции и сообщения.

Публичный ключ помогает проверить, что подпись создана соответствующим приватным ключом.

В глоссарии NIST по криптографии публичных ключей объясняется, что пользователи могут цифровым образом подписывать данные приватным ключом, а полученную подпись можно проверить соответствующим публичным ключом.

Это означает, что публичный ключ может помочь доказать использование приватного ключа без раскрытия самого приватного ключа.

Публичный ключ обычно не может самостоятельно расходовать средства.

Приватный ключ может расходовать средства, если контролирует адрес с активами.

Путаница между ними может привести к серьезным ошибкам.

Пользователи обычно могут передавать адрес кошелька, но никогда не должны передавать приватный ключ кошелька.

Приватный ключ кошелька и адрес кошелька

Приватный ключ кошелька — это не то же самое, что адрес кошелька.

Адрес кошелька — это публичный идентификатор для получения средств, которым пользователи делятся для получения криптовалюты.

Приватный ключ — это секретное значение, используемое для подписания транзакций с этого адреса.

В Ethereum адрес выводится из публичного ключа, а приватный ключ контролирует аккаунт, способный подписывать транзакции.

В Bitcoin адреса обычно выводятся из публичных ключей или скриптов, связанных с публичными ключами.

Большинство пользователей взаимодействуют с адресами, а не с необработанными приватными ключами.

Это сделано намеренно, поскольку адресами безопаснее делиться.

Пользователь может публично разместить адрес для пожертвований и получать средства.

Однако никогда не следует публиковать приватный ключ этого адреса.

Если приватный ключ раскрыт, любой увидевший его может перевести средства.

Практическое правило простое: адреса получают, приватные ключи расходуют.

Приватный ключ кошелька и фраза восстановления

Приватный ключ кошелька также отличается от фразы восстановления.

Фраза восстановления — это понятная человеку резервная копия, способная генерировать один или множество приватных ключей.

В официальной спецификации BIP-39 описываются мнемонические коды, которые могут использоваться для создания детерминированных кошельков.

Многие современные кошельки используют 12, 18 или 24 слова восстановления вместо отображения пользователям необработанных приватных ключей.

Фраза восстановления часто мощнее одного приватного ключа, поскольку может восстановить весь кошелек с множеством аккаунтов и адресов.

Один приватный ключ может контролировать один адрес или аккаунт.

Фраза восстановления может воссоздать множество приватных ключей для множества адресов в зависимости от структуры кошелька.

Это означает, что фразу восстановления следует защищать так же серьезно, как приватные ключи.

Если сайт, сотрудник поддержки или незнакомец запрашивает фразу восстановления, пользователям следует считать это мошенничеством.

Настоящему процессу поддержки кошелька не требуется фраза восстановления для ответа на обычные вопросы.

Как работает приватный ключ кошелька

Приватный ключ кошелька создает цифровую подпись для конкретной транзакции или сообщения.

ПО кошелька подготавливает сведения о транзакции.

Приватный ключ подписывает эти данные с помощью криптографического алгоритма подписи.

Затем подписанная транзакция передается в блокчейн-сеть.

Узлы проверяют действительность подписи и соответствие транзакции правилам сети.

Если транзакция действительна, она может быть включена в блок или принята согласно процессу консенсуса соответствующего блокчейна.

Приватный ключ не нужно отправлять в сеть.

Сети нужны только подпись и данные для проверки.

Это главное преимущество безопасности криптографии публичных ключей.

Пользователь может доказать контроль, не раскрывая секрет, который этот контроль предоставляет.

Однако если вредоносное ПО, фишинг или поддельный кошелек украдет приватный ключ до подписания, злоумышленник также сможет подписывать транзакции.

Как создаются приватные ключи кошелька

Приватный ключ кошелька должен создаваться с использованием надежной случайности.

Во многих крупных блокчейн-системах приватный ключ представляет собой очень большое число, выбранное из допустимого диапазона.

Затем кошелек выводит из приватного ключа публичный ключ и адрес кошелька.

Если приватный ключ создан безопасно, его должно быть практически невозможно угадать с помощью современных классических методов вычислений.

Если приватный ключ создан ненадежно, кошелек может быть небезопасным с самого начала.

Слабая генерация случайных чисел, поддельное ПО кошелька, предсказуемые сиды, генераторы в браузере или ключи, созданные пользователем, могут представлять серьезный риск.

Пользователям не следует создавать приватные ключи вручную.

Не следует использовать «мозговые кошельки», созданные из запоминающихся фраз.

Не следует использовать онлайн-генераторы приватных ключей.

Следует использовать надежное ПО кошелька или аппаратные кошельки, которые безопасно генерируют ключи.

Приватный ключ настолько безопасен, насколько безопасен процесс его создания.

Приватные ключи в Bitcoin

В Bitcoin приватные ключи авторизуют расходование выходов, контролируемых соответствующими условиями публичного ключа.

В руководстве для разработчиков Bitcoin по кошелькам объясняется, что программы-кошельки используют приватные ключи для подписания транзакций и публичные ключи для получения bitcoin.

Bitcoin-кошельки могут внутренне управлять множеством приватных ключей.

Поэтому резервное копирование только одного видимого приватного ключа может не восстановить все средства в кошельке.

Современные Bitcoin-кошельки часто используют детерминированные сиды для создания множества ключей и адресов из одной резервной копии.

Это повышает конфиденциальность, поскольку пользователи могут получать средства на новые адреса.

Это также упрощает резервное копирование, поскольку пользователям не нужно вручную копировать каждый новый приватный ключ.

Однако необходимо понимать модель резервного копирования конкретного кошелька.

Если кошелек использует сид-фразу, она может быть основным методом восстановления.

Если кошелек использует старую модель файлов кошелька, могут иметь значение и файл, и пароль.

Приватные ключи в Ethereum

В Ethereum приватный ключ контролирует внешний аккаунт.

Внешний аккаунт может отправлять транзакции, если они подписаны приватным ключом.

В документации Ethereum об аккаунтах объясняется, что внешние аккаунты состоят из криптографических пар ключей и что пользователи фактически не хранят криптовалюту, поскольку средства записаны в реестре Ethereum.

Это различие важно для понимания приватных ключей кошелька.

Приложение кошелька — не место, где ETH или токены физически находятся.

Блокчейн записывает балансы.

Приватный ключ предоставляет право перемещать активы с аккаунта.

Приватный ключ Ethereum может контролировать ETH, токены ERC-20, NFT, позиции DeFi, права управления и разрешения смарт-контрактов, связанные с этим адресом.

Если такой приватный ключ скомпрометирован, риск может распространяться не только на баланс нативной монеты.

Злоумышленники также могут нацеливаться на токены, NFT, разрешения, позиции стейкинга и доступные для получения вознаграждения.

Приватные ключи в HD-кошельках

HD означает иерархический детерминированный.

HD-кошелек может генерировать множество приватных ключей и адресов из одного мастер-сида.

В официальной спецификации BIP-32 определяются иерархические детерминированные кошельки и деривация дочерних ключей.

HD-кошельки распространены, поскольку упрощают резервное копирование.

Вместо отдельного копирования каждого приватного ключа пользователи могут создать резервную копию сида или фразы восстановления.

Затем кошелек сможет восстановить множество аккаунтов и адресов.

Это полезно для конфиденциальности, организации и восстановления.

Но это также делает сид или фразу восстановления чрезвычайно чувствительными.

Если кто-то получит основную фразу восстановления, он может получить доступ ко всем приватным ключам, созданным из нее.

Не следует считать, что сокрытие одного приватного ключа защитит весь кошелек, если фраза восстановления раскрыта.

Импорт приватного ключа и восстановление кошелька

Импорт приватного ключа не всегда равен восстановлению кошелька по фразе восстановления.

При импорте приватного ключа кошелек получает контроль над одним конкретным ключом или адресом.

При восстановлении фразы восстановления кошелек может повторно сгенерировать множество ключей и адресов из сида.

Импорт приватного ключа может быть полезен для восстановления одного аккаунта.

Но он также может вызвать путаницу, если пользователь ожидает, что импортированный приватный ключ восстановит каждый адрес исходного кошелька.

Некоторые кошельки поддерживают импорт приватных ключей.

Некоторые кошельки поддерживают только фразы восстановления.

Некоторые кошельки используют пути деривации, из-за которых восстановленные балансы могут выглядеть отсутствующими, пока не будет выбран правильный путь.

Пользователи должны понимать, импортируют ли они один ключ, восстанавливают сид или открывают зашифрованный файл кошелька.

Это разные действия восстановления с разными последствиями для безопасности.

Перевод средств с приватного ключа и импорт

Перевод средств с приватного ключа означает перемещение средств с этого приватного ключа на новый адрес кошелька, контролируемый другим ключом.

Импорт приватного ключа означает добавление этого приватного ключа в кошелек, чтобы его можно было использовать в нем.

Перевод средств часто безопаснее, если старый приватный ключ мог быть раскрыт.

После перевода средства больше не зависят от старого скомпрометированного ключа.

При импорте средства могут остаться под контролем того же старого приватного ключа.

Если старый ключ был скопирован, раскрыт или создан небезопасно, импорт в новое приложение не устраняет риск.

Например, если приватный ключ бумажного кошелька был показан другому человеку, его импорт в мобильный кошелек не устранит риск.

Более безопасный вариант обычно заключается в создании нового защищенного кошелька и переводе средств.

При перемещении средств также следует учитывать сетевые комиссии и разрешения токенов.

Цель — не только вернуть доступ, но и восстановить безопасный контроль.

Приватные ключи горячих кошельков

Горячий кошелек подключен к интернету или используется на устройстве, подключенном к интернету.

Горячие кошельки удобны для ежедневных транзакций, DeFi, NFT, Web3-приложений и небольших балансов.

Однако приватные ключи горячих кошельков подвержены более высокому риску раскрытия, поскольку устройство может быть атаковано вредоносным ПО, фишинговыми страницами, вредоносными расширениями браузера, поддельными приложениями кошелька или программами для подмены данных буфера обмена.

Горячий кошелек может подходить для средств, используемых для расходов.

Обычно это не самое безопасное место для крупных долгосрочных активов.

Пользователям следует относиться к горячим кошелькам как к повседневным кошелькам.

В них следует держать только сумму, необходимую для обычной активности.

Для рискованных dApp, тестирования и долгосрочного хранения следует использовать отдельные кошельки.

Также необходимо регулярно проверять разрешения токенов.

Если приватный ключ горячего кошелька мог быть раскрыт, немедленно переведите активы в новый защищенный кошелек.

Приватные ключи холодных кошельков

Холодный кошелек хранит приватные ключи офлайн или изолированно от сред, подключенных к интернету.

Аппаратные кошельки, офлайн-устройства для подписи, компьютеры с воздушным зазором и бумажные резервные копии могут быть частью схем холодного хранения.

Холодное хранение полезно, поскольку интернет-злоумышленникам сложнее получить доступ к приватному ключу.

Однако холодное хранение также связано с рисками.

Фразу восстановления могут украсть физически.

Пользователь может потерять резервную копию.

Пользователь может подписать вредоносную транзакцию, не понимая ее.

Цепочка поставок устройства может быть атакована, если устройство куплено у ненадежного источника.

Пользователя могут обманом заставить ввести сид-фразу на поддельном сайте обновления.

Холодное хранение снижает онлайн-риски, но не отменяет необходимость тщательной проверки.

Защищенная схема холодного кошелька оберегает как приватный ключ, так и метод восстановления.

Приватные ключи аппаратных кошельков

Аппаратный кошелек предназначен для хранения приватных ключей в специальном устройстве подписи.

При обычном использовании приватный ключ не должен покидать аппаратный кошелек.

Подключенный компьютер или телефон подготавливает неподписанную транзакцию.

Аппаратный кошелек отображает сведения о транзакции и запрашивает одобрение пользователя.

Устройство внутренне подписывает транзакцию и возвращает подпись.

Это защищает приватный ключ от многих онлайн-атак.

Однако аппаратный кошелек не является магическим решением.

Пользователи должны проверять адреса и суммы на экране устройства.

Пользователи должны защищать фразу восстановления, созданную во время настройки.

Следует избегать поддельных обновлений прошивки, фальшивых страниц поддержки и неофициальных инструментов восстановления.

Если фраза восстановления украдена, злоумышленнику аппаратный кошелек может вообще не понадобиться.

Кастодиальные кошельки и приватные ключи

В кастодиальном кошельке пользователь не хранит приватные ключи напрямую.

Компания или платформа контролирует приватные ключи от имени пользователя.

Это может упростить восстановление аккаунта, поскольку пользователь может вернуть доступ через проверку личности, электронную почту или поддержку.

Однако это также означает зависимость пользователя от кастодиана.

Кастодиан может заморозить вывод средств, ограничить аккаунты, столкнуться со взломом, стать неплатежеспособным или выполнять юридические предписания.

Кастодиальные кошельки могут быть полезны для начинающих или активной торговли, но они не равны самостоятельному хранению.

При самостоятельном хранении пользователь контролирует приватный ключ или метод восстановления.

При кастодиальном хранении платформа контролирует ключ, а пользователь имеет требование к аккаунту.

Перед выбором места хранения средств пользователям следует понимать, какую модель они используют.

Контроль приватного ключа определяет разницу между прямым правом владения и управляемым платформой доступом.

Смарт-контрактные кошельки и приватные ключи

Смарт-контрактные кошельки могут использовать приватные ключи иначе, чем традиционные кошельки.

Традиционный внешний аккаунт обычно контролируется одним приватным ключом.

Смарт-контрактный кошелек может определять пользовательские правила для подписания, восстановления, расходования средств или одобрения действий.

В официальном руководстве Ethereum по абстракции аккаунта объясняется, что смарт-контрактные кошельки могут поддерживать гибкие функции безопасности, например восстановление аккаунта и пользовательскую логику проверки.

Смарт-контрактный кошелек может использовать один ключ владельца, несколько ключей подписантов, хранителей, сессионные ключи, лимиты расходов или задержки восстановления.

Это может улучшить безопасность и пользовательский опыт.

Но также может создать новую сложность.

Пользователи должны понимать разрешения каждого ключа.

Скомпрометированный сессионный ключ может иметь ограниченные полномочия при грамотной конструкции.

Скомпрометированный ключ владельца все равно может представлять серьезную проблему.

Смарт-контрактный кошелек может снизить риск одного ключа, но только если его правила безопасны и понятны.

Приватные ключи мультисиг-кошельков

Мультисиг-кошелек требует нескольких приватных ключей для одобрения транзакции.

Например, схема мультиподписи 2 из 3 требует любые два из трех ключей подписантов.

Такая конструкция может защищать от потери одного ключа или компрометации одного ключа.

Она распространена среди DAO, компаний, семейного хранения, казначейств и для хранения крупных активов.

Однако мультиподпись не устраняет ответственность за приватные ключи.

Каждый ключ подписанта все равно должен быть защищен.

Конфигурация кошелька также должна быть сохранена в резервной копии.

Если потеряно слишком много ключей, средства могут стать недоступными.

Если украдено достаточное количество ключей, средства могут быть выведены.

Мультиподпись повышает устойчивость, если подписанты разделены, все документировано и участники обучены.

Она дает сбой, когда все ключи хранятся вместе или никто не понимает процесс восстановления.

MPC-кошельки и доли приватных ключей

MPC означает многосторонние вычисления.

В системах MPC-кошельков право подписи может быть разделено на несколько долей ключа вместо хранения одного полного приватного ключа в одном месте.

Кошелек может создавать подписи посредством координированного процесса без восстановления полного приватного ключа в одном месте.

Это может сократить риск раскрытия приватного ключа в единой точке.

Это также может улучшить институциональное хранение, подключение без сид-фразы и одобрения на основе политик.

Однако у систем MPC есть собственные предположения о доверии.

Пользователи могут зависеть от поставщиков ПО, устройств, облачных аккаунтов, сервисов восстановления или проверки личности.

Если процесс восстановления неясен, пользователи могут не понимать, что произойдет при потере устройства.

Если поставщик прекратит работу, восстановление по политике может быть сложным в зависимости от конструкции системы.

MPC снижает некоторые риски приватных ключей, но заменяет их рисками дизайна системы и поставщика.

Приватные ключи и восстановление кошелька

Приватный ключ может использоваться для восстановления доступа к конкретному адресу или аккаунту, который он контролирует.

Фраза восстановления может восстановить множество приватных ключей, если кошелек является детерминированным.

Файл хранилища ключей может восстановить приватный ключ только при наличии правильного пароля.

Фраза восстановления аппаратного кошелька может воссоздать приватные ключи на новом устройстве.

Смарт-контрактный кошелек может восстанавливать доступ через хранителей или другие запрограммированные правила.

Пользователи должны записывать, какую модель восстановления использует их кошелек.

Не следует считать, что все кошельки восстанавливаются одинаково.

Если у пользователя есть только один приватный ключ, он может восстановить только один аккаунт.

Если у пользователя есть фраза восстановления, для отображения правильных адресов могут потребоваться верный путь деривации и парольная фраза.

Восстановление кошелька следует тщательно тестировать с небольшими суммами или безопасными методами проверки до того, как от него будут зависеть крупные средства.

Рекомендации по хранению приватных ключей

Для долгосрочных активов приватные ключи следует по возможности хранить офлайн.

Не сохраняйте приватные ключи на скриншотах.

Не сохраняйте приватные ключи в черновиках электронных писем.

Не сохраняйте приватные ключи в облачных документах.

Не отправляйте приватные ключи через чат-приложения.

Не печатайте приватные ключи на общедоступных принтерах.

Не вводите приватные ключи на сайтах.

Избегайте расширений браузера, запрашивающих ключевые данные.

Для значительных балансов используйте надежные кошельки, аппаратные кошельки или схемы мультиподписи.

Храните резервные копии в защищенных физических местах.

Защищайте резервные копии от пожара, наводнения, кражи, случайной утилизации и непонимания со стороны членов семьи.

Лучший план хранения приватного ключа одновременно сохраняет секретность и возможность восстановления.

Ошибки резервного копирования приватного ключа

Распространенная ошибка — создать только одну резервную копию и хранить ее в одном месте.

Пожар, наводнение, переезд или кража могут уничтожить такую копию.

Другая ошибка — создавать слишком много незащищенных копий.

Каждая копия создает новую возможность кражи.

Еще одна ошибка — хранить приватный ключ вместе с устройством, которое он защищает.

Если вор найдет и то и другое, кошелек может быть опустошен.

Еще одна ошибка — слишком явно маркировать резервную копию.

Лист с надписью «приватный ключ криптовалюты» может привлечь внимание.

Еще одна ошибка — создать резервную копию, которую не смогут понять наследники.

Наследование криптовалюты терпит неудачу, когда инструкции по восстановлению либо слишком раскрыты, либо слишком скрыты.

Хороший план резервного копирования сочетает секретность, долговечность, восстановление и наследование.

Что произойдет при потере приватного ключа?

При потере приватного ключа результат зависит от наличия другого метода восстановления.

Если у пользователя есть фраза восстановления, приватный ключ может быть повторно сгенерирован.

Если у пользователя есть резервная копия аппаратного кошелька, кошелек можно восстановить на другом устройстве.

Если у пользователя есть необходимое количество ключей мультиподписи, средства все еще можно переместить оставшимися ключами.

Если у пользователя есть процесс восстановления смарт-контрактного кошелька, хранители могут помочь вернуть доступ.

Если метода восстановления нет, активы могут стать недоступными навсегда.

Блокчейн-сети обычно не могут сбросить приватные ключи.

Валидаторы и майнеры обычно не могут перемещать средства без действительной подписи.

Компании-кошельки не могут восстановить кошелек самостоятельного хранения, если они никогда не имели ключей.

Поэтому планы восстановления нужно создавать до того, как они понадобятся.

Потерю приватного ключа легче предотвратить, чем исправить.

Что произойдет при краже приватного ключа?

Если приватный ключ украден, кошелек следует считать скомпрометированным навсегда.

Смена пароля приложения кошелька не устраняет проблему украденного приватного ключа.

Перенос приватного ключа в новое приложение кошелька также не решает проблему.

Злоумышленник все еще может использовать тот же приватный ключ.

Наиболее безопасное действие обычно заключается в создании полностью нового кошелька с новым приватным ключом или фразой восстановления и немедленном переводе оставшихся активов.

Пользователям также следует по возможности отозвать рискованные разрешения токенов.

Однако отзыв разрешений не возвращает уже переведенные средства.

В рекомендациях FTC по мошенничеству с криптовалютой предупреждается, что мошеннические платежи в криптовалюте часто трудно вернуть после отправки.

После кражи пользователям следует собрать хеши транзакций, адреса, URL-адреса, скриншоты и записи коммуникаций.

Они могут сообщить об инциденте, но должны быть осторожны с поддельными сервисами восстановления, обещающими гарантированный результат.

Мошенничество с приватными ключами

Мошенничество с приватными ключами распространено, поскольку мошенники знают, что один секрет может контролировать кошелек.

Поддельный сотрудник поддержки может попросить пользователя «проверить» кошелек приватным ключом.

Фальшивая страница аирдропа может попросить импортировать ключ для получения вознаграждения.

Поддельный инструмент восстановления может попросить ввести приватный ключ для возврата пропавших средств.

Поддельное предупреждение о безопасности может утверждать, что кошелек необходимо синхронизировать с приватным ключом.

Фальшивый торговый бот может запрашивать доступ к приватному ключу для автоматизации прибыли.

Поддельный кроссчейн-мост может просить приватные ключи для разблокировки активов.

Все это опасно.

Ни одному обычному dApp не нужен приватный ключ пользователя.

Ни одному настоящему аирдропу не нужен приватный ключ.

Ни один законный процесс клиентской поддержки не должен запрашивать приватный ключ.

Если сайт запрашивает приватный ключ кошелька, наиболее безопасно предположить, что он пытается украсть кошелек.

Приватные ключи и разрешения токенов

Приватный ключ подписывает транзакции, но не каждое опасное действие с кошельком является прямым переводом.

Некоторые транзакции разрешают смарт-контракту расходовать токены позднее.

Это распространено в DeFi, NFT-маркетплейсах, мостах, играх и приложениях стейкинга.

Если пользователь подпишет вредоносное разрешение приватным ключом, злоумышленник может перевести одобренные токены без повторного использования приватного ключа.

Это означает, что безопасность приватного ключа включает безопасность подписей.

Приватный ключ не должен подписывать действия, которых пользователь не понимает.

Необходимо тщательно проверять получателей разрешений токенов, суммы, контракты, сети и запросы кошелька.

Для рискованных dApp следует использовать отдельные кошельки.

По возможности отзывайте ненужные разрешения.

Приватный ключ может оставаться секретным, но пользователь все равно может потерять средства из-за неудачной подписи.

Защищать ключ необходимо, но также необходимо читать то, что он подписывает.

Приватные ключи и подписание сообщений

Подписание сообщений позволяет кошельку доказать контроль без отправки ончейн-транзакции.

Приватный ключ подписывает сообщение, а проверяющая сторона проверяет подпись.

Это может использоваться для входа через кошелек, подтверждения личности, голосования DAO, списков разрешенных адресов и офчейн-авторизации.

EIP-4361, также известный как Sign-In with Ethereum, определяет стандартный формат сообщения для аутентификации через кошелек.

Подписание сообщений может быть безопасным, если сообщение понятно и ограничено.

Оно может быть опасным, когда пользователи подписывают нечитаемые или вредоносные сообщения.

Некоторые подписи могут авторизовать permit токенов, ордера на маркетплейсах, делегирование или разрешения аккаунта.

Не следует считать каждую подпись сообщения безвредной.

Приватный ключ остается секретным при подписании, но подписанное сообщение все равно может иметь последствия.

Безопасная привычка — читать каждое сообщение и отклонять все непонятное или неожиданное.

Приватные ключи и расширения браузера

Кошельки в виде расширений браузера упрощают использование Web3, но также увеличивают риск раскрытия приватного ключа, если пользователь устанавливает небезопасное ПО.

Законное расширение кошелька может хранить зашифрованные ключевые данные локально и запрашивать пароль для разблокировки.

Вредоносное расширение может красть приватные ключи, подменять адреса, внедрять поддельные запросы или отслеживать буфер обмена.

Устанавливайте расширения кошелька только из официальных источников.

Удаляйте расширения, которыми не пользуетесь.

Избегайте неизвестных расширений, обещающих бесплатные токены, торговые сигналы, восстановление кошелька или получение NFT.

Поддерживайте браузеры в актуальном состоянии.

Рассмотрите использование отдельного профиля браузера для криптоактивности.

Для более крупных балансов рассмотрите аппаратные кошельки или мультиподпись, а не полагайтесь только на горячий кошелек-расширение.

Браузер может быть удобным шлюзом в Web3, но также является распространенной поверхностью атаки.

Приватные ключи и мобильные кошельки

Мобильные кошельки удобны, поскольку позволяют отправлять, получать и подписывать транзакции с телефона.

Однако безопасность приватного ключа в мобильном кошельке зависит от устройства, операционной системы, приложения кошелька, метода резервного копирования, блокировки экрана, риска вредоносного ПО и настроек облака.

Украденный телефон не обязательно раскрывает кошелек, если кошелек зашифрован, а фраза восстановления защищена.

Украденная фраза восстановления может раскрыть кошелек, даже если телефон остается в безопасности.

Используйте надежную блокировку устройства.

Не устанавливайте приложения кошельков из неофициальных источников.

Не храните фразы восстановления в фотографиях или заметках.

Будьте осторожны с демонстрацией экрана, инструментами удаленной поддержки и разрешениями буфера обмена.

Используйте в мобильных горячих кошельках небольшие суммы для повседневного использования.

Мобильные кошельки полезны, но их не следует считать безрисковыми хранилищами.

Приватные ключи и бумажные кошельки

Бумажный кошелек — это физическая запись приватного ключа, фразы восстановления или секрета кошелька.

Бумажные кошельки были более распространены на ранних этапах развития криптовалют, но могут быть рискованными для начинающих.

Бумажный кошелек может быть создан небезопасно.

Его могут распечатать на скомпрометированном принтере.

Он может быть поврежден водой, огнем, солнечным светом или временем.

Его могут случайно выбросить.

Его могут сфотографировать или скопировать находящиеся рядом люди.

Его также могут неправильно использовать при восстановлении.

Если пользователь импортирует приватный ключ бумажного кошелька в горячий кошелек, ключ может быть раскрыт.

Если пользователь переведет средства в новый кошелек, старый ключ больше не будет контролировать переведенные средства.

Бумага может использоваться в качестве материала резервной копии, но не является автоматически безопасной.

Приватные ключи и наследование

Наследование приватного ключа сложно, поскольку ключ должен оставаться секретным при жизни владельца, но быть восстанавливаемым после его смерти или утраты дееспособности.

Если приватный ключ слишком легко найти, его могут найти воры.

Если он слишком хорошо спрятан, наследники могут никогда не восстановить активы.

Если наследники не понимают криптовалюту, они могут ввести ключ на мошенническом сайте.

Хороший план наследования может включать юридические документы, доверенных исполнителей, мультиподпись, аппаратные кошельки, запечатанные инструкции или профессиональное планирование наследства.

План должен объяснять, что существует, не раскрывая секрет слишком рано.

Он также должен объяснять, какое ПО кошелька, сеть, парольная фраза или настройка мультиподписи необходимы.

Планирование наследования является частью безопасности приватного ключа.

Кошелек, который понимает только владелец, может быть утрачен навсегда после его смерти.

Долгосрочное хранение требует и секретности, и преемственности.

Признаки возможной компрометации приватного ключа

Приватный ключ может быть скомпрометирован, если активы перемещаются без одобрения пользователя.

Он может быть скомпрометирован, если пользователь ввел его на сайте.

Он может быть скомпрометирован, если фраза восстановления хранилась в облачном хранилище, которое взломали.

Он может быть скомпрометирован, если на устройстве подписи было обнаружено вредоносное ПО.

Он может быть скомпрометирован при использовании поддельного приложения кошелька.

Он может быть скомпрометирован, если незнакомый человек увидел или сфотографировал резервную копию.

Он может быть скомпрометирован, если сид-фразу аппаратного кошелька ввели на компьютере.

Он может быть скомпрометирован, если бумажная резервная копия была потеряна или вскрыта.

Он может быть скомпрометирован, если тот же ключ был создан подозрительным инструментом.

Если компрометация возможна, не следует слишком долго сомневаться.

Создайте новый защищенный кошелек и переведите оставшиеся активы, если это еще возможно.

Как реагировать на утечку приватного ключа

Первый шаг — прекратить использовать скомпрометированный кошелек для дальнейшего хранения.

Второй шаг — создать новый кошелек с использованием надежного ПО или аппаратного устройства.

Третий шаг — безопасно создать офлайн-резервную копию нового метода восстановления.

Четвертый шаг — перевести оставшиеся активы из скомпрометированного кошелька в новый.

Пятый шаг — проверить токены, NFT, позиции стейкинга, депозиты DeFi и доступные для получения вознаграждения.

Шестой шаг — по возможности отозвать ненужные разрешения.

Седьмой шаг — прекратить использовать устройство или ПО, которые могли вызвать утечку, пока они не будут очищены или заменены.

Восьмой шаг — задокументировать произошедшее для предотвращения подобных случаев в будущем.

После вывода средств не отправляйте их обратно в скомпрометированный кошелек.

Утекший приватный ключ нельзя снова сделать секретным.

Распространенные ошибки с приватными ключами кошелька

Одна распространенная ошибка — хранить приватные ключи на скриншотах.

Другая ошибка — сохранять приватные ключи в облачных заметках.

Еще одна ошибка — отправлять приватные ключи через приложения для обмена сообщениями.

Еще одна ошибка — использовать онлайн-генераторы приватных ключей.

Еще одна ошибка — импортировать старые раскрытые ключи вместо перевода средств в новый кошелек.

Еще одна ошибка — путать пароль кошелька с приватным ключом.

Еще одна ошибка — считать, что служба поддержки может восстановить утерянный приватный ключ самостоятельного хранения.

Еще одна ошибка — использовать один горячий кошелек для всего.

Еще одна ошибка — подписывать транзакции, не читая запросы кошелька.

Еще одна ошибка — делиться записями экрана, раскрывающими секреты кошелька.

Большинство потерь приватных ключей связано с поведением людей, а не с неисправной криптографией.

Преимущества контроля приватного ключа кошелька

Первое преимущество — самостоятельное хранение.

Пользователи могут напрямую контролировать активы без зависимости от кастодиана при одобрении вывода средств.

Второе преимущество — доступ без разрешений.

Пользователи могут взаимодействовать с поддерживаемыми блокчейн-сетями и dApp через собственный кошелек.

Третье преимущество — переносимость.

Пользователи могут восстановить доступ в совместимых кошельках при наличии правильного метода восстановления.

Четвертое преимущество — устойчивость к цензуре.

Пользователи меньше зависят от одного корпоративного аккаунта, когда контролируют ключ подписи.

Пятое преимущество — идентичность Web3.

Приватный ключ может подписывать сообщения, подтверждающие владение адресом.

Шестое преимущество — контроль активов.

Пользователи могут хранить монеты, токены, NFT и ончейн-позиции в собственном кошельке.

Седьмое преимущество — финансовая независимость.

Пользователи могут напрямую управлять криптоактивами, если понимают риски.

Риски контроля приватного ключа кошелька

Первый риск — безвозвратная потеря.

Если ключ и метод восстановления утеряны, активы могут стать недоступными навсегда.

Второй риск — кража.

Если ключ раскрыт, средства могут быть быстро украдены.

Третий риск — фишинг.

Поддельные сайты могут обманом заставить пользователей раскрыть ключи или подписать вредоносные действия.

Четвертый риск — вредоносное ПО.

Скомпрометированные устройства могут красть приватные ключи или изменять транзакции.

Пятый риск — ненадежные резервные копии.

Резервная копия может оказаться бесполезной из-за повреждения, кражи, путаницы или отсутствующей парольной фразы.

Шестой риск — сбой наследования.

Наследники могут не суметь восстановить активы без четкого плана.

Седьмой риск — чрезмерная уверенность.

Пользователи могут считать самостоятельное хранение безопасным лишь потому, что у них есть ключ, игнорируя операционную безопасность.

Контроль приватного ключа дает большие возможности, но требует дисциплины.

Приватный ключ кошелька простыми словами

Приватный ключ кошелька — это секрет, позволяющий кошельку подписывать транзакции.

Он контролирует возможность расходовать криптовалюту с соответствующего адреса или аккаунта.

Публичный ключ помогает проверять подписи.

Адрес кошелька получает средства.

Фраза восстановления может восстановить приватные ключи.

Пароль может только разблокировать приложение кошелька на одном устройстве.

Если кто-то получит ваш приватный ключ, он может перевести ваши средства.

Если вы потеряете приватный ключ без резервной копии, вы можете навсегда потерять доступ.

Главное правило для начинающих простое.

Никогда не передавайте приватный ключ кошелька, никогда не вводите его на случайных сайтах и всегда поддерживайте надежный план восстановления.

FAQ

Что такое приватный ключ кошелька?

Приватный ключ кошелька — это секретный криптографический ключ, используемый для подписания транзакций и контроля активов, связанных с адресом или аккаунтом криптокошелька.

Приватный ключ — это то же самое, что пароль?

Нет. Пароль кошелька может разблокировать приложение, а приватный ключ может авторизовать блокчейн-транзакции.

Приватный ключ — это то же самое, что фраза восстановления?

Нет. Фраза восстановления может генерировать один или множество приватных ключей, тогда как приватный ключ обычно контролирует один аккаунт или адрес.

Приватный ключ — это то же самое, что адрес кошелька?

Нет. Адрес кошелька является публичным и используется для получения средств, тогда как приватный ключ секретен и используется для расходования средств.

Может ли кто-то украсть мою криптовалюту с помощью приватного ключа?

Да. Любой, у кого есть правильный приватный ключ, может подписывать транзакции и переводить активы из кошелька.

Может ли кто-то украсть мою криптовалюту с помощью публичного ключа?

В обычных современных системах кошельков один публичный ключ не должен позволять украсть средства.

Могу ли я изменить приватный ключ?

Нельзя изменить приватный ключ для того же адреса, но можно создать новый кошелек с новым приватным ключом и перевести на него активы.

Что делать, если мой приватный ключ раскрыт?

Следует создать новый защищенный кошелек и как можно скорее перевести оставшиеся активы из скомпрометированного кошелька.

Можно ли восстановить утерянный приватный ключ?

Утерянный приватный ключ можно восстановить только при наличии другого действительного метода восстановления, например фразы восстановления, файла хранилища ключей, резервной копии аппаратного кошелька, необходимого количества ключей мультиподписи или настройки восстановления смарт-контракта.

Следует ли хранить приватный ключ онлайн?

Нет. Хранение приватных ключей в облачном хранилище, электронной почте, на скриншотах или в чат-приложениях создает серьезный риск кражи.

Следует ли когда-либо вводить приватный ключ на сайте?

Не следует вводить приватные ключи на сайтах, поскольку это распространенный способ кражи кошельков мошенниками.

Что такое перевод средств с приватного ключа?

Это перемещение средств со старого приватного ключа в новый кошелек, контролируемый новым приватным ключом.

Что такое импорт приватного ключа?

Импорт означает добавление существующего приватного ключа в приложение кошелька, чтобы оно могло контролировать этот адрес.

Перевод средств безопаснее импорта?

Перевод средств часто безопаснее, когда старый приватный ключ мог быть раскрыт, поскольку средства перемещаются на новый ключ.

Раскрывает ли аппаратный кошелек мой приватный ключ?

При правильном использовании аппаратный кошелек должен сохранять приватный ключ внутри устройства и подписывать транзакции внутренне.

Может ли служба поддержки восстановить мой приватный ключ самостоятельного хранения?

Обычно нет, поскольку настоящий поставщик кошелька самостоятельного хранения не должен иметь доступа к вашему приватному ключу или фразе восстановления.

Может ли смарт-контрактный кошелек снизить риск приватного ключа?

Да. Смарт-контрактный кошелек может добавлять правила восстановления, хранителей, лимиты расходов или механизмы в стиле мультиподписи, но его конструкция все равно должна быть безопасной.

Как лучше всего защитить приватный ключ кошелька?

Наиболее безопасный подход обычно сочетает надежное ПО кошелька, офлайн-резервные копии, аппаратную подпись для крупных балансов, тщательную проверку транзакций и четкий план восстановления.

Заключение

Приватный ключ кошелька — самый важный секрет в криптокошельке самостоятельного хранения.

Это криптографическое право, позволяющее пользователю подписывать транзакции, перемещать активы и подтверждать контроль над блокчейн-аккаунтом.

Он отличается от адреса кошелька, публичного ключа, пароля и фразы восстановления.

Адрес кошелька получает средства.

Публичный ключ помогает проверять подписи.

Пароль может разблокировать локальное приложение.

Фраза восстановления может восстановить один или множество приватных ключей.

Приватный ключ — это секрет, который позволяет расходовать средства.

Эта сила делает самостоятельное хранение ценным, но также делает безопасность приватного ключа не прощающей ошибок.

Если приватный ключ утерян без резервной копии, средства могут стать недоступными навсегда.

Если приватный ключ украден, средства могут быть перемещены без разрешения.

Если пользователь подпишет вредоносное разрешение, средства могут оказаться под угрозой, даже если сам приватный ключ не был прямо раскрыт.

Грамотное управление приватными ключами означает использование надежных кошельков, отказ от раскрытия ключей онлайн, хранение резервных копий офлайн, понимание методов восстановления, разделение горячих и холодных кошельков и чтение запросов кошелька перед подписанием.

Опытные пользователи могут добавить аппаратные кошельки, мультиподпись, смарт-контрактные кошельки, MPC, социальное восстановление или планирование наследования.

Начинающим следует начать с главного правила.

Никогда не передавайте никому свой приватный ключ кошелька или фразу восстановления.

В криптовалюте тот, кто контролирует приватный ключ, контролирует кошелек.