Выделить отдельное устройство под криптооперации и оценить остаточный риск нужно по измеримому признаку, а не по ощущению защищённости. Признак такой: доля операций, прошедших в обход выделенного аппарата. Посчитайте за квартал, сколько транзакций вы подписали с обычного телефона «потому что было некогда», и разделите на общее число. Эта дробь описывает ваш остаток риска точнее любого перечня угроз.

Доля обхода — это отношение числа операций, выполненных вне выделенного устройства, к общему числу операций за период; она показывает, какая часть изоляции существует лишь на бумаге.

Как выглядит обход со стороны владельца

Обход никогда не выглядит нарушением. Он выглядит разумным исключением. Аппарат остался дома, перевод нужен сегодня, суммы небольшие, а кошелёк с теми же ключами давно стоит на обычном телефоне — потому что когда-то его поставили туда «только для просмотра баланса».

Дальше работает привычка. Первое исключение проходит без последствий, второе делается легче, третье уже не воспринимается исключением, и через полгода выделенный аппарат включается ради редких крупных операций, а повседневный поток идёт через обычный телефон с теми же ключами. Изоляция формально есть. Фактически её доля — меньше половины.

Из редакционной практики: именно обход, а не экзотические атаки, стоит за большинством потерь у людей, которые считали себя подготовленными. Техника была верной. Дисциплина — нет.

Как выделить отдельное устройство под криптооперации и оценить остаточный риск по таблице угроз

Угроза Действие выделенного аппарата Что остаётся Чем закрывать остаток
Похититель данных из браузера или заражённое приложение. Снимает: подписывающего ключа в этом окружении нет. Риск возвращается при любой подписи с обычного телефона. Снижать долю обхода до нуля.
Подмена адреса получателя в буфере обмена. Снижает: адрес сверяется на экране устройства. Согласие владельца, не читавшего экран. Привычка читать первые и последние знаки адреса.
Внецепочечная подпись разрешения, выданная ранее. Не трогает: подпись действует независимо от нового аппарата. Право расходования у постороннего адреса. Перевод активов на адреса без выданных разрешений.
Принуждение, кража аппарата с вводом пароля. Не трогает: изоляция не защищает от физического давления. Полный доступ к остатку на устройстве. Разделение остатков по контурам и порог подписей.
Утрата резервной копии вместе с устройством. Не трогает, иногда усугубляет. Невозможность восстановить доступ. Копия отдельно от аппарата, проверка восстановления.

Строки таблицы читаются как перечень задач. Первые две полностью управляются дисциплиной владельца, а последние три закрываются схемой хранения и ничем иным.

Проверка за 60 секунд: что открыть и на что смотреть

  1. Откройте историю операций за квартал и отметьте те, что подписаны не на выделенном аппарате.
  2. Посчитайте долю обхода по числу операций, затем отдельно по сумме. Вторая цифра обычно хуже первой.
  3. Проверьте, стоит ли на обычном телефоне кошелёк с теми же ключами. Если стоит, обход неизбежен.
  4. Откройте список действующих разрешений на расходование и отметьте выданные до перехода на отдельный аппарат.
  5. Убедитесь, что резервная копия лежит не рядом с устройством и проверялась в этом году.
Схема из пяти шагов: разметка операций за квартал, расчёт доли обхода по числу и по сумме, поиск дублирующего кошелька на телефоне, ревизия разрешений, проверка резервной копии
Схема из пяти шагов: разметка операций за квартал, расчёт доли обхода по числу и по сумме, поиск дублирующего кошелька на телефоне, ревизия разрешений, проверка резервной копии
Расширение ERC-2612 со статусом Final позволяет выдать разрешение внецепочечной подписью с полем срока, и это поле допускает максимальное значение, при котором разрешение не истекает практически никогда, а предъявить подпись контракту имеет право любой адрес. NIST SP 800-63B-4 от августа 2025 года требует для уровня AAL3 непередаваемого приватного ключа и аппаратно изолированного окружения. Данные по текстам стандартов на 14 октября 2026 года.

Первое требование объясняет третью строку таблицы. Переход на отдельный аппарат не отменяет подписей, выданных до него, и остаточный риск здесь закрывается только переводом активов на адреса, для которых таких подписей не существует.

Пошаговые действия, если доля обхода велика

Начните с причины, а не с укоров себе. Обход возникает там, где у него есть дешёвая альтернатива: дубль кошелька на телефоне, забытый дома аппарат, долгая процедура подписи с поиском кабеля и обновлением приложения. Уберите альтернативу — и доля упадёт сама.

Порядок работ выглядит так. Первое: удалите с обычного телефона кошельки, работающие с тем же деревом ключей. Второе: заведите отдельный горячий кошелёк с суммой на неделю расходов, с собственными ключами и собственным семенем, которому обход выделенного аппарата не требуется. Третье: сократите время подписи на выделенном аппарате — зарядка, кабель, обновлённое приложение, записанный порядок действий. Четвёртое: раз в квартал считайте долю обхода и записывайте её рядом с журналом проверок.

Горячий кошелёк с собственными ключами — не послабление, а инструмент снижения обхода. Ошибкой будет создать его из того же семени: тогда компрометация телефона затронет холодный остаток, и смысл разделения исчезнет. Разные деревья ключей обязательны, иначе удобство покупается ценой всей схемы.

Как закрыть дыру, чтобы не повторилось

Остаточный риск удобно вести как короткий список с цифрами, который пересматривается по графику. В нём четыре строки: доля обхода за квартал, число действующих разрешений, дата последней проверки резервной копии, время восстановления доступа в часах. Все четыре строки измеримы в числах, и каждая из них говорит о фактическом положении дел больше, чем общее рассуждение о безопасности на две страницы текста.

Отдельно стоит записать, какие угрозы вы сознательно не закрываете. Принуждение закрывается разделением остатков, а не изоляцией; ошибка в адресе — привычкой читать экран; отказ службы наблюдения — второй точкой. Как действовать, если средства уже ушли, мы разбирали в материале о том, как проследить движение украденных средств и оценить остаточный риск.

Чек-лист

  • Доля обхода посчитана за квартал по числу операций и по сумме.
  • На обычном телефоне нет кошельков с тем же деревом ключей.
  • Горячий кошелёк создан из отдельного семени, а не из основного.
  • Время подписи на выделенном аппарате сокращено до минут.
  • Список действующих разрешений пройден, выданные ранее обнулены.
  • Резервная копия хранится отдельно от аппарата и проверена в этом году.
  • Непокрытые угрозы выписаны отдельно и приняты сознательно.

Материалы по теме:

Частые вопросы

Какая доля обхода считается допустимой?

Целевое значение — ноль для холодного контура и любое удобное для горячего, где лежит сумма на неделю расходов. Если операции с основным остатком уходят мимо выделенного аппарата хотя бы раз в месяц, изоляция работает вполсилы, и дешевле убрать дублирующий кошелёк с телефона, чем годами полагаться на собственную дисциплину.

Почему отдельное устройство не снимает риск выданных разрешений?

Потому что разрешение живёт в контракте или в подписанном сообщении, а не на вашем аппарате. Смена устройства меняет место хранения подписывающего ключа и ничего не меняет в правах расходования, которые вы раздали кому-то до этого перехода. Остаток риска закрывается обнулением разрешений и переводом активов на адреса без выданных прав.

Как измерить время восстановления доступа?

Проведите репетицию и засеките по часам: от момента, когда вы решили восстановиться, до первого показанного адреса на чистом устройстве. Учтите дорогу до хранилища копии. Полученное число и есть ваш срок без доступа к средствам в случае утраты аппарата, и на практике оно почти всегда оказывается заметно больше ожидаемого владельцем.

Обязательно ли считать долю обхода, если операций мало?

При двух-трёх операциях в квартал считайте долю по сумме, а не по числу операций: одна подпись с обычного телефона способна охватить большую часть вашего остатка и обнулить всю схему. Записывайте каждый случай обхода отдельной строкой с причиной — через год список причин покажет, что именно нужно поправить в процедуре.

Вердикт

Остаточный риск после выделения устройства определяется не длинным перечнем угроз, а одной дробью, которую владельцы обычно не считают вовсе: какая часть операций прошла мимо изолированного аппарата. Угрозы в этом перечне почти неподвижны, а доля обхода меняется каждый месяц и зависит только от вас. Уберите дублирующий кошелёк с телефона, заведите горячий контур с отдельными ключами — и дробь пойдёт вниз без усилий воли.

Первоисточники короткие и полезные: механика внецепочечных разрешений в расширении ERC-2612 и требования к изолированному окружению в NIST SP 800-63B-4.

Разборы схем изоляции и оценки риска выходят в Telegram-канале Cryptium.