Как настроить дополнительную парольную фразу и обновить схему раз в квартал

Парольную фразу нельзя «сменить» так, как меняют пароль от почты. Новая строка даёт новое зерно, новое зерно — новый набор адресов, и средства приходится переводить транзакцией в сети. Поэтому квартальный регламент строят не вокруг фразы, а вокруг того, что ротируется дёшево: PIN, версия прошивки, список выданных наружу расширенных ключей, места хранения копий и журнал последних осмотров. Саму фразу меняют по событию, а не по календарю.

Под какой сценарий подбирается кошелёк

Идея квартальной ротации приходит из корпоративной практики, где пароли меняли по графику. Перенос этой привычки на кошелёк даёт неожиданный эффект: владелец платит сетевую комиссию, связывает старый и новый наборы адресов одной транзакцией и четыре раза в год проводит операцию, в которой легче всего ошибиться. Защита при этом не растёт.

Регламент нужен другим людям и по другой причине. Тому, кто держит средства годами, нужна уверенность, что копия читается, устройство включается, а фраза записана верно. Это задача осмотра, а не замены. Квартал — хороший интервал для осмотра и плохой для перевыпуска секретов.

Отсюда объект разбора: что в схеме хранения ротируется без движения средств, а что требует транзакции. Граница проходит ровно по тому, участвует ли элемент в выводе ключа. PIN не участвует — его меняют на устройстве за минуту. Фраза участвует. Самостоятельное хранение даёт владельцу полную ответственность, включая ответственность за лишние операции, придуманные из лучших побуждений.

Сравнение элементов схемы: цена ротации

Таблица показывает, что ротируется даром, а что через цепочку.

Руководство NIST SP 800-63B, сверенное по тексту 15 октября 2026 года, формулирует общий принцип прямо: проверяющей стороне не следует требовать произвольной периодической смены памятного секрета, но смена обязательна при признаках компрометации. Для парольной фразы это правило работает с усилением, потому что цена смены здесь не нулевая, а равна полному перемещению средств с комиссией сети и публичным следом в истории.

Что меняется для пользователя при квартальной смене фразы

Из обращений читателей видно три последствия, о которых заранее не думают.

Первое последствие — потеря обособленности. Смысл фразы был в том, что о втором кошельке никто не знает; транзакция между своими адресами публично склеивает оба набора, наблюдатель видит переход, и прежняя отдельность второго кошелька пропадает. Второе — накопление мёртвых записей: старые строки нельзя выбросить, пока вы не уверены, что на прежних адресах не осталось пыли и забытых поступлений, а такая уверенность приходит нескоро.

Третье заметно не сразу. Чем чаще владелец меняет строку, тем короче и привычнее становятся строки, потому что каждую нужно запомнить и записать заново. Квартальная дисциплина незаметно снижает стойкость секрета. Это обратный результат.

Настройка шаг за шагом: квартальный регламент

Порядок рассчитан на час работы раз в три месяца.

1. Включите устройство, введите PIN, введите фразу. Сверьте отпечаток мастер-ключа с записью на листе. Расхождение означает ошибку в записи или подмену устройства — остановитесь и разберитесь до любых операций.
2. Проверьте баланс и историю на первых адресах каждой используемой ветки. Неожиданные поступления отметьте в журнале хранилища, чтобы потом не искать их по памяти.
3. Смените PIN. Операция локальная, средства не двигаются, а привычка менять PIN закрывает риск подсмотренного ввода в кафе или у банкомата.
4. Обновите прошивку, если производитель выпустил релиз, и сверьте отпечаток ещё раз после обновления. Совпал — ключи на месте.
5. Проведите ревизию выданных наружу расширенных публичных ключей: какие приложения и люди получали xpub, нужен ли им доступ сейчас, какие копии смотрят на вашу учётную ветку.
6. Осмотрите носители с копиями: читаемость, целость, актуальность отпечатков. Запишите дату осмотра на том же листе.

Резервная копия и проверка восстановления

Квартальный осмотр тем и ценен, что ловит тихую порчу копии. Бумага выцветает, чернила расплываются от влажности, металлические пластины гнутся, а запись, сделанная наспех, через полгода читается двояко: где была заглавная буква, был ли пробел между словами, не дописал ли кто-то лишний символ сверху.

Проверка не требует перевода средств. Введите мнемонику и фразу на втором устройстве, сверьте отпечаток, удалите кошелёк с проверочного устройства. Сверка идёт по восьми знакам отпечатка — по BIP-32 это первые 32 бита идентификатора расширенного ключа. Расширенный публичный ключ в мультиподписи устроен так же, поэтому приём переносится и на схемы с несколькими подписантами.

Типовые ошибки, которые стоят денег

• Смена фразы без перевода средств. Старый кошелёк остаётся с деньгами, новая строка открывает пустой.
• Перевод всей суммы одной транзакцией в день смены. Ошибка в адресе получателя не отменяется.
• Уничтожение прежней записи сразу после перевода. Возврат от контрагента приходит на старый адрес и становится недоступен.
• Упрощение строки ради запоминания. Четыре смены за год приводят к строке из одного слова.
• Осмотр без сверки отпечатка. Баланс в приложении-наблюдателе показывает чужую ветку, а не ваш кошелёк.

Последний пункт встречается у тех, кто смотрит баланс в стороннем приложении по импортированному xpub. Приложение покажет суммы, даже если устройство давно открывает другой кошелёк, и владелец три квартала подряд будет уверен, что проверил схему, хотя настоящей сверки не было ни одной. Сверка идёт на экране устройства, а не на экране телефона.

Что делать при утере доступа

Если фраза утрачена между осмотрами, работает правило разделения: мнемоника цела — основной кошелёк доступен, защищённая ветка нет. Восстановление строки возможно, когда помните её структуру и набор слов. Перебор вслепую не имеет смысла.

Если утрачена актуальная строка, но сохранилась предыдущая, проверьте прежние адреса — при неполном переводе часть средств могла остаться там. Для долгих горизонтов хранения этот риск снижают заранее: режим хранения активов на годы предполагает журнал операций, где отмечена каждая смена схемы с датой и отпечатком.

Чек-лист квартала

• Отпечаток мастер-ключа сверен на экране устройства.
• Балансы и история проверены по каждой используемой ветке.
• PIN сменён, новый записан отдельно от фразы.
• Прошивка доведена до актуальной версии, отпечаток после обновления совпал.
• Список выданных наружу xpub пересмотрен, лишние доступы сняты.
• Носители с копиями осмотрены, дата осмотра записана.
• Фраза не менялась без события — компрометации или подозрения на неё.

Если решение о смене строки всё же принято, относитесь к нему как к миграции, а не как к настройке. Порядок тот же, что при переходе на новое железо: 24 слова восстановления берутся из энтропии и контрольной суммы, и это единственная часть схемы, у которой проверка встроена внутрь.

Частые вопросы