Настроить дополнительную парольную фразу после подозрительной активности — значит сначала понять, что именно попало в чужие руки, и лишь потом выбирать инструмент. Новая фраза спасает кошелёк, если слова целы, а утекла строка или подсмотрен экран. Если же утекли сами слова, фраза не лечит: она лишь отложит потерю. Решение принимается по тому, какой секрет скомпрометирован, и это разные ветки действий с разной ценой.

Разбор компрометации — это сопоставление наблюдаемого признака с перечнем секретов, которые могли его вызвать, с последующим выбором минимального действия, закрывающего весь перечень, а не отдельный признак.

Что считать подозрительной активностью и что она значит для ключей

Признаки делятся на три группы, и каждая из них говорит о разном объёме утраченного контроля, поэтому смешивать их в одном списке дел не стоит. Движение средств без вашего участия. Доступ к окружению: взломанная почта, установленное расширение в браузере, чужая сессия в облаке. И физическое событие: пропавший конверт, вскрытый сейф, ремонт телефона у неизвестного мастера.

Первая группа означает завершённую утечку, и фраза здесь уже не инструмент защиты, а инструмент организации нового хранилища. Вторая и третья группы означают вероятную утечку, где время ещё есть: доступ к окружению и физическое событие создают возможность утечки, но не доказывают её свершившийся характер. Разница в сутках. Иногда в часах.

Из обращений читателей видно, что чаще всего поводом становится мелкое поступление на адрес, которым давно не пользовались. Такое поступление само по себе не означает взлома: это приём отслеживания, разобранный в материале про распознавание пылевой атаки на кошелёк. Пугаться рано. Паника вредит. Но ветку после такого поступления стоит считать известной посторонним.

Разбор по утечке: что скомпрометировано и какое решение закрывает

Таблица ниже отвечает на единственный вопрос, от которого зависит весь дальнейший порядок действий: достаточно ли новой строки при сохранных словах или инцидент требует перехода на новый корень и новое устройство. Ошибка в выборе стоит денег. Либо недели лишней работы.

Что попало в чужие руки Что уже доступно атакующему Минимальное решение Чего делать нельзя
Только парольная фраза, слова не раскрывались Половина доступа: без записи слов кошелёк не открывается, и строка сама по себе не ведёт ни к одному адресу вашей ветки. Новая строка и перенос активов в кошелёк за ней. Оставлять средства за прежней строкой «до выходных».
Только запись слов, фраза известна одному вам Базовый кошелёк целиком, а также мотив и время на поиск вашей строки любыми доступными способами, включая перебор и давление. Новый корень на новом устройстве и перенос активов. Считать фразу достаточной защитой и ничего не переносить.
Слова и фраза вместе, например один лист или один снимок Полный доступ к средствам без ограничений. Немедленный перенос остатка на кошелёк с новым корнем. Тратить время на разбор обстоятельств до спасения остатка.
Выгрузка расширенного публичного ключа или дескриптор Обзор ветки и истории, права подписи нет. Вывод старой ветки из оборота, поступления на новую. Срочно менять корень без иных признаков утечки.
Доступ к компьютеру, где вводилась строка Нажатия клавиш, снимки экрана и содержимое буфера обмена за весь период, пока машина находилась под контролем постороннего. Чистая машина, затем новая строка и перенос активов. Вводить новую строку на той же непроверенной машине.

Настройка новой фразы и спасение остатка шаг за шагом

Порядок задаётся приоритетом: сначала средства, потом гигиена. Разбираться в причинах инцидента имеет смысл после того, как остаток окажется на ветке, куда у постороннего нет пути ни со словами, ни со строкой, ни с выгрузкой ключа.

  1. Отключите устройство от компьютера и прекратите любые операции в приложении-компаньоне до выяснения состояния окружения.
  2. Определите по таблице выше, какой секрет скомпрометирован, и выберите ветку: новая строка при целых словах либо новый корень при утечке слов.
  3. Подготовьте чистую среду для ввода: отдельное устройство или машина, на которой не открывались почта и браузерные расширения подозрительного периода.
  4. Включите режим парольной фразы с новой строкой, выпишите отпечаток корневого ключа нового кошелька и убедитесь, что он отличается от прежнего.
  5. Переведите остаток на адрес нового кошелька одной транзакцией, не дробя сумму, и дождитесь подтверждения сети.
  6. Зафиксируйте в письменном виде дату инцидента, признак, выбранную ветку решения и новые контрольные значения — этот лист понадобится при разборе.
Схема из пяти шагов: прекратить операции, определить скомпрометированный секрет, подготовить чистую среду, открыть кошелёк за новой строкой, перевести остаток и записать значения
Схема из пяти шагов: прекратить операции, определить скомпрометированный секрет, подготовить чистую среду, открыть кошелёк за новой строкой, перевести остаток и записать значения
Руководство SatoshiLabs прямо указывает: парольную фразу нельзя изменить, удалить или восстановить, а поддержка её не поднимет, поскольку фраза не сохраняется ни на устройстве, ни в приложении. По тексту BIP-39 каждая строка порождает корректный seed длиной 512 бит, и смена строки означает не замену пароля, а появление нового кошелька. Данные на 14 октября 2026 года по справочным материалам SatoshiLabs и тексту BIP-39 в репозитории bitcoin/bips.

Резервная копия после инцидента

Новая строка требует новой записи, и старую не исправляют поверх. Переписали. Пометили датой. Прежнюю запись уничтожают лишь после того, как перенос подтверждён сетью, а новый кошелёк открылся при повторном входе и показал ожидаемый отпечаток.

Есть и обратная сторона: в спешке запись часто делают на первом попавшемся листе, который потом теряется среди бумаг инцидента. Записи инцидента и записи секретов хранят раздельно, иначе лист с хронологией событий начинает содержать и строку доступа. Как устроено хранение на длинном горизонте, показывает материал про правильную миграцию активов на аппаратное устройство.

Не вводите прежнюю строку на подозрительной машине ради проверки остатка. Один такой ввод передаёт перехватчику вторую половину доступа, и кошелёк, который до этого был защищён целиком, становится открытым в течение секунд.

Типовые ошибки в спешке

  • Разбор причин до спасения остатка. Пока вы читаете журналы, средства уходят.
  • Новая строка на том же устройстве и той же машине, где произошёл инцидент: окружение не изменилось, а значит, не изменился и риск повторного перехвата.
  • Дробление перевода на мелкие транзакции «для проверки». Каждая задержка добавляет окно для атакующего.
  • Уничтожение старой записи до подтверждения переноса. Отката не будет.
  • Отправка остатка на адрес биржевого аккаунта в панике, без проверки адреса на экране устройства.
  • Замена только фразы при утечке самих слов, когда минимальным решением становится новый корень, а не новая строка.

Что делать, если движение средств уже началось

Остановить транзакцию нельзя. Это свойство расчётов. Не недоработка кошелька. Поэтому задача сводится к спасению того, что ещё не ушло, и к фиксации обстоятельств, которые понадобятся при обращении к площадкам и в правоохранительные органы.

Переводите остаток на кошелёк с новым корнем, а не с новой строкой поверх прежних слов: при утечке слов любая строка остаётся надстройкой над скомпрометированным корнем, и атакующий со словами будет перебирать строки столько, сколько сочтёт нужным. Параллельно фиксируйте идентификаторы транзакций и время: эти данные понадобятся при обращении в правоохранительные органы и при работе с площадками. Что означает самостоятельное хранение в части ответственности за такие события, разобрано в материале про самостоятельное хранение и ответственность владельца.

Чек-лист после подозрительной активности

  • Операции прекращены, устройство отключено от подозрительной машины.
  • Признак инцидента описан письменно с датой и временем обнаружения.
  • Определено, какой секрет скомпрометирован: строка, слова, оба или только выгрузка.
  • Выбрана ветка решения — новая строка либо новый корень, и причина выбора записана.
  • Среда ввода подготовлена заново, прежние расширения и приложения не используются.
  • Остаток переведён одной транзакцией, адрес сверен на экране устройства.
  • Новые контрольные значения выписаны, прежняя запись уничтожена после подтверждения.

Частые вопросы

Можно ли сменить парольную фразу, не трогая средства?

Нет. Смена строки не меняет доступ к прежнему кошельку, а открывает другой, поэтому без перевода активов операция лишена смысла. Старый кошелёк остаётся доступным по старой строке со всем содержимым. Защищает не сама смена строки, а перенос средств на ветку, выведенную из неё, после чего знание прежней строки перестаёт давать доступ к деньгам.

Если я подсмотрел чужой взгляд на экран при вводе — это утечка?

Считайте, что да, и действуйте по ветке «утекла строка». Короткий взгляд редко даёт полную строку целиком, однако проверять эту гипотезу своими деньгами не стоит: цена ошибки здесь несоизмерима с вечером работы на перенос остатка. Новая строка и перенос остатка закрывают вопрос за один вечер, и это дешевле любого разбора обстоятельств с попыткой оценить, что именно удалось разглядеть. Слова при этом трогать не нужно.

Поможет ли фраза, если украли устройство?

Устройство без PIN-кода и без строки остаётся железом, а при временном режиме ввода строка внутри не хранится вообще. Риск здесь смещается в другую плоскость: вор получает повод искать вашу запись слов, а вместе с ней и запись строки, если обе хранятся в одном помещении. Поэтому после кражи корпуса активы переносят, не дожидаясь признаков использования.

Сколько времени есть на перенос после обнаружения признака?

Зависит от того, что утекло. При утечке обоих секретов счёт идёт на минуты, при утечке только строки — на дни, при утечке выгрузки ключа срочности нет вовсе. Единое правило одно. Решение принимается в день обнаружения, а не на следующей неделе.

Нужно ли сообщать о инциденте площадке, через которую покупались активы?

Если средства ушли на адрес, связанный с площадкой, сообщите: у сервисов есть процедуры блокировки по идентификатору транзакции, и быстрое обращение иногда работает. Обещать результат нельзя. Фиксируйте переписку и сохраняйте идентификаторы транзакций в том же письменном листе инцидента.

Материалы по теме:

Формулировки производителей и стандарта стоит прочесть до инцидента. Раздел поддержки SatoshiLabs о проблемах с кошельками за фразой описывает, почему неверная строка открывает пустой кошелёк и почему фраза не восстанавливается, а текст стандарта BIP-39 в репозитории bitcoin/bips показывает, что строка не проверяется и каждая её версия даёт самостоятельный кошелёк.

Вердикт

После подозрительной активности выигрывает не тот, кто быстрее поменял настройки, а тот, кто правильно назвал скомпрометированный секрет. Новая строка при целых словах закрывает инцидент за вечер; утечка слов требует нового корня, и никакая фраза этого не заменит. Из редакционной практики: половина потерь в таких историях приходится на повторный ввод прежних секретов в ту же заражённую среду. Разборы инцидентов и свежие случаи — в Telegram-канале Cryptium.