Как настроить дополнительную парольную фразу и убрать лишние доступы

Настроить дополнительную парольную фразу и убрать лишние доступы — значит составить список всех, кто уже может дотянуться до кошелька, а затем перенести активы в кошелёк за фразой, которого в этом списке нет. Отозвать выданный доступ нельзя: записанные слова не отключаются, а переданный расширенный публичный ключ не перестаёт работать. Поэтому доступы не убирают, а обесценивают — переносом средств туда, куда прежние знания не ведут.

Какие доступы накапливаются к кошельку и откуда они берутся

Кошелёк живёт годами. За это время вокруг него оседает слой артефактов, каждый из которых когда-то создавался осознанно и по делу. Вторая запись слов «на всякий случай». Фотография первой записи, сделанная при переезде. Расширенный публичный ключ, отправленный бухгалтеру для сверки поступлений. Приложение-наблюдатель на старом телефоне, который давно лежит в ящике.

Артефакты делятся на два класса. Путать их нельзя. Первый класс даёт право подписи: запись слов, снимок записи, фраза на том же листе. Второй даёт обзор без права подписи: расширенный публичный ключ, дескриптор, подключённый наблюдающий кошелёк. Первый класс крадёт деньги. Второй крадёт приватность. И наводит на владельца тех, кто занимается первым классом.

В обращениях читателей чаще всего всплывает именно вторая категория: человек помнит про записи слов, но не помнит, кому и когда отправлял выгрузку кошелька. Чем опасна открытая история поступлений, показывает разбор про распознавание пылевой атаки на кошелёк: по известной ветке адресов владельца помечают и отслеживают.

Что парольная фраза обесценивает, а что оставляет как есть

Фраза меняет не права на старый кошелёк, а адресата ваших денег. Операции разные. Таблица ниже показывает, какой доступ закрывается переносом средств, какой остаётся действующим на прежней ветке и что требуется сделать руками помимо настройки устройства.

Настройка фразы и перенос активов шаг за шагом

Сначала опись. Потом фраза. И лишь затем перевод средств: обратный порядок оставляет часть активов на ветке, которую видят посторонние, и заставляет повторять процедуру во второй раз.

1. Выпишите на один лист все известные копии seed-фразы, все выгрузки расширенного публичного ключа и все устройства с установленным кошельком, указав дату и получателя для каждой строки.
2. Включите режим парольной фразы на устройстве и введите строку до 50 знаков ASCII, помня о чувствительности к регистру; на устройствах других производителей предел доходит до 100 знаков.
3. Выпишите отпечаток корневого ключа нового кошелька и убедитесь, что он не совпадает с отпечатком базового: совпадение означает, что фраза не применилась.
4. Переведите активы с базового кошелька на адрес нового, оставив на старой ветке нулевой остаток, и дождитесь подтверждения сети по каждой транзакции.
5. Пройдите по листу из первого шага и закройте каждую строку: копии уничтожьте или возьмите под опись, сопряжения отзовите, забытые устройства сотрите.
6. Повторите вход по фразе после полного отключения устройства и сверьте отпечаток с записью — на этом ревизия считается завершённой.

Резервная копия: ревизия записей после переноса

После переноса количество секретов растёт: к записи слов добавляется запись фразы, и обе нужны вместе. Один лист стал двумя. Рядом их не держат. Хранение двух записей в одном конверте сводит смысл ревизии к нулю, потому что доступ к этому конверту снова открывает полный комплект секретов.

Проверка копий идёт по тому же принципу, что и сверка отпечатка: берётся отдельное устройство, вводятся слова и фраза с записей, сверяется отпечаток нового кошелька. Как выстроить такое хранение на годы, разобрано в материале про организацию хранения криптовалюты на длинном горизонте.

Типовые ошибки, которые стоят денег

• Перенос активов до того, как составлена опись доступов: часть средств уходит на ветку, которую видит прежний наблюдатель.
• Уверенность, что передача расширенного публичного ключа отзывается письмом с просьбой удалить файл. Выгрузка копируется.
• Фраза, записанная на тот же лист, где лежат слова. Два секрета в одном конверте дают один доступ.
• Поступления на старые адреса после переноса, когда контрагенту не отправили новые реквизиты и платежи продолжают идти на ветку, видимую посторонним.
• Забытый наблюдающий кошелёк на телефоне, который отдали детям или сдали в ремонт без стирания данных.
• Опись, составленная по памяти в один вечер и ни разу не пересмотренная.

Что делать, если доступ уже использован

Признак использования один. Движение средств, которого вы не инициировали. Дальше счёт идёт на минуты, и порядок действий отличается от планового переноса тем, что опись доступов составляется после спасения остатка, а не до него.

Переводите остаток на адрес, выведенный из другого набора слов, а не из той же seed-фразы с новой строкой: при утечке самих слов фраза защитит лишь до момента, когда атакующий получит и её. Утекла только фраза? Достаточно новой строки и переноса. Утекли оба — нужен новый корень. Как переносят активы без потери ветки, показано в разборе про стандарт BIP-39 и 24 слова восстановления.

Чек-лист ревизии доступов

• Опись доступов составлена письменно: копии слов, выгрузки ключа, устройства, сопряжения.
• Для каждой строки описи указаны дата, получатель и текущее состояние.
• Фраза настроена, отпечаток нового кошелька выписан и не совпадает с базовым.
• Активы переведены, остаток на базовой ветке нулевой, транзакции подтверждены.
• Новые реквизиты для поступлений переданы контрагентам, старые адреса выведены из оборота.
• Лишние копии уничтожены или взяты под опись, забытые устройства стёрты.
• Запись фразы лежит отдельно от записи слов и проверена чтением.

Частые вопросы

Проверить формулировки можно по первоисточникам. Руководство SatoshiLabs о парольной фразе и скрытых кошельках прямо указывает, что фраза не хранится в устройстве и не подлежит изменению или восстановлению, а текст стандарта BIP-39 в репозитории bitcoin/bips объясняет, почему любая строка даёт работающий кошелёк и почему отмены фразы не существует.