Как обновить прошивку аппаратного устройства после подозрительной активности

После подозрительной активности прошивку обновляют не первым делом, а третьим. Сначала остановите операции, затем зафиксируйте следы — журналы приложения-компаньона, список спаренных устройств, текущую версию прошивки, счётчик неудачных попыток PIN, идентификаторы спорных транзакций и адреса получателей. Обновление переписывает код и обнуляет часть этих данных, то есть уничтожает картину, по которой вы собирались понять, что произошло. Снимите показания, потом ставьте релиз.

Что обновление может подтвердить, а что нет

Обновление закрывает дефекты кода, о которых производитель узнал к моменту сборки релиза и которые он описал в примечаниях к выпуску. Это полезная работа. Но она ничего не говорит о том, была ли ваша мнемоника скомпрометирована, видел ли кто-то ваш экран и не стоит ли за странным списанием подпись, которую вы сами подтвердили в спешке.

Руководство NIST SP 800-193, выпущенное в мае 2018 года и сверенное по тексту 15 октября 2026 года, выстраивает механизмы прошивки в три группы: защита от неразрешённых изменений, обнаружение изменений, которые всё же произошли, и восстановление. Порядок в этом перечне содержательный. Восстановление идёт после обнаружения, а не вместо него.

Отсюда объект разбора — сохранность свидетельств. Владелец, который первым движением жмёт «обновить», действует из верного желания и теряет возможность разобраться, потому что часть показаний снимается только с того состояния, которое он затирает. Самостоятельное хранение делает вас и потерпевшим, и следователем одновременно.

Шесть свидетельств и их срок жизни

Таблица показывает, что успеет исчезнуть.

Что меняется для владельца в первые часы

Сначала остановка. Не подписывайте ничего, не подключайте устройство к незнакомым компьютерам, не вводите мнемонику ни в одно приложение, даже если оно называет себя инструментом проверки — именно так работает вторая волна атаки, направленная на тех, кто уже напуган первой.

Затем разделение версий. Странность имеет три типовых объяснения: вы сами подтвердили операцию, не прочитав экран; кто-то получил доступ к записи мнемоники; на адрес пришла мелочь, которая выглядит как вторжение, но вторжением не является. Третий случай разбирается быстро — пылевая атака на кошелёк проявляется как необъяснимое поступление мелкой суммы, а не как списание.

И только после этого обновление. К моменту установки у вас на руках бумага с показаниями, скопированные журналы и понимание, какую версию событий вы проверяете. Прошивка при этом остаётся полезным шагом: известные дефекты кода стоит закрыть, раз уж устройство в руках.

Порядок фиксации и обновления

1. Прекратите операции. Отключите устройство от компьютера и не подписывайте транзакции, пока не завершите фиксацию. Это не осторожность, а сохранение состояния.
2. Снимите показания с устройства: версия прошивки, дата установки, счётчик неудачных попыток PIN, список спаренных телефонов и компьютеров. Пишите на бумаге, одним списком, с датой и временем.
3. Скопируйте журналы приложения-компаньона в отдельную папку и не обновляйте само приложение до конца разбора. Журналы перезаписываются, и это происходит тихо.
4. Выпишите идентификаторы спорных транзакций, адреса получателей и суммы. Эти данные из блокчейна никуда не денутся, но держать их под рукой удобно.
5. Сверьте отпечаток мастер-ключа с записью в журнале хранилища. По BIP-32 это первые 32 бита идентификатора расширенного ключа — восемь знаков, которые отвечают на вопрос, тот ли это кошелёк.
6. Установите актуальную прошивку и повторите сверку отпечатка. Дальше решайте по собранной картине, а не по первому впечатлению.

Резервная копия и проверка восстановления

Перед обновлением достаньте запись мнемоники и убедитесь, что она на месте и читаема. Отсутствие листа там, где он должен лежать, — это сильнейшее свидетельство в вашем расследовании, и обнаружить его нужно до установки, пока вы ещё собираете показания.

Проверять восстановление на основном устройстве в этот момент не стоит. Сброс уничтожит остатки картины. Если проверка нужна, берите второй аппарат. Основной оставьте в том состоянии, в котором заметили странность.

Отдельно проверьте, не хранится ли копия в месте, доступном кому-то ещё: ящик стола в общем кабинете, папка в семейном сейфе, конверт у родственника, картонка в книге на полке. Регламент хранения активов на годы тем и полезен, что фиксирует в журнале, где какой носитель лежит и кто к нему подходил.

Типовые ошибки, которые стоят денег

• Обновление первым действием. Половина показаний исчезает до начала разбора.
• Сброс устройства «на всякий случай». Уничтожены и следы, и доступ.
• Обновление приложения-компаньона вместе с прошивкой. Журналы перезаписаны.
• Ввод мнемоники в сторонний сервис проверки. Это и есть вторая волна атаки.
• Фиксация по памяти, без бумаги. Через день владелец путает даты и версии.
• Продолжение операций во время разбора. Новые подписи смешиваются со спорными.

Второй пункт встречается у людей, которые решили, что устройство «заражено», и захотели начать с чистого листа. Сброс не лечит компрометацию мнемоники, зато лишает вас и показаний, и средств, если запись слов окажется неполной. Базовая процедура обновления без потери доступа описывает, чем сброс отличается от установки новой версии.

Что делать, если доступ пропал во время разбора

Отделите неузнавание от потери. Устройство не включается — ключи целы, восстановление идёт из записи на другом аппарате. PIN не принимается, а значение счётчика попыток вы предусмотрительно зафиксировали — сравните два числа между собой: разница означает, что кто-то пробовал войти, и это уже вывод, а не догадка.

Если отпечаток мастер-ключа после обновления не совпал, проверьте ввод парольной фразы. Устойчивое расхождение при верной фразе — повод восстанавливать кошелёк на отдельном устройстве и переводить средства на новую схему. Торопиться здесь не нужно. Нужно записывать каждый шаг.

Чек-лист фиксации

• Операции остановлены, устройство отключено от компьютера.
• Версия прошивки и дата установки выписаны на бумагу.
• Счётчик неудачных попыток PIN записан.
• Список спаренных телефонов и компьютеров переписан целиком.
• Журналы приложения-компаньона скопированы, само приложение не обновлялось.
• Идентификаторы спорных транзакций и адреса получателей выписаны.
• Отпечаток мастер-ключа сверен с журналом до установки прошивки.
• Запись мнемоники найдена на своём месте и признана читаемой.

Частые вопросы