Главный вопрос разграничения доступа при обновлении звучит так: кто держит устройство в руках в эти полчаса. Тот, у кого в руках аппарат и известен PIN, может не только поставить прошивку, но и подписать перевод, сбросить устройство, создать на нём совершенно новый кошелёк. Поэтому установку и ввод PIN разводят между людьми, мнемонику при обновлении не вводят вовсе, а отпечаток мастер-ключа сверяют при свидетеле.

Физическое владение устройством — это самостоятельное полномочие, объём которого зависит от того, известен ли держателю PIN. Без PIN аппарат позволяет установить прошивку и мало что ещё. С PIN он даёт полный доступ к подписи, а значит и к средствам, совершенно независимо от того, кому эти средства принадлежат по вашей договорённости.

Что может человек у кабеля

Обновление выглядит технической процедурой, и это сбивает с толку. На практике в комнате с устройством и кабелем на полчаса остаётся человек, у которого в руках всё хранилище, а внимание окружающих занято ходом установки — и объём его возможностей определяется не регламентом, а тем, знает ли он PIN.

Из обращений читателей видно, как это выглядит в быту. Устройство отдают родственнику, который «разбирается в технике», вместе с PIN, чтобы тот обновил прошивку и проверил баланс. Операция проходит нормально. Полномочия передали целиком.

Отсюда объект разбора: разграничение по физическому владению. Не распределение прав в схеме с несколькими подписями и не процедура согласования, а конкретный получасовой промежуток, в течение которого один человек сидит с аппаратом и решает, что с ним делать. Самостоятельное хранение не знает понятия «на минутку».

Матрица возможностей: что требует PIN, а что нет

Таблица отвечает на вопрос, что именно вы передаёте вместе с устройством.

Действие Нужен PIN Нужна мнемоника Как разграничить
Установка прошивки Зависит от модели, часть ставит из режима загрузчика. Нет, никогда. Поручить держателю, PIN вводит владелец.
Сверка отпечатка и адресов Да. Нет. Делать при свидетеле, вслух.
Подпись перевода Да. Нет. Только владелец, без передачи устройства.
Сброс к заводским настройкам Да либо серия неудачных попыток. Нет. Не оставлять аппарат без присмотра.
Создание нового кошелька после сброса Нет, старый PIN уже не нужен. Нет. Хранить копию у другого человека.

Последняя строка объясняет, зачем разделять держателя устройства и хранителя резервной копии. Человек, сбросивший аппарат и создавший на нём новый кошелёк, получает устройство, которое выглядит рабочим и открывает чужие адреса, а доказать подмену можно одним способом — сверкой отпечатка с записью, которая лежит у второго участника.

Ни одна штатная процедура обновления не требует вводить слова восстановления в приложение на компьютере или телефоне. Мнемонику устройство принимает только со своего экрана и только при восстановлении кошелька. Поэтому просьба «введите двадцать четыре слова для подтверждения обновления» — признак обмана, а не шага установки.

Что меняется при разделении держателя и хранителя копии

Разделение строится на простом правиле: ни один человек не должен одновременно располагать устройством, PIN-кодом и записью мнемоники. Любые два элемента из трёх дают ограниченные возможности, все три — полный контроль над средствами, и неважно, идёт речь о семье, партнёрах или наёмном администраторе.

При обновлении это правило работает так. Держатель устройства ставит релиз и не знает PIN; владелец приходит, вводит PIN, сверяет отпечаток и уходит с устройством; хранитель копии в операции не участвует и подтверждает лишь, что носитель на месте. Трое знают о событии. Никто не мог его использовать.

Для схем с несколькими подписями разграничение заложено в сам формат работы. По тексту BIP-174, сверенному 15 октября 2026 года, в обработке частично подписанной транзакции участвуют создатель, дополняющий, подписант, объединитель, финализатор и извлекатель — заготовка перемещается между ролями, и подпись каждый ставит на своём устройстве. Мультисиг-хранилище для семьи или небольшой команды показывает, как это выглядит в быту.

Не передавайте устройство вместе с PIN-кодом никому: ни мастеру, ни родственнику, ни сотруднику. Обновление прошивки PIN обычно не требует, а там, где требует, код вводит владелец своими руками. Устройство, побывавшее у постороннего с известным PIN, считается скомпрометированным.

Порядок обновления с разграничением доступа

  1. Распределите роли до начала: кто держит устройство во время установки, кто вводит PIN, у кого лежит запись мнемоники. Совмещение первых двух ролей допустимо, только если это владелец средств.
  2. Хранитель копии подтверждает, что носитель на месте и читается, и в операции больше не участвует. Копию он не достаёт и никому не передаёт.
  3. Владелец вводит PIN, открывает сведения о ключах, диктует отпечаток мастер-ключа вслух, второй участник записывает восемь знаков в журнал.
  4. Держатель устройства проводит установку. Аппарат не остаётся без присмотра ни на минуту: подключённое устройство — это открытая дверь, а не фоновая задача.
  5. После перезагрузки владелец вводит PIN заново и сверяет отпечаток с записью. Совпал — схема не менялась.
  6. Устройство возвращается владельцу, запись о событии вносится в журнал с датой, версией и именами участников.
Схема из пяти шагов разграничения: распределение ролей, подтверждение копии, запись отпечатка вслух, установка под присмотром, повторная сверка и возврат устройства
Схема из пяти шагов разграничения: распределение ролей, подтверждение копии, запись отпечатка вслух, установка под присмотром, повторная сверка и возврат устройства

Резервная копия и проверка восстановления

Запись мнемоники при обновлении не нужна, и это стоит повторить отдельно: носитель остаётся в сейфе, его не достают, не фотографируют и не берут с собой «на случай сбоя», потому что сбой решается восстановлением позже и в другом месте, а не рядом с подключённым кабелем.

Хранителю копии достаточно подтвердить её наличие. Формулировка подтверждения короткая: носитель на месте, запись читается, дата проверки такая-то. Этого хватает для журнала.

Если устройство после обновления не включается, восстановление проводит владелец, на отдельном аппарате, в присутствии хранителя копии. Для схемы с несколькими ключами понадобится дескриптор, и его контрольная сумма из восьми символов по тексту BIP-380 обнаруживает любую одиночную ошибку символа, допущенную при переписывании. Перенос активов на аппаратное устройство описывает порядок такой пересборки.

Типовые ошибки, которые стоят денег

  • Передача устройства вместе с PIN. Полномочия переданы целиком.
  • Ввод мнемоники по просьбе приложения или помощника. Это не шаг обновления.
  • Устройство оставлено подключённым и без присмотра. Сброс занимает минуту.
  • Копия мнемоники у того же человека, что держит аппарат. Разграничения нет.
  • Сверка отпечатка без свидетеля. Подмену нечем доказать.
  • Отправка устройства в сервис для обновления. Доступ уехал вместе с посылкой.

Шестой пункт встречается у владельцев, столкнувшихся с неудачной установкой. Обновление прошивки не ремонт: устройство, уехавшее к постороннему, возвращается с неизвестной историей, и единственный способ вернуть доверие к нему — сброс, восстановление по своей записи и сверка отпечатка. Как обновить прошивку и не потерять доступ к средствам разбирает штатную процедуру, которая такой поездки не требует.

Что делать, если устройство побывало в чужих руках

Считайте PIN известным посторонним. Смените его, сверьте отпечаток мастер-ключа с записью и проверьте список спаренных телефонов и доверенных компьютеров — появление незнакомых имён в этом списке говорит больше, чем любые объяснения.

Если отпечаток не совпал, кошелёк на устройстве не ваш. Средства при этом целы: они лежат на прежних адресах, доступ к которым восстанавливается из вашей записи на другом аппарате. Торопиться не нужно, нужно записывать каждый шаг.

Чек-лист разграничения

  • Роли распределены: держатель устройства, владелец с PIN, хранитель копии.
  • Ни один человек не располагает устройством, PIN и записью одновременно.
  • PIN вводит владелец своими руками.
  • Мнемоника при обновлении не вводится и не достаётся из хранилища.
  • Подключённое устройство не остаётся без присмотра.
  • Отпечаток продиктован вслух и записан в журнал до установки.
  • После обновления отпечаток сверен при свидетеле.
  • Событие внесено в журнал с датой, версией и именами участников.

Частые вопросы

Можно ли попросить знакомого обновить прошивку?

Можно отдать устройство для установки, но без PIN-кода. На части моделей обновление идёт из режима загрузчика и кода не требует. PIN вводит владелец, сверку отпечатка делает он же. Передача аппарата вместе с кодом равна передаче права подписывать переводы.

Нужна ли мнемоника при обновлении прошивки?

Нет. Слова восстановления вводят только на экране самого устройства и только при восстановлении кошелька. Ни одна штатная процедура обновления не просит вводить их в приложение на компьютере или телефоне, поэтому такая просьба означает попытку обмана, а не очередной шаг установки.

Зачем свидетель при сверке отпечатка?

Чтобы запись отпечатка существовала вне памяти одного человека. Восемь знаков диктуются вслух и попадают в журнал второй стороны, а значит подмена устройства или кошелька становится обнаружимой. В личной схеме роль свидетеля играет ваша же запись, сделанная заранее.

Как разграничить доступ, если в схеме я один?

Разводите тогда не людей, а места и время: PIN держите в голове, запись мнемоники в сейфе другого помещения, журнал отпечатков рядом с самим устройством. Тогда даже утрата аппарата или одного носителя не даёт нашедшему полного набора для распоряжения средствами.

Первоисточники: BIP-174 о ролях при работе с частично подписанной транзакцией и BIP-380 о контрольной сумме дескриптора.

Вердикт

Разграничение доступа при обновлении сводится к тому, кто и что держит в руках в эти полчаса. Устройство без PIN — ограниченное полномочие, устройство с PIN — полное, устройство с PIN и записью мнемоники — абсолютное. Разведите три элемента между людьми, местами или хотя бы временем, не вводите слова восстановления ни в одно приложение и диктуйте отпечаток вслух. Этого достаточно.

Разборы по кошелькам и хранению выходят в Telegram-канале Cryptium.