В семейном хранилище обновление прошивки перестаёт быть личным делом того, у кого устройство в руках. Договоритесь заранее: кто вправе начать установку, кого он уведомляет до и после, куда вносится запись о результате. Правило простое — обновляет тот, кто физически держит устройство, но только после того, как второй взрослый участник схемы знает дату и видел запись отпечатка мастер-ключа.

Право инициировать обновление — это согласованная в семье возможность изменить состояние общего хранилища без отдельного обсуждения каждый раз. Оно принадлежит конкретному человеку, ограничено уведомлением остальных и подтверждается записью в общем журнале. Без такого правила обновление превращается в событие, которое один заметил, а второй расценил как исчезновение денег.

Чем семейная схема отличается от личной

В личной схеме обновление либо прошло, либо нет, и разбирается с последствиями один человек. В семейной появляется второй участник, который денег не видит, устройства в руках не держит, но имеет на средства те же права — и его реакция на внезапно изменившееся поведение приложения определяется тем, предупредили его или нет.

Из обращений читателей складывается типовой сюжет. Один из супругов обновил прошивку, после установки приложение открыло другую учётную запись, баланс на экране не отобразился, и в течение часа семья всерьёз обсуждала кражу. Средства лежали на прежней ветке. Разговор был лишним.

Отсюда объект разбора: кто инициирует обновление и чем уведомляет остальных. Не процедура установки, которую обе стороны могут прочесть в документации производителя, а порядок согласования и оповещения внутри семьи, потому что именно он отличает техническую операцию от домашнего конфликта. Самостоятельное хранение в семье делит ответственность, а не снимает её.

Роли и права: кто что может

Таблица описывает роли, а не людей: один человек может совмещать две.

Роль Что инициирует Что обязан сообщить Кому
Держатель устройства Установку прошивки и смену PIN. Дату, версию, отпечаток до и после. Второму взрослому участнику.
Хранитель записи мнемоники Проверку читаемости записи. Что запись на месте и читается. Держателю устройства.
Второй подписант в мультиподписи Обновление своего устройства. Дату своей установки и результат сверки. Остальным подписантам.
Уведомляемый участник Ничего не инициирует. Подтверждение, что уведомление получено. Инициатору.

Разделение держателя устройства и хранителя записи — основа семейной схемы. Оно не даёт одному человеку в одиночку ни распорядиться средствами, ни потерять их, и обновление прошивки это разделение проверяет: держатель не может начать установку, не получив от хранителя подтверждения, что запись мнемоники существует и читается.

В схеме с порогом два из трёх одновременно обновлять два устройства нельзя. Если оба обновления пройдут неудачно, порог станет недостижим, и средства окажутся заблокированы при целых ключах. Разводите установки минимум на неделю: за эту неделю неудача одного подписанта обнаружится и будет исправлена.

Что меняется в мультиподписи при обновлении одного устройства

Обновление одного подписанта не меняет ни схему, ни дескриптор, ни адреса. Меняется только готовность этого участника подписать: пока он разбирается с новой версией, порог собирается медленнее, и остальные должны об этом знать, чтобы не считать задержку признаком проблемы.

Стандарт частично подписанной транзакции помогает увидеть, где кто стоит. По тексту BIP-174, сверенному 15 октября 2026 года, в работе с такой транзакцией участвуют создатель, дополняющий, подписант, объединитель, финализатор и извлекатель — шесть ролей, часть которых в семье исполняют разные люди. Обновление затрагивает роль подписанта. Остальные роли продолжают работать.

Поэтому правило семейной схемы звучит так: заготовка транзакции не собирается в день обновления. Сначала один участник обновляется и сверяет отпечаток, затем сообщает результат, и лишь потом семья возвращается к операциям. Мультисиг-хранилище для семьи или небольшой команды — отдельный разбор того, как такая схема устроена.

Не обновляйте два устройства одной схемы в один вечер, даже если кажется удобным сделать всё сразу. Порог подписи рассчитан на то, что часть устройств схемы работоспособна в любой момент, а одновременная установка на всех превращает этот запас в единую точку отказа.

Порядок обновления в семейном хранилище

  1. Держатель устройства объявляет дату обновления и получает от хранителя записи подтверждение, что мнемоника на месте и читаема. Без подтверждения установка не начинается.
  2. Оба участника смотрят на экран устройства и записывают отпечаток мастер-ключа в общий журнал. Запись делается в двух экземплярах: по одному у каждого.
  3. Держатель устанавливает прошивку и после перезагрузки сверяет отпечаток при втором участнике или на видеозвонке, если тот в другом городе.
  4. Результат сверки вносится в журнал с датой, версией и подписями обоих. Эта строка и есть уведомление: она переживёт любую переписку.
  5. В схеме с несколькими подписантами следующий участник обновляется не раньше чем через неделю, после подтверждения, что первый работоспособен.
  6. Через сутки держатель повторяет вход и сверку, затем сообщает второму участнику, что хранилище в норме.
Схема из пяти шагов семейного обновления: объявление даты, запись отпечатка в двух экземплярах, установка, сверка при втором участнике, пауза перед следующим подписантом
Схема из пяти шагов семейного обновления: объявление даты, запись отпечатка в двух экземплярах, установка, сверка при втором участнике, пауза перед следующим подписантом

Резервная копия и проверка восстановления в семье

Перед обновлением хранитель записи достаёт носитель и перечитывает его, не передавая держателю устройства. Такой порядок сохраняет разделение: один участник проверяет читаемость записи, другой выполняет операцию, и ни один из них в одиночку не получает полного набора для распоряжения средствами.

Полное учение по восстановлению в семье проводят вместе, раз в год. Присутствуют оба. Запись возвращается в сейф при обоих, и в журнале появляется строка с датой и двумя подписями.

Отпечаток мастер-ключа в семейной схеме играет роль общего языка: он короткий, его можно продиктовать по телефону, и совпадение восьми знаков означает, что оба участника говорят об одном кошельке. Расширенный публичный ключ в мультиподписи объясняет, из чего этот отпечаток выводится.

Типовые ошибки, которые стоят денег

  • Обновление без уведомления второго участника. Нулевой баланс после установки читается как кража.
  • Одновременная установка на двух устройствах схемы. Порог подписи оказывается под угрозой.
  • Уведомление только в переписке. Через год историю сообщений никто не найдёт.
  • Совмещение ролей держателя и хранителя. Разделение перестаёт работать.
  • Отсутствие записи отпечатка до установки. Сверять нечем, спор не разрешить.
  • Обновление в день, когда собирается заготовка транзакции. Подпись теряется, сборку начинают заново.

Третий пункт кажется мелочью и съедает больше всего времени. Переписка обрывается, телефон меняется, сообщения удаляются вместе с аккаунтом — а бумажный журнал в сейфе лежит рядом с носителями и читается через десять лет. Уведомление в семье стоит делать письменным. Как обновить прошивку и не потерять доступ к средствам описывает техническую часть, которую журнал только фиксирует.

Что делать, если после обновления доступ пропал

Первым делом сообщите второму участнику, не дожидаясь разбора. Ощущение, что от него что-то скрывают, портит семейные схемы сильнее технических сбоев, а разбираться вдвоём быстрее: один читает журнал и диктует отпечаток, второй смотрит на экран устройства.

Если устройство не включается, восстановление идёт из записи на отдельном аппарате, и делают это оба участника вместе. Если в схеме несколько подписантов и один из них выбыл, порог обычно сохраняется — проверьте по дескриптору, сколько подписей требуется, и соберите транзакцию из оставшихся.

Чек-лист семейного обновления

  • Роли распределены: держатель устройства, хранитель записи, уведомляемые.
  • Дата обновления объявлена заранее, второй участник подтвердил получение.
  • Хранитель записи подтвердил, что мнемоника на месте и читается.
  • Отпечаток мастер-ключа записан до установки, в двух экземплярах.
  • Сверка после установки проведена при втором участнике.
  • Результат внесён в общий журнал с датой и версией.
  • Второе устройство схемы обновляется не раньше чем через неделю.
  • Заготовок транзакций на момент установки не было.

Частые вопросы

Кто в семье должен обновлять прошивку?

Тот, у кого устройство на руках и кто пользуется им регулярно. Право на инициативу стоит закрепить за одним человеком, чтобы не возникало двух одновременных установок. Обязанность уведомить остальных идёт в комплекте с этим правом и выполняется записью в общем журнале.

Нужно ли согласие второго супруга на обновление?

Согласие на саму установку — не обязательно, уведомление — обязательно. Разница в том, что обновление не меняет прав на средства, но меняет поведение приложения, и человек, не предупреждённый заранее, с большой вероятностью воспримет пустой экран как потерю денег.

Можно ли обновить все устройства мультиподписи сразу?

Нет. Порог подписи существует ровно для того, чтобы часть устройств всегда оставалась работоспособной. Разводите установки минимум на неделю и обновляйте следующее устройство только после подтверждения, что предыдущее подписывает транзакции как раньше.

Чем уведомлять участников, если они в разных городах?

Видеозвонком при сверке отпечатка и записью в журнал с двух сторон. Восемь знаков отпечатка диктуются голосом за полминуты, а совпадение означает, что оба участника видят один кошелёк. Переписку используйте как дополнение, а не как основной носитель уведомления.

Первоисточники: BIP-174 о ролях в работе с частично подписанной транзакцией и NIST SP 800-193 о стойкости прошивки платформы.

Вердикт

Техническая часть обновления в семье ничем не отличается от личной. Отличается всё остальное: право начать, обязанность предупредить, место, где остаётся след. Закрепите инициативу за держателем устройства, уведомление сделайте письменным, а установки на разных устройствах схемы разводите по неделям. Тогда обновление будет стоить получаса, а не вечера объяснений.

Разборы по кошелькам и хранению выходят в Telegram-канале Cryptium.