Как оценить риски кошелька с социальным восстановлением

Кошелёк с социальным восстановлением убирает главный риск обычного — потерю единственной резервной фразы, но взамен добавляет четыре новых: зависимость от кода смарт-контракта, риск сговора или ошибки хранителей, недоступность части хранителей в нужный момент и привязку к конкретной сети. Выбор между схемами — это выбор того, какой риск вам ближе. Универсально безопасного варианта здесь нет.

Ниже — как устроено восстановление через хранителей, разбор четырёх новых рисков, сравнение со схемой из резервной фразы и с другими способами, правила выбора хранителей и порядок проверки настройки.

Как это работает

Обычный адрес управляется единственным ключом, и никакой логики восстановления в нём нет: правила задаются вне протокола, поэтому встроить хранителей в него невозможно.

Смарт-аккаунт устроен иначе.

Это не адрес с ключом, а программа: правила доступа записаны в самом контракте, поэтому туда можно заложить и порог подтверждений, и список доверенных адресов, и задержку перед исполнением — всё это становится проверяемым правилом сети, а не договорённостью на словах.

Восстановление выглядит так: владелец теряет доступ, назначенные хранители подтверждают смену управляющего ключа, контракт по истечении окна безопасности заменяет ключ на новый. Адрес при этом остаётся прежним, активы никуда не переводятся.

Четыре новых риска

Вторая строка недооценена. Порог «двое из трёх» с двумя хранителями из одной семьи означает, что два человека за ужином способны принять решение о ваших средствах, и никакой технической защиты от этого не предусмотрено.

Сравнение способов восстановления

Вывод из таблицы честный. Единой точки отказа лишаются все схемы, кроме первой, но каждая взамен вводит зависимость от кого-то ещё, и полной независимости при полной защите от потери попросту не бывает.

Что происходит при попытке чужого восстановления

Сценарий разбирают заранее. Действовать придётся быстро.

Злоумышленник, собравший достаточное число подтверждений, запускает смену ключа, и здесь включается окно безопасности: контракт не исполняет операцию сразу, а выдерживает паузу, в течение которой владелец может её отменить.

Отмена — ваш единственный инструмент.

1. Получите уведомление. Настройте оповещения о событиях счёта заранее, иначе паузу вы попросту проспите.
2. Отмените запущенное восстановление действующим ключом, пока он у вас есть.
3. Смените список хранителей — очевидно, что кто-то из них подтвердил чужую заявку.
4. Выясните, как это произошло: звонок мошенника, взломанное устройство хранителя, утечка адресов.
5. При сомнениях переведите активы на новый счёт с новой конфигурацией.

Первый пункт превращает окно безопасности из формальности в реальную защиту. Тридцать шесть часов ничего не стоят, если вы узнаёте о запросе постфактум, — и наоборот, короткого уведомления хватает, чтобы прервать чужую попытку одним действием.

Как выбирать хранителей

1. Берите больше, чем требует порог. Схема «три из пяти» переживает потерю двух, «два из трёх» — только одного.
2. Разнородность важнее близости. Хранители из разных кругов общения и разных мест снижают риск сговора и одновременной недоступности.
3. Включите собственные устройства. Второй кошелёк или аппаратное устройство — надёжный хранитель, не зависящий от чужой доброй воли.
4. Объясните людям их роль. Хранитель, не понимающий, что от него потребуется, при звонке мошенника подтвердит что угодно.
5. Проверьте окно безопасности. Задержка между запросом и сменой ключа — ваша возможность отменить чужую попытку.
6. Пересматривайте список ежегодно. Люди меняют устройства и адреса, а вы узнаёте об этом в худший момент.

Четвёртый пункт — про людей. Мошеннику проще позвонить трём знакомым владельца с историей о срочной помощи, чем взламывать контракт, и защищает здесь только предварительный разговор о том, как процедура выглядит на самом деле.

Что записать про свою настройку

Конфигурация живёт в контракте, но помнить о ней должны вы.

Восьмой пункт шире техники. Хранители знают о своей роли, но не всегда понимают, что делать по собственной инициативе, и короткое объяснение в письменной инструкции закрывает этот пробел.

Запись хранят отдельно от резервных копий и не публикуют: список хранителей — сведения, полезные тому, кто задумал чужое восстановление.

Кому подходит, а кому нет

• Подходит: тем, кто боится потерять запись с фразой сильнее, чем чужого вмешательства
• Подходит: активным пользователям приложений, где удобство операций играет роль
• Подходит: тем, у кого есть надёжные хранители из разных кругов
• Не подходит: для крупного долгосрочного хранения без взаимодействия с сетью
• Не подходит: тем, кто не готов разбираться в устройстве смарт-счёта
• Не подходит: при отсутствии людей, которым можно доверить роль хранителя

Про четвёртую строку скажу отдельно. Для средств, которые лежат годами без движения, аппаратное устройство с проверенной бумажной копией остаётся проще и дешевле: там нет ни кода контракта, ни хранителей, ни привязки к сети.

Проверка настройки

1. Настройте счёт с минимальной суммой и не вносите основные активы до конца проверки.
2. Проведите тестовое восстановление: смените ключ через хранителей и убедитесь, что процедура работает.
3. Замерьте время от запроса до фактической смены: окно безопасности должно быть вам известно точно.
4. Проверьте отмену. Попробуйте прервать запущенное восстановление — это ваша защита от чужой попытки.
5. Убедитесь, что хранители получают уведомления и знают, куда смотреть.
6. Запишите конфигурацию: адреса хранителей, порог, окно, где искать инструкцию.

Второй пункт пропускают почти все, а он единственный даёт уверенность. Восстановление, которое ни разу не проверяли, находится ровно в том же статусе, что и непроверенная резервная фраза — красивая запись без доказательства работоспособности.

Чек-лист

• ✓ Хранителей больше, чем требует порог
• ✓ Хранители из разных кругов и мест
• ✓ Среди них есть ваши собственные устройства
• ✓ Люди знают о своей роли и о том, как выглядит процедура
• ✓ Окно безопасности известно, отмена проверена
• ✓ Тестовое восстановление проведено до внесения средств
• ✗ Не назначать хранителями людей из одного круга
• ✗ Не хранить так средства, которые годами лежат без движения
• ✗ Не считать схему заменой пониманию того, как она работает

Сравнение подходов к хранению под разные задачи собрано в материале про выбор кошелька под сценарий использования, а проверка обычной резервной копии — в тексте про проверку резервной копии.

Куда идти дальше

Логика порогов знакома. Разбор конфигураций подписей и разделения ролей собран в материале про управление казначейством проекта, а общая гигиена хранения — в чек-листе безопасности криптокошелька.

Первоисточники: разбор стандарта смарт-аккаунтов и механизма восстановления через хранителей и обзор способов восстановления смарт-кошельков с параметрами порогов и окон безопасности.