Чтобы проверить подлинность аппаратного кошелька и обновить схему раз в квартал, подлинность перестают считать разовым событием при распаковке. Заводят четыре окна в год: в первом смотрят криптографическую аттестацию и хеш прошивки, во втором — клиентскую программу и состав установленных приложений, в третьем — физическое состояние и место хранения, в четвёртом сверяют производные ключи с эталоном; результат каждого окна пишут в журнал.

Аттестация устройства — это криптографическое доказательство того, что защищённый чип внутри кошелька владеет закрытым ключом, пара к которому заверена подписью производителя, то есть что чип изготовлен на фабрике, а не подменён по дороге к владельцу.

Под какой сценарий подбирается кошелёк

Повторная проверка подлинности нужна не всем в одинаковом объёме. Объём задаётся тем, кто имеет физический доступ к устройству между вашими обращениями.

  • Устройство живёт в сейфе у вас дома. Квартальная аттестация формальна и занимает минуты, основной предмет — прошивка и клиент.
  • Устройство ездит с вами или хранится в офисе. Добавляется осмотр корпуса, кабеля и упаковки, потому что контакт посторонних вероятен.
  • Устройство куплено не напрямую. Первое окно расширяется: к аттестации добавляется полный пересчёт производных адресов от записи слов.
  • Устройств несколько, в разных ролях. Окна распределяют по аппаратам, чтобы за год каждый прошёл переаттестацию, а не только тот, которым пользуются чаще.

Сравнение объектов переаттестации: что меняется для владельца

Объект проверки Чем подтверждается Что означает отрицательный результат В каком окне
Подлинность защищённого чипа Ответ устройства на случайный вызов, подписанный ключом, заверенным производителем Чип не заводской: устройство выводится из оборота, активы переносятся Первое окно, автоматически при подключении
Подпись и хеш прошивки Проверка загрузчиком при каждом включении и сверка хеша клиентской программой Прошивка неофициальная либо изменена: работа прекращается до выяснения Первое окно и далее при каждом подключении
Клиентская программа на компьютере Сверка подписи дистрибутива и номера версии с официальным источником Клиент подменён: устройство цело, но показанное на экране компьютера недостоверно Второе окно
Физическая целостность и место хранения Осмотр корпуса, разъёма, следов вскрытия, проверка условий доступа Следы вмешательства: аттестация не поможет, устройство заменяется Третье окно
Совпадение производных адресов с эталоном Сверка первого адреса и расширенного публичного ключа с записью дня настройки Устройство выдаёт другое дерево ключей: доступ к прежним активам под вопросом Четвёртое окно

Как проверить подлинность аппаратного кошелька и обновить схему раз в квартал: порядок действий

  1. Первое окно: аттестация и прошивка. Подключите устройство к официальному клиенту и дождитесь автоматических проверок, затем сверьте номер версии прошивки с объявленным производителем.
  2. Второе окно: клиент и приложения. Проверьте подпись дистрибутива программы, сверьте версию, пересчитайте список установленных приложений по своей записи.
  3. Третье окно: корпус и условия. Осмотрите устройство при хорошем свете, проверьте разъём и винты, убедитесь, что место хранения не стало доступнее за квартал.
  4. Четвёртое окно: ключи. Сравните первый адрес получения и расширенный публичный ключ с эталоном, записанным в день настройки.
  5. Журнал после каждого окна. Дата, объект, результат, что изменено. Серийные номера и версии писать можно, секреты — нет.
Схема из четырёх окон переаттестации: аттестация чипа и прошивка, клиент и приложения, корпус и условия хранения, сверка производных ключей с эталоном
Схема из четырёх окон переаттестации: аттестация чипа и прошивка, клиент и приложения, корпус и условия хранения, сверка производных ключей с эталоном
Часть проверок уже происходит без вашего участия. По документации Ledger аттестация выполняется при первом подключении, при каждом запуске кошелькового приложения, при установке любого приложения на устройство и при обновлении прошивки. Trezor Suite с версии 24.11.2 проверяет хеш прошивки при каждом подключении устройства и при несовпадении показывает предупреждение, ограничивая часть функций. Данные по официальным материалам производителей на 13 октября 2026 года.

Где заканчивается аттестация

У криптографической проверки есть граница, и о ней стоит знать до того, как она понадобится; исследовательское подразделение Ledger указывает: аттестация подтверждает подлинность защищённого чипа, но не обнаруживает несанкционированные физические изменения оборудования, например шпионские имплантаты, если исходный чип остался нетронутым.

Отсюда и устройство квартального цикла. Первое окно закрывает подлинность чипа и прошивки, третье — то, что аттестация не видит в принципе; одно без другого даёт ложное спокойствие, а вместе они описывают устройство целиком: и его начинку, и его историю.

Проверку подлинности иногда отключают, чтобы предупреждение не мешало работе. Официальная документация Trezor прямо просит этого не делать, если вы используете официальные устройства: отключённая проверка превращает квартальную переаттестацию в осмотр корпуса, а внутрь вы больше не заглядываете.

Резервная копия и проверка восстановления

Переаттестация устройства и проверка записи слов — разные процедуры с разными целями. Но в квартальном цикле они соседствуют не случайно: вывод устройства из оборота по итогам проверки требует работоспособной копии.

Поэтому четвёртое окно построено на эталоне. Если производные адреса совпали с записью дня настройки, у вас есть подтверждение, что и устройство, и копия описывают один кошелёк. Перед обновлением прошивки такая сверка обязательна — порядок разобран в материале о том, как обновить прошивку аппаратного кошелька и не потерять доступ к средствам.

Типовые ошибки, которые стоят денег

  • Подлинность проверена один раз при распаковке. Между тем доступ к устройству за год получают гости, мастера и курьеры.
  • Клиент обновляется из случайного источника. Устройство остаётся подлинным, а показанные адреса — нет.
  • Предупреждение клиента закрыто и забыто. Баннер о несовпадении хеша остаётся на экране не ради красоты.
  • Список приложений никто не записывал. Сверять нечего, и лишнее приложение выглядит как давно поставленное самим владельцем.
  • Эталонный адрес не зафиксирован. Четвёртое окно превращается в формальность, потому что сравнивать не с чем.

Что делать при утере доступа

  1. Аттестация не пройдена. Прекратите операции. Переносите активы на другое устройство по записи слов, не вводя фразу в компьютер.
  2. Хеш прошивки не совпал. Не обновляйтесь поверх. Сначала выводите средства, затем выясняйте причину с официальной поддержкой производителя.
  3. Устройство утрачено или сломано. Доступ восстанавливается записью слов на новом аппарате; тот же путь описан в разборе, как правильно мигрировать активы на аппаратное устройство.
  4. Новое устройство выдаёт другие адреса. Проверяйте путь производных ключей и наличие парольной фразы, а не считайте запись испорченной.
  5. Ни устройства, ни копии. Восстановление невозможно; границу ответственности объясняет разбор, что такое самостоятельное хранение и какую ответственность оно даёт.

Чек-лист

  • Четыре окна переаттестации стоят в календаре на год вперёд
  • Автоматические проверки клиента не отключены и их предупреждения не игнорируются
  • Версия прошивки сверена с объявленной производителем
  • Подпись дистрибутива клиентской программы проверена перед установкой
  • Список установленных приложений записан и сверяется в своём окне
  • Корпус, разъём и следы вскрытия осмотрены при хорошем свете
  • Эталонный адрес и расширенный публичный ключ зафиксированы в день настройки
  • Журнал ведётся вне облачных дисков и без секретов
  • Для устройства, купленного не напрямую, первое окно расширено до полного пересчёта адресов

Частые вопросы

Зачем проверять подлинность повторно, если при покупке всё сошлось?

Потому что между вашими обращениями к устройству проходят месяцы, и в этот период меняется не чип, а всё вокруг него: клиентская программа, прошивка, место хранения, круг людей с физическим доступом. Квартальное окно ловит эти изменения. Аттестация при этом выполняется почти мгновенно, а основное время уходит на осмотр и сверку записей.

Можно ли считать пройденную аттестацию гарантией, что внутри нет закладки?

Нельзя. Исследователи Ledger прямо отмечают, что проверка подлинности не обнаруживает физические модификации оборудования, если исходный защищённый чип остался нетронутым. Поэтому в цикл и включено окно физического осмотра, а устройства с неясной историей поставки проверяются строже остальных и используются с меньшими суммами.

Что писать в журнал переаттестации?

Дату, номер окна, объект проверки, результат, версию прошивки и клиента, список приложений. Серийный номер допустим, если журнал хранится дома и не синхронизируется. Запрещённое содержимое то же, что всегда: слова фразы, парольная строка, подсказки к ней и адреса мест, где лежат носители.

Как переаттестовать устройство, которое лежит в другом городе?

Разнесите окна по доступности. Криптографические проверки выполняются только при подключении, поэтому их приурочивают к поездке, а между поездками закрывают окна клиента и журнала. Если устройство недоступно дольше года, разумнее перестроить схему: либо перевезти аппарат, либо перейти на комплект из нескольких подписей с разными хранителями.

Вердикт

Подлинность — свойство не коробки, а связки «чип, прошивка, клиент, история устройства». Из редакционной практики: предупреждения клиентской программы закрывают и забывают чаще, чем пропускают проверку при распаковке. Квартальный ритм лечит именно это: четыре окна в год не дают подлинности превратиться в воспоминание о первом включении. И помните про границу — аттестация отвечает за чип, а за физическую историю устройства отвечаете вы.

Разборы по кошелькам и предупреждения о поддельных устройствах — в нашем Telegram-канале Cryptium.

Фактура проверена по первоисточникам: пределы проверки подлинности описаны в модели угроз исследовательского подразделения Ledger Donjon, а правила обращения с расширенными ключами — в стандарте BIP-32.