Как проверить подлинность аппаратного кошелька и оформить письменную инструкцию

Подлинность аппаратного кошелька проверяют тремя действиями: покупкой только у производителя или его официального дилера, криптографической проверкой устройства в фирменном приложении при первом подключении и убеждением в том, что секретная фраза генерируется на устройстве при вас, а не приходит готовой в комплекте. Устройство с уже записанной фразой — подделка без вариантов. Никакой другой признак этот не заменяет.

Ниже — как устроена подмена устройства, что проверять при получении посылки, порядок первого включения, проверка самого приложения и состав письменной инструкции по устройству.

Как работает подмена

Схема не требует технической изощрённости.

Злоумышленник покупает настоящее устройство, инициализирует его сам, записывает сгенерированную фразу себе, возвращает всё в упаковку и продаёт через объявление, площадку перепродаж или сомнительный интернет-магазин с привлекательной ценой.

Покупатель включает устройство и видит готовую карточку с двадцатью четырьмя словами. Инструкция, вложенная в коробку злоумышленником, объясняет, что фраза уже сгенерирована на заводе и её достаточно сохранить — и человек переводит на такой кошелёк средства, доступ к которым с самого начала есть у продавца.

Списание происходит не сразу.

Продавец ждёт, пока на адресе накопится сумма, ради которой стоит раскрывать схему, и забирает всё одной операцией — иногда через месяцы после покупки, когда владелец давно забыл, где приобретал устройство.

Что проверять при получении

Две строки перекрывают остальные. Даже если упаковка идеальна, а канал покупки выглядит солидно, готовая фраза в комплекте означает, что устройство инициализировано посторонним человеком, и других объяснений у этого нет.

Что нельзя проверить осмотром

Список короткий, но важный.

• Заводскую прошивку: подменённая версия внешне неотличима, её выявляет только проверка в приложении
• Происхождение фразы: по записанным словам невозможно понять, видел ли их кто-то ещё
• Историю устройства: б/у экземпляр, сброшенный к заводским настройкам, выглядит как новый
• Подлинность самого приложения, через которое вы устройство обслуживаете
• Наличие второго набора адресов, созданного прежним владельцем с парольной фразой

Последний пункт объясняет, почему сброс к заводским настройкам не спасает при покупке с рук. Устройство можно обнулить и создать на нём свой кошелёк, но если прежний владелец сохранил фразу и вы по ошибке восстановите старый кошелёк вместо создания нового, средства уйдут к нему.

Отсюда простое правило для вторичного рынка: не покупать. Экономия в несколько тысяч рублей несопоставима с суммой, которую вы собираетесь на это устройство положить.

Первое включение: порядок

1. Скачайте фирменное приложение с сайта производителя, найденного самостоятельно. Не по ссылке из коробки и не из результатов рекламной выдачи.
2. Проверьте само приложение. Производители публикуют контрольные суммы и подписи установочных файлов — сверка занимает пару минут.
3. Подключите устройство и дождитесь автоматической проверки подлинности. Она выполняется при первом соединении.
4. Обновите прошивку до актуальной версии через приложение, прежде чем создавать кошелёк.
5. Создайте новый кошелёк и запишите сгенерированную фразу на чистые карточки. Устройство покажет её только один раз.
6. Установите код доступа, без которого устройство бесполезно для нашедшего.
7. Проверьте копию встроенной функцией сверки и переведите пробную сумму до внесения основных средств.

Второй шаг пропускают почти все. Поддельные копии фирменных приложений попадали даже в официальные магазины программ: в одном из известных случаев дубликат управляющего приложения увёл около 16,8 биткоина, и устройство при этом было настоящим.

Почему письма «от поддержки» опасны именно у владельцев устройств

Причина в утечках покупательских баз.

Злоумышленник знает, что вы приобретали аппаратный кошелёк, знает модель и адрес доставки, поэтому письмо получается убедительным: в нём обращаются по имени, ссылаются на заказ и предлагают проверить безопасность устройства по ссылке.

Дальше стандартный сценарий. Сайт выглядит как фирменный, форма просит ввести фразу восстановления «для проверки целостности», и человек, уверенный, что общается с производителем, отдаёт доступ ко всем своим средствам добровольно.

Правило здесь одно и оно короткое: фраза не вводится нигде, кроме экрана самого устройства.

Письменная инструкция по устройству

Документ решает две задачи: помогает вам самому вспомнить детали через годы и позволяет близким разобраться, если вас не будет рядом.

Второй пункт пригодится при гарантийном обращении. Третий — при сомнениях спустя годы: память подводит, через пару лет владелец уже не помнит, проходило ли устройство проверку при первом подключении, а запись снимает вопрос за секунду.

Если подлинность под сомнением

1. Не переводите средства на адреса этого устройства до выяснения.
2. Пройдите проверку заново в фирменном приложении, скачанном с сайта производителя.
3. Обратитесь в поддержку производителя через официальный сайт, приложив серийный номер и фотографии.
4. Если устройство уже использовалось — считайте его фразу скомпрометированной и создайте новый кошелёк на заведомо подлинном устройстве.
5. Перенесите активы на новые адреса, начиная с самых ценных.
6. Сохраните доказательства покупки: объявление, переписку, чек, упаковку.

Четвёртый пункт не подлежит обсуждению. Если есть вероятность, что фразу видел кто-то ещё, устройство можно оставить как железку, но кошелёк, созданный на нём, использовать больше нельзя ни при каких условиях.

Чек-лист

• ✓ Куплено у производителя или официального дилера
• ✓ Упаковка и корпус без следов вскрытия и эксплуатации
• ✓ В комплекте только пустые карточки для записи
• ✓ Проверка подлинности в фирменном приложении пройдена
• ✓ Фраза сгенерирована устройством при первой настройке
• ✓ Прошивка обновлена, код доступа установлен
• ✗ Никаких готовых фраз из коробки
• ✗ Никакого ввода фразы вне экрана устройства
• ✗ Никаких покупок с рук ради экономии

Выбор устройства под задачу разобран в материале про выбор кошелька под сценарий использования, а признаки поддельных программных кошельков — в тексте про поддельные расширения кошельков.

Куда идти дальше

Подделывают не только устройства. Как распознать фальшивый обменный сервис, разобрано в материале про поддельные обменники, а общая гигиена хранения на год вперёд — в чек-листе безопасности криптокошелька.

Первоисточники: инструкция производителя по проверке подлинности устройства и разбор рисков при работе с аппаратными кошельками с описанием случая подделки фирменного приложения.