Проверить подлинность аппаратного кошелька для семейного хранения можно за один сеанс: осмотрите пломбу, подключите устройство к официальному приложению производителя, дождитесь криптографической аттестации и убедитесь, что PIN и фраза восстановления не заданы кем-то до вас. Для семьи добавляется ещё один шаг. Ту же процедуру должен уметь повторить второй взрослый, иначе результат проверки остаётся знанием одного человека.

Аттестация аппаратного кошелька — это обмен, в котором приложение производителя посылает устройству случайный запрос, устройство подписывает его ключом защищённого элемента и возвращает подпись с заводским сертификатом, а приложение сверяет обе подписи с корневым ключом вендора.

Что меняет семейный сценарий

Семейное хранилище отличается от личного одной деталью: у него больше одного будущего пользователя. Покупатель собирает устройство, записывает фразу, настраивает PIN — и остаётся единственным, кто понимает, почему этому железу можно верить. Через год к прибору подойдёт супруг или взрослый ребёнок. Он увидит коробку и экран. Оснований доверия ему никто не передавал.

Отсюда первое требование семейного режима. Проверка подлинности перестаёт быть разовым действием и становится описанной процедурой: что смотрим, в какой программе, какой результат считаем годным. В обращениях читателей мы регулярно видим обратную картину — устройство куплено давно, кем проверено, никто не помнит, и семья годами хранит сбережения на железе с неизвестной биографией.

Второе требование касается ответственности. Самостоятельное хранение переносит риск с посредника на владельца, и какую ответственность даёт самостоятельное хранение, стоит обсудить с семьёй до покупки. Иначе родственники узнают о своей роли в схеме хранения в самый неподходящий момент.

Сравнение схем семейного доступа

Выбор меняет не удобство, а то, кто поднимет кошелёк без владельца.

Схема хранения Кто проверяет железо Кто восстановит доступ без владельца Слабое место
Одно устройство, бумажный бэкап в сейфе владельца. Только владелец, однократно. Любой, кто найдёт лист и поймёт, что это фраза восстановления. Промежуточного состояния нет: бэкап либо не найдут, либо найдёт посторонний.
Бэкап разбит по SLIP-0039 на три доли с порогом два. Владелец до раздачи долей. Любые двое держателей, собравшись вместе. Доля выглядит обычным набором слов, и потерять её можно молча.
Два устройства из одной фразы, по одному у двух взрослых. Каждое устройство отдельно. Второй взрослый, своим PIN, немедленно. Утечка фразы обнуляет оба прибора сразу.
Мультиподпись два из трёх на устройствах трёх родственников. Каждый участник своё устройство. Любые двое со своими устройствами и описанием кошелька. Без описания кошелька подписи бесполезны, а теряют его чаще ключей.
Фраза известна семье, passphrase знает владелец. Владелец, однократно. Никто. Забытая строка означает полную потерю средств.

Вторая и четвёртая строки — рабочие варианты. Мультиподпись требует понимания того, как устроен расширенный публичный ключ в мультиподписи, зато снимает вопрос единственного носителя секрета. Последняя строка выглядит защитой. Работает она как ловушка.

Как проверить подлинность аппаратного кошелька для семейного хранения: шаг за шагом

Порядок ниже рассчитан на то, что рядом стоит второй человек и смотрит на те же экраны. Ему потом повторять.

  1. Сфотографируйте нераспечатанную упаковку, не снимая пломбу.
  2. Осмотрите пломбу на разъёме. У моделей Trezor Safe 3 отклеенная наклейка оставляет на корпусе след VOID, и этот след означает, что устройство вскрывали.
  3. Подключите устройство к официальному приложению вендора и дождитесь проверки подлинности: у Trezor Safe приложение сверяет сертификат из защищённого элемента, у Ledger серверный HSM посылает защищённому элементу случайный запрос и ждёт корректную подпись.
  4. Убедитесь, что устройство предлагает создать новую фразу, а не ввести готовую. Ledger прямо предупреждает: подлинное устройство не приходит с настроенным PIN или записанной фразой.
  5. Обновите прошивку до актуальной версии из приложения вендора и дождитесь, пока проверка подлинности пройдёт повторно.
  6. Создайте PIN при втором взрослом, не раскрывая комбинацию: он смотрит на процедуру.
  7. Запишите в семейный журнал дату, модель, серийный номер, имя проверявшего и результат аттестации.
Схема из пяти шагов: фотофиксация упаковки, осмотр пломбы, аттестация в приложении вендора, отказ от предзаданной фразы, запись результата в семейный журнал
Схема из пяти шагов: фотофиксация упаковки, осмотр пломбы, аттестация в приложении вендора, отказ от предзаданной фразы, запись результата в семейный журнал
На 12 октября 2026 года спецификация SLIP-0039 от SatoshiLabs допускает до 16 групп долей и до 16 долей внутри группы, а порог задаётся для каждого уровня отдельно. Схема «две доли из трёх» — минимум, а не предел стандарта.

Резервная копия, которую поднимет не один человек

Бумажная фраза в сейфе владельца — не семейная резервная копия. Это личная копия, о которой семья знает на словах. Разница выясняется в неподходящий день.

Распределённый бэкап решает задачу честнее. Доли SLIP-0039 раздаются разным людям, любая пара восстанавливает кошелёк, одна доля не даёт ничего. Держателям объясняют две вещи: это не пароль и доли не складывают вместе. Тестовое восстановление заслуживает отдельного разбора, здесь ограничимся требованием: копия проверена только после того, как её подняли на устройстве.

Отдельная тема — откуда берутся слова. Стандарт BIP-39 и происхождение 24 слов восстановления объясняет, почему каждое слово кодирует 11 бит, а хвост фразы занят контрольной суммой от SHA-256. Тому, кто будет восстанавливать, это пригодится: неверное слово фраза отвергнет сама.

Ошибки, которые стоят семье денег

Самая частая — отложить проверку. Устройство включили, активы перевели, аттестацию посмотреть забыли. Через полгода выяснять биографию железа поздно.

Вторая ошибка — передать семье фразу, но не передать passphrase: по документации Trezor каждая введённая строка открывает собственный кошелёк, а сам passphrase нельзя изменить, удалить или восстановить. Родственник с верной фразой увидит нулевой баланс и решит, что средства украли.

Третья — хранить доли бэкапа у одного человека «на время»: схема два из трёх превращается в один из одного, и остальные члены семьи об этой перемене не узнают.

Фраза восстановления не живёт в облачном диске, переписке мессенджера и фотогалерее телефона: снимок бумажного листа уходит в автоматическую синхронизацию раньше, чем вы о ней вспомните, и дальше сбережения семьи защищает чужой пароль к почтовому ящику.

Что делать, если доступ потерян

Сначала определите, что именно потеряно: устройство, PIN, фраза восстановления или passphrase — это четыре разные ситуации с разными исходами, и общего плана действий у них нет.

Потеряно устройство, фраза на месте: кошелёк восстанавливается на новом экземпляре, и новое устройство проходит аттестацию заново. Забыт PIN: устройство стирается после лимита попыток и поднимается из фразы. У Ledger лимит составляет три попытки, у Trezor Safe 3 и Safe 5 — шестнадцать, у Trezor Safe 7 — десять, по текущим страницам поддержки обоих вендоров. Утрачена фраза при живом устройстве: переводите средства на новый кошелёк сегодня, пока PIN помните.

Утрачен passphrase — средства недоступны, и это не ошибка настройки, а заявленное поведение. Семье, которая держит активы годами, стоит заранее решить, нужен ли этот слой вообще; смежный материал о том, как организовать хранение криптовалюты на годы, разбирает цену такого решения на длинном горизонте.

Чек-лист семейной приёмки

  • Упаковка сфотографирована до вскрытия, пломба на разъёме целая.
  • Аттестация в приложении вендора пройдена, формулировка записана дословно.
  • Устройство предложило создать фразу само; готовой фразы в комплекте не было.
  • Прошивка обновлена, проверка подлинности повторена.
  • Процедуру проверки наблюдал второй взрослый и может повторить её по памяти.
  • Схема бэкапа записана: кто держит доли, какой порог, где описание кошелька.
  • Решение по passphrase принято сознательно и записано.
  • Семейный журнал устройства заведён: модель, серийный номер, дата, проверявший.

Частые вопросы

Можно ли доверять устройству, если пломбы в коробке не было вовсе?

Отсутствие наклейки не приговор: часть вендоров отказалась от пломб сознательно, считая бумажную защиту имитацией. Решает криптографическая аттестация: если приложение производителя её подтвердило и устройство предлагает создать новую фразу, железу можно верить. Проверка не пройдена — кошелёк не настраивайте и пишите продавцу.

Нужно ли каждому члену семьи своё устройство?

Не обязательно, но полезно. Второе устройство снимает зависимость от одного экземпляра и позволяет проверить бэкап без разбора основного кошелька. При мультиподписи устройства у участников обязательны по устройству схемы. При бэкапе из долей достаточно одного прибора на семью и договорённости, у кого он лежит.

Как объяснить родственнику, что такое доля бэкапа, без лекции по криптографии?

Скажите, что это один из трёх конвертов, и любые два открывают семейный сейф. Один конверт не открывает ничего. Конверт нельзя фотографировать, пересылать и хранить вместе с другим конвертом. Этого хватает для корректного поведения; стандарт и пороги держателю доли знать не требуется.

Стоит ли записывать результат проверки, если всё прошло успешно?

Стоит, и это главная поправка семейного режима. Запись превращает личное воспоминание в документ, которым сможет воспользоваться другой человек. В журнал идут дата, модель, серийный номер, имя проверявшего и дословная формулировка приложения. Страница от руки работает лучше, чем уверенность владельца через три года.

Первоисточники: спецификация SLIP-0039 и описание резервной копии по схеме Шамира у производителя.

Вердикт

Семейное хранилище проверяют дважды: сначала железо, потом процедуру. Аттестация занимает минуту, а передача этой минуты второму взрослому — отдельная работа, которую в семьях почти никогда не доводят до конца. Из редакционной практики: приборы с неизвестной биографией встречаются не у новичков, а у семей, где всё держалось на одном увлечённом человеке.

Разборы по хранению и проверке устройств выходят в Telegram-канале Cryptium.