Разделение хранения работает только при одном условии: у кошельков должны быть разные фразы восстановления. Несколько адресов внутри одного кошелька разделением не являются — они выведены из общего корня, и компрометация фразы забирает их разом. Рабочая схема состоит из трёх уровней: холодный для долгого хранения, рабочий для операций и пустой экспериментальный для всего незнакомого.

Главная ошибка разделения

Она встречается чаще всех остальных вместе взятых. Человек создаёт в приложении три аккаунта, раскладывает по ним средства и считает задачу решённой.

Разделены только номера счетов. Все три адреса выведены из одной фразы по стандартному пути, и тот, кто получит эту фразу, получит все три кошелька одновременно.

Три уровня и что на них лежит

Логика простая. Чем выше риск действия, тем меньше сумма на кошельке, которым это действие выполняется.

Холодный кошелёк живёт на аппаратном устройстве или на телефоне, который не используется для интернета. К приложениям он не подключается. Не подписывает ничего, кроме переводов на известные адреса, и этим отличается от всех остальных. Рабочий стоит на основном телефоне и держит столько, сколько нужно в ближайший месяц. Третий — экспериментальный. Отдельное расширение в отдельном браузерном профиле, где лежат двадцать долларов на газ и ничего больше.

Как переносить средства между уровнями

Здесь появляется практическая сложность. Разделение имеет смысл только тогда, когда перенос между кошельками не превращается в мучение.

1. Занесите адреса всех своих кошельков в адресную книгу каждого из них.
2. Подпишите их понятными именами: «холодный», «рабочий», «эксперимент».
3. Отправляйте только из адресной книги, никогда — копированием из истории.
4. Пополняйте рабочий кошелёк по расписанию, а не по каждой мелкой нужде.
5. Держите на холодном немного газа: без него оттуда ничего не отправить.
6. С холодного отправляйте редко и всегда с проверкой адреса на экране устройства.
7. Перед крупным переводом делайте пробный на минимальную сумму.
8. Возвращайте излишки с рабочего на холодный, когда операция закончена.

Шестой пункт выпадает у всех. Средства приходят на рабочий кошелёк и остаются там навсегда, потому что «скоро понадобятся», — и через полгода на «рабочем» лежит весь портфель.

Сколько кошельков нужно на самом деле

Три уровня — это схема, а не обязательный минимум. У большинства достаточно двух.

Один кошелёк оправдан, пока сумма невелика и вы никуда не подключаетесь. Два нужны с того момента, когда появляются взаимодействия с приложениями и подписи. Третий заводят те, кто регулярно пробует новое и не хочет каждый раз заново прикидывать, чем именно рискует в этой конкретной сделке, потому что ответ у них уже записан заранее.

Четыре и больше заводят обычно по другому признаку — по назначению, а не по уровню риска: отдельный кошелёк на семью, отдельный на бизнес, отдельный под долгую позицию в конкретной сети. Здесь важно не количество, а понимание, что лежит на каждом и почему.

Как подбирать кошелёк под конкретный сценарий, разобрано в отдельном материале, а порядок создания первого — здесь.

С чего начать, если кошелёк пока один

Переезжать одним движением не нужно. Схема разворачивается по частям, и каждая часть работает сама по себе.

Первым делом создаётся экспериментальный кошелёк. Он ничего не стоит, ничем не рискует и сразу снимает главный риск: подключения к незнакомым приложениям уходят с основного адреса. На это уходит десять минут, и уже после этого шага картина меняется.

Вторым шагом появляется холодный. Сюда переезжает та часть портфеля, которую вы не собираетесь трогать в ближайшие месяцы, и переезд делается одним переводом, а не десятью мелкими. После него на прежнем кошельке остаётся рабочая сумма — он и становится рабочим уровнем, без всякого дополнительного создания.

Третьего шага может не быть. Если экспериментальный и холодный разведены, а на рабочем лежит понятный вам остаток, схема уже собрана.

Что усложняется при разделении

Скажу про цену. Неудобств несколько, и делать вид, что их нет, бессмысленно — лучше знать о них заранее.

• Копий фраз становится столько же, сколько кошельков, и каждую надо проверить.
• Переводы между своими кошельками стоят комиссию сети.
• Учёт усложняется: операций больше, история разбросана по адресам.
• При наследовании инструкция нужна на каждый кошелёк отдельно.
• Легко забыть, что на каком лежит, если не вести список.
• Приложения приходится настраивать заново на каждом устройстве отдельно.

Последний пункт снимается одним файлом. Список кошельков с назначением каждого стоит завести в тот же день, когда появился второй, — иначе через год вы будете вспоминать, зачем создавали третий.

Наследование при нескольких кошельках

Разделение создаёт проблему, о которой не думают. Инструкция для близких усложняется во столько раз, сколько у вас кошельков, и без неё схема из трёх уровней превращается для наследника в три отдельные головоломки.

Решается это одним общим документом. В нём перечислены все кошельки, назначение каждого и место хранения копии — без самих фраз, которые лежат отдельно и по разным местам.

Отдельно стоит указать порядок. Наследнику нужно знать не только где что лежит, но и с чего начинать: холодный кошелёк обычно содержит основную часть, и разбираться логично с него, а не с экспериментального, где двадцать долларов на газ.

Как понять, что схема работает

Проверка одна и делается мысленно. Представьте: фраза от рабочего кошелька утекла ночью. Что вы потеряете?

Схема собрана правильно, если ответ укладывается в одну строку и не вызывает желания немедленно встать и что-нибудь перевести. Ответ длинный — значит, разделение существует лишь на бумаге, а весь портфель лежит на том адресе, к которому вы подключаетесь каждый день.

Вторая проверка — про удобство. Схема, которой неудобно пользоваться, разваливается за месяц: человек перестаёт возвращать излишки на холодный, потом перестаёт переключать профили, а потом обнаруживает всё на одном адресе. Поэтому уровней должно быть ровно столько, сколько вы готовы обслуживать.

Разделение и остальная гигиена

Это не замена другим мерам. Способ ограничить ущерб, когда остальные не сработали, — и не более того.

Кражу фразы оно не предотвращает. Не отменяет проверки ссылок и не защищает от подписи вредного разрешения. Всё, что оно делает, — ограничивает размер потери суммой того кошелька, которым вы работали, и в списках базовых правил безопасности этот приём стоит рядом с защитой ключей. Немного и одновременно много.

Ежемесячная рутина по отзыву разрешений и проверке устройств разобрана в отдельном материале. Годовой чек-лист — здесь.

Коротко

Разделение — это разные фразы. Схема из трёх уровней распределяет средства по риску действия: холодный не подключается никуда, рабочий держит потолок, экспериментальный не держит ничего ценного. Потолок называется заранее. Аппаратное устройство защищает ключ, но не отменяет выданных разрешений, поэтому холодный кошелёк остаётся отключённым от приложений даже при полном доверии к самому устройству. А список кошельков заводится в тот же день, когда появляется второй.