Всем привет! Спасибо за отзывы, рекомендации и вообще упоминание нашего магазина. Огромная работа, которую мы сделали с 2017 года: статьи и более 130 видео в YouTube канале дает о себе знать. Хотел бы вставить копейку и ответить на базовые вопросы по холодным устройствам для хранения цифровых активов.
Один из частых вопросов с которыми мы сталкиваемся - что лучше? Или что безопаснее среди популярных девайсов.
Однозначно ответить на него нельзя, так как у каждого устройства есть свои преимущества. Но можно ответить на несколько базовых вопросов и определиться с выбором.
1) Какие монеты вы собираетесь использовать?
2) Насколько вы требовательны в вопросе доверия к производителю?
3) Насколько часто вы собираетесь использовать кошелек? Имеется в виду совершение транзакций
4) Хотите ли вы иметь возможность совершать транзакции с помощью смартфона?
Как правило, ответ на эти вопросы позволяет определиться с девайсом. Теперь я постараюсь расшифровать суть вопросов.
1) Какие монеты вы собираетесь использовать?
Это пожалуй фундаментальный вопрос, так как если вы собираетесь держать BTC и только, то на рынке имеются Trezor, BitBox02 с версиями только для биткоина. Это увеличивает безопасность за счет очень простой прошивки, которая исключает алгоритмы расчета других ключей в том числе u2f. Безопасность увеличивается за счет уменьшения других возможностей (монет), что в свою очередь уменьшает поверхность атак, потенциальных ошибок.
Если вас интересуют альты, то я бы перед покупкой уточнил бы возможна ли интеграция с этой монетой и если ДА, то обязательно скачал бы клиент этой монеты и посмотрел бы на него с точки зрения удобства. Учтите, что многие альты работают через сторонние интерфейсы: XEM : Nano Wallet, TRON: Tronscan, EOS: Bloks.io, Fairy Wallet и тп.
Плюс ко всему, проверка стороннего клиента может предопределить какой девайс вам нужен. Например Trezor работает с EOS через Bloks.io, а Ledger через Fairy Wallet. Соответственно, если вам важна эта монета, то сначала проверьте клиент. Насколько вам удобно пользоваться им? Глючит ли он с вашей ОС и тп. Далее делаете выбор в пользу удобного Вам!
Замечу, что внешние клиенты не влияют на безопасность аппаратного кошелька, однако они создают неудобство, так как вам придется выходить за периметры оригинального интерфейса и устанавливать сторонний клиент у которого возможно отсутствует русский язык, неудобный интерфейс и тп
2) Насколько вы требовательны в вопросе доверия к производителю?
Еще один фундаментальный вопрос. Индустрия разделилась на две части: одни производители идут по пути открытого кода, а другие используют проприетарное ПО - закрытый код. Пример – Trezor использует открытый код, что позволяет любому желающему обратить к аудторской компании для проверки кода на наличие ошибок, бэкдора. Ledger использует закрытый код и что происходит в ОС bolos, никто не знает. Соответственно мы вынуждены доверять производителю Леджер. Использование Secure Element у Ledger подразумевает заключение NDA соглашения о неразглашении с производителем чипов Secure, так как у этих чипов есть своя ОС на основе java card на которой и функционирует bolos леджера.
Trezor использует обычные чипы, которые, можно сказать, что используются в бытовых приборах. Эти чипы не предназначены для хранения приватных данных. Соответственно они уязвимы к офлайн атакам (кража кошелька у пользователя, вскрытие и извлечение сида); Одна из таких атак была продемонстрирована в конце 19 года командой Kraken Security. Да, кошельки Trezor One, Trezor T и производные, которые используют программный код Trezor - Keepkey можно взломать. Только офлайн! От онлайн атак Trezor, Keepkey защищены, так как приватные ключи не никогда покидают девайс.
Опишу еще одну уязвимость, которая была у Ledger, которая была осуществлена ребятами из РФ. Они просто заменили клиент mycelium на злоумышленный и заменили адрес сдачи, что позволяло украсть деньги пользователей УДАЛЕННО! Оказалось, что Ledger не проверял адрес сдачи на тот момент. Если не ошибаюсь это было в 18 году. Эту уязвимость быстро пофиксили. Однако это хороший пример того, что за закрытым кодом могут быть уязвимости, которые будут ждать своего часа.
Итак у нас чаша весов. На одной чаше открытое ПО и хороший код, но есть риск офлайн взлома, а на другой чаше закрытое ПО и потенциальные уязвимости, но зато офлайн взлом невозможен.
Отсюда задаем себе еще один вопрос – насколько вы оцениваете вероятность, что устройство у вас украдут и взломают? Если вы оцениваете эти шансы высоко, то советую присмотреться к девайсам с чипами Secure Element - Ledger. И насколько вы оцениваете шансы, что Ledger может нести в себе уязвимость (как это было со сдачей в 18 году)? Если шансы высокие, то присмотритесь к Trezor.
Я скажу, что и первый и второй сценарий крайне маловероятен на основе статистики нашей компании. Еще стоит отметить, что при использовании кодовой фразы Трезор невозможно взломать оффлайн. Это идеальная комбинация открытого ПО + защиты от физических атак. Однако за безопасность нужно платить удобством и нам придется каждый раз при входе в девайс вводить длинный и сложный пароль.
Как показывает моя практика, 99% краж с аппаратного кошелька или утери денег происходит из-за человеческого фактора. Тупо не выполнили рекомендации экспертов индустрии: не сохранили сид, перепутали сиды, записали, но поменяли местами слова, попались на фишинг и тп.
Другими словами, в 99% безопасность средств при использовании аппаратного кошелька зависит от самого пользователя.
Также на рынке есть устройства, которые сочетают в себе Secure Element и открытое ПО – Bitbox02, Coldcard. Это достигается за счет того, что в чипе не выполняются никакие операции и соответственно не используется собственное ПО, которое интегрируется с проприетарным. В чипе просто хранится приватный ключ, который на момент подпись транзакции извлекается из чипа. Минус этих устройств в меньшей мультивалютности. Coldcard вообще поддерживает только BTC и рассчитан на шифропанковскую аудиторию.
3) Насколько часто вы собираетесь использовать кошелек? Имеется в виду совершение транзакций
Если вы будете просто ходлить биток, эфир и другие базовые монеты и не будете часто совершать транзы. То я бы советовал не переплачивать за новые модели типа TrezorT, NanoX, а приобрел бы младшие - Trezor One, Ledger Nano S. Если вы будете часто совершать транзакции, то можно присмотреться к новым моделям, так как они однозначно удобнее за счет улучшенного экрана, размеров девайса.
4) Хотите ли вы иметь возможность совершать транзкции с помощью смартфона?
Если не важно, то опять же смотрим на младшие модели и не тратим деньги лишние. Если важно, то можно рассмотреть Ledger Nano S, Trezor One, которые подключаются к Android через кабель. Или же NanoX с bluetooth соединением к Android, iOS. Также из беспроводных можно рассмотреть CoolWalletS с чипом secure element и возможностью подключаться к ios, android через bluetooth.
Еще одна альтернатива использовать аппаратный кошелек + мобильный некастодиальный кошелек, где вы не доверяете свои приватные ключи разработчикам. Однако, чтобы уменьшить требование к доверию вы используете мобильный кошелек с маленькими суммами. Каждый сам для себя определит этот размер. Таким образом, вы добиваетесь оптимального удобства и безопасности. На аппаратном кошельке храните 90% портфеля, а когда нужно быстро получить деньги, можете использовать мобильный в качестве транзитного кошелька. Вы на него получаете деньги и через некоторое время переводите обратно на Trezor. Мобильных кошельков много. Я использую Exodus, так как он мультивалютный и удобный с точки зрения UI/UX.
Поэтому однозначно ответить на то, что лучше сложно. Лучше всего самому ответить на вышеперечисленные вопросы и определиться с девайсом. Это были базовые вопросы, но есть и много других, которые касаются области анонимности. Ссылок давать здесь не буду, чтобы не нарушать правила чата, но скажу, что помимо Trezor, Ledger на рынке есть много других интересных устройств со своими фишками типа BitBox02, CoolWalletS, Ellipal, Coldcard, Tangem. У нас вы можете получить полную консультацию по девайсам и приехать в офис поиграть с любым из аппаратных кошельков перед покупкой.
cryptonist changed their profile photo
