Что такое seed-фраза и почему она важнее пароля
Seed-фраза (мнемоническая фраза) — это набор из 12 или 24 слов, из которого кошелёк математически восстанавливает все ваши приватные ключи и адреса. Любой, кто знает фразу, получает полный контроль над средствами: ему не нужны ни ваш телефон, ни пароль от приложения, ни доступ к почте.
Поэтому seed-фраза устроена иначе, чем пароль от сайта. Пароль можно сбросить через поддержку. Блокчейн поддержки не имеет: транзакция, подписанная вашим ключом, считается волей владельца, и отменить её нельзя. Эта особенность и делает seed-фразу главной целью мошенников.
Как хранить seed-фразу
Базовый принцип: фраза живёт офлайн и в нескольких экземплярах, но не в местах, куда есть удалённый доступ.
- Запишите слова от руки на бумагу или выбейте на металлической пластине, соблюдая порядок и нумерацию.
- Храните копии в разных физических местах, например дома и в банковской ячейке или у доверенного человека, чтобы пожар или потеря не уничтожили единственный экземпляр.
- Проверьте запись: восстановите кошелёк на чистом устройстве с небольшой суммой, прежде чем доверять ему крупные средства.
- Не рассказывайте посторонним, где и как вы храните фразу.
Если вы используете дополнительную парольную фразу (passphrase), храните её отдельно от слов: потеря любого из двух элементов означает потерю доступа.
Чего никогда не делать с seed-фразой и приватными ключами
Ниже перечислены действия, которые чаще всего заканчиваются потерей средств.
- Не фотографируйте фразу и не делайте скриншот: снимки синхронизируются с облаком и попадают в чужие руки при взломе аккаунта.
- Не сохраняйте фразу в заметках, мессенджерах, почте, облачных документах и менеджере паролей без отдельной защиты.
- Не вводите фразу на сайтах, в формах «проверки кошелька», «синхронизации» или «подтверждения владения».
- Не отправляйте фразу и приватный ключ в чат поддержки, даже если собеседник представляется сотрудником сервиса или разработчиком кошелька.
- Не диктуйте слова по телефону и не показывайте их по видеосвязи.
Запомните простое правило: seed-фраза нужна только в одном случае, когда вы сами восстанавливаете свой кошелёк в приложении или на аппаратном устройстве.
Отдельно о приватных ключах: это те же данные доступа, только в другой форме. Строка «приватный ключ» или файл с ключом требуют такого же обращения, как слова фразы. Импортируя ключ в чужую программу, вы фактически передаёте ей кошелёк.
Как выглядят фишинговые сайты и сообщения
Фишинг — это попытка заставить вас добровольно отдать данные или подписать вредоносную операцию. Копия сайта может выглядеть почти идентично оригиналу, поэтому оценивать нужно не дизайн, а адрес и контекст.
- Домен отличается на одну-две буквы, содержит лишние слова, дефисы или необычную зону.
- Ссылка пришла из рекламы в поиске, личного сообщения, комментария или письма, а не из закладки, которую вы сохранили сами.
- Страница торопит: «аккаунт будет заблокирован», «раздача заканчивается через 10 минут».
- Сайт просит ввести seed-фразу или приватный ключ «для восстановления доступа».
- Вам предлагают обмен «по специальному курсу» в личных сообщениях.
О том, как распознать недобросовестные сервисы, подробнее написано в материале признаки фейкового обменника.
Подмена адреса и clipboard hijacking
Clipboard hijacking — это вредоносная программа, которая следит за буфером обмена. Когда вы копируете адрес кошелька, она незаметно подменяет его на адрес злоумышленника. Вы вставляете чужой адрес, не замечая различия, и отправляете средства ему.
Защита строится на привычке сверки:
- После вставки сравните адрес с оригиналом целиком, а не только первые и последние символы: мошенники нередко подбирают адреса с похожим началом и концом.
- Для крупных сумм сначала отправьте небольшой тестовый платёж и убедитесь, что он дошёл.
- Используйте адресную книгу кошелька для постоянных получателей и проверяйте записанный там адрес.
- Держите систему и антивирус обновлёнными, не устанавливайте программы из сомнительных источников.
Порядок проверки описан в статье как проверить адрес кошелька.
Approve-подтверждения токенов: на что смотреть
В сетях со смарт-контрактами (например, Ethereum, BNB Chain) токены, такие как USDT, можно отправить двумя способами: обычным переводом или через разрешение (approve). Approve даёт контракту право списывать ваши токены в заданном объёме, иногда без ограничения по сумме и сроку. Если вы выдали такое разрешение вредоносному контракту, он может забрать токены позже, без нового запроса.
Перед подтверждением проверьте:
- Какой контракт или сайт запрашивает доступ, и вы ли инициировали это действие.
- Какой токен и какую сумму вы разрешаете. Формулировка «неограниченно» (unlimited) повышает риск.
- Зачем вообще нужно разрешение. Для простого перевода на адрес обмена approve не требуется.
Периодически просматривайте выданные разрешения в обозревателе блокчейна или специальных инструментах и отзывайте ненужные. Отзыв тоже является транзакцией и требует комиссии сети.
Подпись сообщений и «бесплатные раздачи»
Кошелёк просит подписать не только транзакции, но и сообщения. Подпись сообщения сама по себе не списывает средства, но некоторые подписи используются как разрешения для будущих операций. Читайте текст запроса: если вы не понимаете, что подписываете, отклоните запрос.
Отдельная категория обмана — «бесплатные раздачи», приглашения «получить бонус» и токены, которые внезапно появились на вашем адресе. Попытка продать такой токен или «заклеймить» награду на постороннем сайте часто приводит к вредоносному approve. Если неизвестный токен появился сам, самый безопасный вариант — ничего с ним не делать.
Холодный и горячий кошелёк: в чём разница
Горячий кошелёк постоянно подключён к интернету: мобильное приложение, расширение браузера, веб-кошелёк. Он удобен для частых операций, но уязвим для вредоносных программ и фишинга. Холодный кошелёк хранит ключи на устройстве, не подключённом к сети постоянно: аппаратный кошелёк или офлайн-хранилище. Подпись происходит внутри устройства, а ключи не покидают его. На экране устройства вы видите адрес и сумму операции, и именно их нужно проверять перед нажатием кнопки.
- Горячий кошелёк подходит для небольших сумм и повседневных переводов.
- Холодный кошелёк подходит для долгосрочного хранения заметных сумм.
- Оба типа не защищают от ошибки пользователя: подтвердив вредоносную операцию на аппаратном устройстве, вы всё равно теряете средства.
Разделение ролей — частая практика: небольшой остаток для операций держат в горячем кошельке, остальное хранят отдельно.
Как выбрать кошелёк и устройство
Универсального ответа нет, но есть критерии, которые помогают сравнивать варианты.
- Кто хранит ключи. В некастодиальном кошельке ключи у вас и ответственность на вас; в кастодиальном (например, на бирже) ключами управляет компания.
- Поддержка нужных сетей: проверьте, что кошелёк работает с монетой и сетью, которую вы собираетесь получать.
- Источник приложения. Скачивайте кошелёк только с официального сайта разработчика или из официального магазина, сверяя название и разработчика.
- Прозрачность проекта: открытый исходный код, регулярные обновления, понятная история.
Для устройства, на котором стоит кошелёк, соблюдайте базовую гигиену: обновления, блокировка экрана, отсутствие сомнительных расширений. Не используйте для крупных сумм общедоступные компьютеры и непроверенные публичные сети. Для сайтов с обменом удобно завести отдельный профиль браузера без лишних расширений: вредоносное расширение способно читать страницы и менять адреса.
Как убедиться, что вы на настоящем сайте сервиса
Проверка сайта занимает меньше минуты и снимает большую часть риска.
- Откройте сервис по закладке или введите адрес вручную, а не переходите по ссылке из сообщения или рекламы.
- Прочитайте домен в адресной строке посимвольно. У BITWHITE единственный официальный домен — bitwhite.net.
- Убедитесь, что соединение защищено, но помните: значок замка говорит о шифровании, а не о честности сайта.
- Контакты ищите только на официальной странице «Контакты» самого сервиса.
- Если сервис просит seed-фразу или приватный ключ, закройте страницу: так не поступает ни один настоящий сервис.
Что делать, если seed-фраза могла попасть к мошенникам
Если вы ввели фразу на подозрительном сайте или отправили её постороннему, считайте кошелёк скомпрометированным. Действовать нужно быстро.
- Создайте новый кошелёк на чистом устройстве с новой seed-фразой.
- Как можно скорее переведите оставшиеся средства на новый адрес, учитывая комиссию сети.
- Отзовите выданные разрешения (approve) со старого адреса, если на нём ещё что-то осталось.
- Смените пароли от связанных аккаунтов и проверьте устройство на вредоносные программы.
Не доверяйте незнакомцам, которые предлагают вернуть деньги за предоплату: это следующая волна обмана. Вернуть уже списанные средства обычно невозможно, поэтому эти шаги направлены на защиту остатка. Если сумма значительна, имеет смысл обратиться к юристу и в правоохранительные органы.
Защита аккаунтов и устройств вокруг кошелька
Даже идеальное хранение seed-фразы не поможет, если злоумышленник получит доступ к почте или телефону, на которые завязаны сервисы. Несколько привычек заметно снижают риск.
- Используйте уникальные длинные пароли для каждого сервиса и включайте двухфакторную аутентификацию через приложение-аутентификатор, а не только через SMS.
- Не открывайте вложения и ссылки из писем, которые имитируют уведомления биржи, кошелька или обменника.
- Не устанавливайте программы удалённого доступа по просьбе «специалиста поддержки»: через них можно увидеть экран и подтвердить операции за вас.
- Раздельно храните резервные копии и устройство, на котором стоит кошелёк.
Если что-то в ситуации кажется срочным и требует немедленно ввести данные или отправить средства, остановитесь. Срочность — главный инструмент социальной инженерии, а честный сервис не лишает вас времени на проверку.
Типичные ошибки
- Хранить фразу в фотографии или заметках на телефоне «временно».
- Сверять только начало и конец адреса.
- Подтверждать approve без чтения суммы и адреса контракта.
- Переходить на сервис по ссылке из рекламы или личного сообщения.
- Доверять собеседнику, который «помогает» с кошельком и просит данные для восстановления.
- Хранить всю сумму в горячем кошельке на том же устройстве, где устанавливаются случайные программы.
- Отправлять платёж в неверной сети: см. что делать, если отправили не в ту сеть или на неверный адрес.
Чек-лист безопасности перед отправкой средств
- Seed-фраза записана на бумагу или металл, хранится офлайн и не фотографировалась.
- Сайт открыт по закладке, домен проверен посимвольно.
- Адрес получателя сверен целиком после вставки.
- Выбрана правильная сеть, при необходимости указан memo или destination tag (как это работает).
- Для крупной суммы выполнен тестовый платёж.
- Все запросы на подпись и approve прочитаны до подтверждения.
- Номер заказа и ссылка на него сохранены; позже транзакцию можно найти по txid (как пользоваться обозревателем).
Общий порядок действий при обмене разобран в пошаговом руководстве.
Как это связано с обменом на BITWHITE
Для обмена на BITWHITE не нужны ни seed-фраза, ни приватные ключи: сервис никогда не просит их и не предлагает обмен в личных сообщениях. Единственный официальный домен — bitwhite.net, а официальные каналы поддержки указаны на странице «Контакты». Регистрация для создания заказа не требуется.
Адрес получения вы указываете сами, поэтому сверяйте его после вставки. Адрес для оплаты выдаётся отдельно на каждый заказ и действует до 2 часов; отправляйте точную сумму и в выбранной сети. Переводы на ошибочные реквизиты возврату не подлежат, а в автоматическом режиме адрес возврата вы тоже указываете сами, так что и его стоит проверить. Если нужна помощь, обращайтесь только через официальные каналы, указав номер заказа (BW-…), монету, сумму и txid. Если вы готовы создать заказ, откройте форму обмена на bitwhite.net по закладке.