Каждая деталь, которую хвалят в обзорах, - отдельная дыра
Аппаратный кошелек закрывает одну дыру: ключ больше не лежит на телефоне с интернетом. Но устройство не пустое. У него есть прошивка, обновления, программа на компьютере, экран, коробка, продавец с вашим адресом - и каждая деталь добавляет поверхность атаки, которой у вас раньше не было. Ниже восемь таких деталей: что о них пишут в обзорах, как через них забирали деньги, как закрыть брешь и есть ли эта деталь у нашего комплекта.
Прошивка, которая создаёт ваш ключ
Ключ - огромное случайное число, и делает его прошивка. Одна ошибка в ней - и ключей на самом деле мало: их перебирают у всех владельцев сразу, без доступа к устройству, через годы после покупки. Чип ни при чём, дыра выше него.
Обновления, которые вы обязаны ставить
Каждое обновление - момент, когда прошивку можно подменить. Подкрученная прошивка прячет кусочки сида в двух-трёх обычных подписях, а снаружи устройство работает как всегда. Не обновляться тоже нельзя: дыры чинят именно обновлениями.
Кошелек для недоверия, к которому прилагается служба
Вы покупаете устройство ради одного: чтобы больше не доверять компьютеру. Чтобы оно заработало, на этот же компьютер надо поставить фоновую службу. Вы её не писали, не запускали и не контролируете: она стартует вместе с системой, слушает порт, к которому может постучаться любая программа на вашей машине, и что-то делает прямо сейчас - что именно, вы не знаете и никогда не проверите.
Она висела в фоне и после того, как вы закрыли кошелек. Годами. У одного из крупнейших производителей это была отдельная служба-«мост»; в 2025 году её спрятали внутрь самого приложения - служба на месте, просто умирает вместе с окном. У большинства других без программы на компьютере устройство - брелок. На Linux добавьте правила udev, иначе система не отдаст USB.
То есть вещь, которую вы купили, чтобы не зависеть от программ на компьютере, не работает без программы на компьютере. Причём не той, которую вы видите, а той, которая крутится под ней.
Вы хотели дом ради приватности. Купили. Потом понадобилась охрана - поставили. А чтобы тариф на охрану работал, вас попросили пустить в дом человека в форме, который живет у вас в подсобке круглосуточно, имеет ключи от всех дверей и отчитывается не вам. Вы его не нанимали, уволить не можете, и что он делает по ночам - не знаете.
Он, конечно, свой. Так написано в договоре. Вы хотели приватности, а получили суррогат: дом с жильцом, которого не выбирали.
Открытый код - способ программистам работать вместе, а не знак, что программа не ворует
Открытый исходный код придумали, чтобы делиться программами и чинить их сообща. Это инструмент совместной работы, и в этом качестве он прекрасен. Знаком качества «этот софт не украдет ваши деньги» он не был никогда, и вот почему: вы не пользуетесь исходным кодом. Вы пользуетесь тем, что скачали.
Между репозиторием на GitHub и файлом на вашем телефоне - сборка, магазин приложений, обновление, сервер. На любом из этих шагов в код может попасть одна строка, которая подгружает что угодно откуда угодно, - и в репозитории её не будет. Сравнить свою копию с исходником вы не можете: магазины отдают скомпилированный файл, веб-кошелек при каждом открытии получает тот код, который сервер решил отдать именно вам сегодня, расширение браузера обновляется молча ночью.
«Открыто» означает, что какие-то люди могут проверить какую-то версию в какой-то день. Что делает ваша копия прямо сейчас - не означает.
Экран, на котором не видно, что подписываешь
Экран маленький, и часто на нем не адрес и сумма, а хэш или «вызов контракта». Вы подтверждаете то, чего не видите, - и подпись при этом честная, ваша. Экран дает ощущение контроля, которого нет.
Коробка, в которой уже лежит сид
Физическое устройство - это доставка, посредники и маркетплейсы «со скидкой». Кошелек приходит уже настроенным, с сидом на бумажке внутри. Или приложение-двойник в магазине просит «ввести сид для активации».
Аккаунт у производителя
Чтобы купить устройство, вы оставляете производителю имя, почту и адрес доставки. Теперь ваша безопасность зависит от его базы. Утечет - и вам годами будут писать «подтвердите сид на новом устройстве», иногда присылая посылки.
Одно устройство и одна бумажка
Чем больше деталей, тем больше ломается: разъем, экран, батарея. А восстановление упирается в одну бумажку с сидом - залитую, потерянную при переезде, сфотографированную «на всякий случай». Самая частая причина потерь - не взлом.
Чего в кошельке быть не должно
Восемь деталей по восьми брешам. Список подходит любому кошельку - аппаратному, мобильному, браузерному. Отметьте, что есть у того, который вы выбираете, - и у нашего тоже.
Не заводской «безопасный чип» — носитель, который шифруете вы
Карты приезжают пустыми. Ключ создаёте в Mitilena Air на телефоне без интернета и записываете сами. Подпись — через Mitilena Keys, тоже без сети: транзакция ходит QR-кодом. В коробке пять одинаковых копий: 2 NFC-карты и 3 стелс-стикера в водонепроницаемом пластике. 18 сетей, 20 000+ монет, включая USDT.
Что спрашивают, дочитав до этого места
Плюсы и минусы аппаратного кошелька, если коротко?
Плюс один, и он большой: ключ не лежит на телефоне с интернетом. Минусы - восемь деталей выше, каждая добавляет поверхность атаки. Хороший аппаратный кошелек - тот, где деталей меньше, а не больше.
А если телефон заражен?
С картой на основном телефоне ключ появляется в изолированной среде на секунду подписи - это тот же риск, что у любого кошелька на телефоне, только короче. Для сумм, за которые страшно, - второй уровень: подпись на отдельном устройстве без интернета, куда транзакция попадает QR-кодом.
Что если карту украдут или потеряют?
Без пароля карта и стикер - бесполезный пластик, ключ на них зашифрован. А потерянную копию заменяют остальные четыре: две карты и три стикера из коробки - зеркальные.
Нужно ли обновлять прошивку аппаратного кошелька?
Если производитель закрыл дыру - нужно, и это тот самый момент, когда прошивку можно подменить: проверяйте источник и подпись. У носителя без прошивки этого выбора нет - нечего обновлять и нечего подменить.
Чем это отличается от USB-кошелька?
Отсутствием посредников: нет кабеля, драйвера, фоновой службы и программы на компьютере. Посредник один - NFC-чип вашего телефона, и он подчиняется вам и операционной системе, а не производителю кошелька.
Открытый код - значит без��пасно?
Значит проверяемо кем-то когда-то. Вы пользуетесь не кодом, а тем, что скачали, и сравнить одно с другим не можете. Безопасность дает архитектура, в которой ключа нет там, куда может попасть чужой код.