Термины кастодии: горячие и холодные кошельки, watch-only, seed-фраза

Кастодиальный и некастодиальный

Одним предложением: в кастодиальной схеме кто-то другой может двинуть ваши деньги, не спрашивая вас, а в некастодиальной — никто не может, включая, в неудачный день, и вас.

Лонг-рид. Разделительная черта — не брендинг, а место, где живёт право подписи. Если ключи у сервиса, ваш доступ — это политика: отзываемая, задерживаемая и заложница судеб сервиса, его комплаенс-очереди и его платёжеспособности. Если ключи ваши, доступ — физика: seed-фраза, работающая одинаково в лучший и худший день, потерю которой не отменит ни один отдел поддержки. Ни один полюс не «безопасен» абстрактно — они по-разному распределяют риск: между отказом контрагента и самоповреждением.

Честная самооценка — какой сценарий вы лучше переживёте. Тому, кто способен хранить фразу офлайн, с избыточностью, годами, самокастодия подходит естественно; тому, кто дважды терял доступ к собственной почте, она, возможно, вручает состояние вероятности. Средний путь многих сервисов — держать адреса приёма, но не ключи подписи — разобран в нашем лонг-риде о кастодии, и именно эту структуру стоит распознавать в любой обменной площадке.

Горячий кошелёк

Одним предложением: горячий кошелёк подключён к интернету и платит удобством за экспозицию.

Лонг-рид. Горячие кошельки живут там, где идёт работа: подписывают часто, достижимы отовсюду, и потому их безопасность — это безопасность двери, которой пользуются сто раз в день. Вся практическая операционка — приём, маршрутизация, выплаты — течёт через горячее хранилище, что делает его одновременно незаменимым и естественной мишенью. История крахов бирж в первом приближении — история горячих кошельков: подавляющее большинство крупных потерь — не взломанная криптография, а сорвавшаяся операционная гигиена: ключи достижимы, полномочия чрезмерны, люди подкуплены или обмануты.

Пользователю, оценивающему сервис, полезный вопрос не «есть ли у вас горячий кошелёк» (он есть у всех), а какая доля хранилищ живёт там и какова дисциплина свипов. Хорошо управляемая операция держит горячий баланс малым относительно потоков, остальное сметая туда, где холоднее. Именно эта архитектура, а не логотип и не обещание, ограничивает радиус поражения следующего плохого дня; сервис, неспособный внятно её описать, сообщил вам нечто важное умолчанием.

Холодный кошелёк

Одним предложением: холодный кошелёк хранит ключи подписи вне любых сетей, так что движение средств требует осознанного человеческого действия на офлайн-носителе.

Лонг-рид. Холодное хранилище конвертирует скорость в безопасность. Ключ, ни разу не касавшийся подключённой к сети машины, недостижим для всего, что путешествует по интернету, — почти полная защита от удалённой атаки, оплаченная задержкой от минут до часов. Классические реализации — аппаратные устройства, бумажная и стальная запись; дисциплина проектирования скучно-физическая: ключи генерируются офлайн, копии в разделённых местах, процедуры исходят из того, что любая единственная копия может потеряться, попасть не в те руки или погибнуть.

Ирония холодного хранилища: его сильнейшее свойство — самое неудобное. Задержка, защищающая от атакующих, защищает и от вашей паники. Институциональная практика принимает это сознательно — крупные движения требуют нескольких людей и физического присутствия, — потому что сценарии, от которых защищает холод, это в точности сценарии, где скорость на стороне врага. Для человека даже минимальная версия (одна офлайн-копия там, где её не потеряют ни пожар, ни домовладелец, ни память) ставит вас впереди большинства поля.

Watch-only (только наблюдение)

Одным предложением: watch-only-кошелёк показывает адреса и балансы, не имея никакой возможности тратить с них.

Лонг-рид. Watch-only — это витрина: всё на виду, ничего не взять. Программа держит публичные ключи — их хватает, чтобы выводить адреса, отслеживать входящие транзакции и сводить баланс, — и не держит приватных ключей вовсе, поэтому скомпрометированный watch-only сливает информацию, а не деньги. Так обычно устроена приёмная сторона сервисов: сервер показывает клиенту адрес депозита, следит в блокчейне за поступлением и запускает следующий шаг процесса, а право что-либо двинуть живёт в другом месте, офлайн.

Тот же паттерн работает и лично. Кошелёк-наблюдатель на повседневном устройстве при ключах, хранящихся в другом месте, даёт удобный мониторинг без удобного ограбления. Термин также уточняет, что спросить у контрагента: сервис, который может показать вам балансы и адреса и при этом доказуемо не может подписать, выровнял архитектуру под ваши интересы — свойство дороже любого значка страхования, и именно принципы некастодиальных сделок на UsdtChange держат его как главный принцип.

Seed-фраза

Одним предложением: seed-фраза — компактная последовательность слов, из которой детерминированно выводятся все ключи кошелька, и она — последнее слово в любом вопросе кастодии.

Лонг-рид. Seed — точка, где дружелюбные интерфейсы растворяются в чистую математику: список обычных слов, разворачивающийся в каждый ключ и каждый адрес, которые кошелёк для вас произведёт. Владение фразой — владение средствами: не метафорически, а механически, в любой совместимой программе, где угодно, всегда. Поэтому каждый серьёзный разговор о безопасности самокастодии сводится к хранению одного предмета, и потому краткость фразы, выглядящая удобством, — её самое опасное свойство: она помещается в фотографию, скриншот, облачную заметку и путешествует через все эти носители со скоростью ошибки.

Правила обращения отсюда — немодные и физические. Фраза записывается или гравируется офлайн, в более чем одном месте, и никогда не живёт там, где её может прочитать программа: ни облачной синхронизации, ни заметки в менеджере паролей, ни «временного» фото. Любой, кто просит ввести seed-фразу на сайте — для «проверки», «миграции» или «активации стейкинга», — исполняет старейшую и самую надёжную аферу поля, потому что ни одной легальной услуге эта фраза не нужна ни для чего. Одно это правило, соблюдаемое без исключений, обезвреживает целый класс атак.

Полка одним взглядом

Кастодия — один вопрос, заданный пятью способами: кто может подписать? Кастодиальный сервис отвечает «мы можем»; горячий кошелёк — «всё онлайн может, быстро»; холодный — «почти никто, медленно»; watch-only — «здесь никто, и это замысел»; seed-фраза — «кто держит слова, тот может, всегда». Разберитесь в ответах площадки раньше, чем заинтересуетесь её курсами.

• Кастодиальный — ваш доступ — политика, а не собственность.
• Горячий кошелёк — скорость и экспозиция в одном пакете.
• Холодный кошелёк — задержка как оборона.
• Watch-only — витрина, а не дверь хранилища.
• Seed-фраза — слова, которые и есть деньги.