Как безопасно хранить криптовалюту без seed-фразы: обзор аппаратного кошелька Tangem Wallet

В июне 2021 года злоумышленники прислали клиентам Ledger поддельные устройства якобы для защиты от утечки данных. Для восстановления кошельков требовался ввод seed-фразы. После этого хакеры получали доступ к средствам пользователей.

Несколько месяцев спустя швейцарская компания Tangem AG представила новый аппаратный кошелек — в виде пластиковой карты и без seed-фразы. Тестируем Tangem Wallet и рассказываем о его преимуществах и недостатках.

Почему seed-фраза — не лучший бэкап

Мнемоническая фраза (seed-фраза или просто сид) — случайная последовательность 12 и более слов, которая нужна для восстановления доступа к средствам в случае потери, кражи или повреждения кошелька. 

Пользователь генерирует сид при создании криптовалютного кошелька. Ее нужно хранить в безопасном месте: обладатель seed-фразы получает полный доступ к активам. 

Однако пользователь не может быть полностью уверен, что его мнемоническая фраза не была скомпрометирована.

Пример: злоумышленник похитил seed-фразу. Он не спешит выдавать себя и ждет, пока владелец переведет на кошелек «достаточную» сумму средств. После этого он выводит криптовалюту. Пользователь узнает о компрометации кошелька только после кражи активов.

«Вы можете приобрести аппаратный кошелек с самыми инновационными элементами защиты. При этом бэкапом будет простая комбинация слов, которую можно сфотографировать или переписать. Этого хватит для получения доступа к вашим деньгам. Seed-фраза — это “приватный ключ Шредингера”. Неизвестно, скомпрометирован он или нет, ведь у бумажки или файла с seed-фразой нет никаких надежных механизмов защиты», — объяснил технический директор Tangem AG Андрей Лазуткин.

Он добавил, что seed-фразу нужно правильно записать и подобрать надежное место для ее хранения. Из-за этого новички могут отказываться от некастодиальных кошельков в пользу менее безопасных централизованных платформ.

Кошелек без проводов и сидов

«Если хочешь сохранить секрет, надо прятать его даже от себя самого», — Джордж Оруэлл, «1984».

Tangem Wallet — мультивалютный кошелек в виде набора из двух или трех пластиковых карт.

В каждую из карт встроен чип S3D350A от компании Samsung, который защищен от влаги и пыли по стандарту IP68 и сертифицирован по стандарту защиты от физических методов взлома Common Criteria EAL6+ (Evaluation Ansurance Level).

Чипы с таким уровнем защиты используют в паспортах. В 2018 году прошивку Tangem Wallet проверила аудиторская компания Kudelski Security.

Для работы с кошельком не нужен USB-кабель. Пользователь взаимодействует с картами через NFC-соединение с помощью мобильного приложения Tangem на Android и iOS. Код приложения доступен на GitHub.

«Это идеальное решение для долгосрочного хранения криптовалют: после длительного перерыва в использовании не нужно менять батарею или заряжать устройство», — отметил Андрей Лазуткин.

По заявлениям Tangem AG, срок службы карт превышает 25 лет. Они могут стабильно работать при температуре от -25 до +50 °C. 

Пользователю не нужно создавать и хранить seed-фразу. Однако при потере или повреждении всех карт владелец кошелька навсегда теряет доступ к средствам. Производитель не предоставляет других способов восстановления.

Тестируем Tangem Wallet

Мы протестировали набор из трех карт. Цена на официальном сайте — $69,90. Две карты обойдутся в $54,90.

Для установки приложения нужно поднести одну из карт к NFC-антенне. В iPhone она находится в верхней правой части смартфона. В Android-устройствах расположение зависит от конкретной модели.

Мы использовали телефон на Android: после контакта с NFC приложение автоматически открылось в Google Play. Такой подход защищает пользователя от вредоносных программ.

Установили приложение и нажали кнопку «Сканировать». После этого создали кошелек.

После генерации привязали кошелек к резервным картам. Каждая карта имеет уникальный номер на обороте.

Затем выполнили резервное копирование — приложили вторую и третью карту к NFC-антенне на 15 секунд.

Для защиты кошелька в случае кражи установили код доступа (пароль). Его можно задать индивидуально для каждой карты.

Восстановить код доступа позволяют резервные карты: необходимо нажать кнопку «Забыли код?» при входе в приложение, приложить резервную карту и ввести новый пароль.

Завершили процесс резервирования: отсканировали основную и резервные карты, а затем нажали кнопку «Перейти к моему кошельку».

В Tangem можно настроить отображение баланса и цен отдельных активов — в криптовалютах или фиатных деньгах, а также добавить на главный экран интересующие монеты.

Отправка и получение криптовалют

На момент написания обзора Tangem Wallet поддерживает более 2500 криптовалют и токенов в 23 сетях, включая биткоин, Ethereum, BNB Chain, XRP, Cardano, Solana, Dodecoin, Polygon, Tron, Avalanche, Ethereum Classic, Litecoin, Stellar, Bitcoin Cash, Tezos, Fantom и Arbitrum.

Мы провели две тестовые операции по вводу и выводу Dogecoin. Для начала нажали на кнопку «Управление токенами» и добавили на главную страницу основную сеть Dogecoin (MAIN). Также криптовалюта доступна в виде обернутого токена в сети BNB Chain.

После этого скопировали наш адрес и совершили перевод. Баланс обновился почти сразу после проведения транзакции.

Выбрали «нормальный» размер комиссии и включили ее в общую сумму. Нажали кнопку «Отправить», ввели код доступа и подтвердили транзакцию картой. Сеть Dogecoin обрабатывала транзакцию около минуты.

Работа с децентрализованными приложениями

Подключить кошелек к dapps можно через протокол WalletConnect. На момент написания обзора его поддерживают более 450 децентрализованных приложений.

Мы провели тестовую транзакцию по обмену BNB на Tether через DEX PancakeSwap: перешли на сайт платформы и выбрали параметр WalletConnect в меню «Подключить кошелек».

Завершили подключение к dapps: в приложении кошелька открыли меню (⋮) и выбрали пункт WalletConnect. Нажали на кнопку «+» в нижней части экрана, отсканировали QR-код на сайте PancakeSwap и нажали кнопку «Начать».

На PancakeSwap выбрали обмен токенов BNB на 5 USDT, а затем нажали кнопку «Подписать и отправить» в Tangem, чтобы подписать транзакцию. 

После этого наш баланс уменьшился на $5, однако обменянный актив (Tether) автоматически не добавился.

Баланс обновился только после того, как мы зашли в меню управления токенами и вручную добавили Tether (BEP20) на стартовую страницу. Команда Tangem считает, что такой подход позволяет сохранить конфиденциальность пользователя, однако нам это показалось не самым удобным решением.

Выводы

Злоумышленники могут получить доступ к seed-фразе с помощью социальной инженерии, взлома аккаунтов или обыска. Tangem Wallet позволяет полностью избежать этих рисков. Также кошелек обладает рядом других преимуществ:

• защита от влаги и пыли по стандарту IP68, уровень безопасности чипа EAL 6+. Для сравнения, Ledger и SafePal прошли сертификацию EAL 5+. В Tangem Wallet нет USB-портов, кнопок и дисплея, что позволяет минимизировать количество возможных атак; 
• компактность и незаметность. Tangem можно носить в кошельке или кардхолдере вместе с банковскими картами;
• отсутствие аккумулятора и USB-портов. Не нужно беспокоиться о заряде батареи и носить с кошельком кабель для подключения к компьютеру.

Исходный код Tangem выложен на GitHub. При возникновении проблем с приложением в Google Play или App Store сторонние разработчики смогут интегрировать поддержку кошелька, а пользователи — запустить собственные версии Tangem.

С другой стороны, при потере всех карт получить доступ к средствам невозможно. Кроме того, можно выделить следующие недостатки:

• работа только через смартфон с NFC. Производитель не предусматривает других вариантов подключения к кошельку;
• нельзя создать более двух бэкапов. Основную карту можно привязать только к одной или двум резервным;
• поддержка 23 блокчейнов. Это довольно скромный показатель по сравнению со многими мультивалютными кошельками на рынке. Тем не менее разработчики постоянно обновляют приложение и добавляют новые сети. 

Читайте биткоин-новости ForkLog в нашем Telegram — новости криптовалют, курсы и аналитика.