Некастодиальные кошельки. VPN. И другие премудрости Web 3.0, которые теперь нужны всем

Если есть более ненужное никому занятие в мире, чем написание статей, мануалов, исследований, эссе и книг про Web 3.0 — дайте знать: за 10 лет было столько критики, особенно — с просторов СНГ, что порой хотелось уйти во тьму. Но вот неожиданно (!) в апогей кризиса 2018-2022 всё резко изменилось и всё стало нужно всем. 

Научить кого-то и чему-то за присест — не могу: надо было раньше. Но дать наводки, с чего начать — почему бы и нет? 

TD;LR

Сначала хотел остановиться на классификации важных вещей… Потом — на простых списках… Но в итоге пришёл к выводу, что нужно всем разное. Поэтому попробовал сделать следующее:

1. Дать ссылки на предыдущие материалы по безопасности;
2. Дать краткие инструкции по критически важным местам;
3. Дать мини-прогнозы по сценариям продолжений (в продолжении). 

Подборка для начинающих и не только

.

1. Азы безопасности Web 2.0/Web 3.0: hub.forklog.com/bezopasnost-amp-web-3-0-chast-i-azy/ 
2. Примеры цифровых следов: hub.forklog.com/bezopasnost-amp-web-3-0-chast-ii-primery-tsifrovyh-sledov/ 
3. Риски псевдо-децентрализации и не только: hub.forklog.com/nft-prosto-kartinka-net-no-ili-tezisy-v-zashhitu-web-3-0/ 
4. Куда податься в Web 3.0? hub.forklog.com/odinnadtsat-napravlenij-budushhego-web-3-0-chast-i/ 
5. Чем так полезен крипто-оффшор? hub.forklog.com/kriptooffshor-svopiruem-vsyo-ili-ot-smart-tokenov-k-multiblokchejnam/

С чего начать? С кошелька! Риски? Есть

С одной стороны подборок (не) кастодиальных кошельков хватает (пример), а с другой — возникает в 2022-ом множество вопросов. Каких? Например, таких:

1. Trust и/или Blockchain.com — некастодиальные кошельки? 
2. Trustee? 
3. MEW/Metamask?
4. Atomic/Exodus/Mycelium/etc.? 

И вот здесь все классификации и теоретические изыскания о централизации Web 3.0 сервисов становятся практическими и актуальными: начиная с централизации на уровне интерфейсов, продолжая API, заканчивая главным — идеологией, которая помогает отделить зёрна от плевел. 

В итоге получаем следующее:

1. Даже самые лучшие блокчейн-решения не застрахованы от человеческой ошибки, а это значит, что с каждым новым уровнем посредника (кошелёк — биржа — etc.) ошибок может быть всё больше. Это надо учитывать в риск-менеджменте: 
   1. Не хранить всё на одном, даже самом лучше кошельке;
   2. Разграничивать холодные и горячие кошельки (лучше всего — два аппаратных с тремя бумажными/железными копиями на каждый seed-фразы);
2. Точно ничего не стоит хранить (!) на CEXs — централизованных биржах и/или кастодиальных кошельках;
3. Даже если кошелёк не кастодиальный — есть и у него уровни централизации:
   1. Вот пример: “Please note that even If you delete your Wallet or addresses from the Trust Wallet mobile application, uninstall Trust Wallet mobile applications from your device, or request that your information be deleted, we still may retain some information that you have provided to us to maintain Trust Wallet or to comply with the laws and regulations to which Trust Wallet is subject. If you have any question or objection as to how we collect and process your personal information, please contact…”. Проще говоря — точки давления есть. 
   2. MetaMask недавно тоже начал блокировки по IP (чего, конечно, в “чистом” Web 3.0 быть не должно: metamask.zendesk.com/hc/en-us/articles/360059386712);
   3. Trustee Wallet ввёл ограничения по рублёвым операциям в обменных пунктах. 
4. Отсюда:
   1. Лучший кошелёк — бумажный или вот такой: https://shop.trezor.io/product/cryptosteel — из прочнго маталла. Но это для “холода”;
   2. Некастодиальные кошельки я бы разделил на три группы:
      1. Те, что производятся core-командами: Bitcoin.Core и подобные, в первую очередь те, что с помощью коих можно поддерживать полные ноды соответствующих сетей; 
      2. Далее — те, для которых “кошелёчный” бизнес — оснвной: https://ethereum.org/en/wallets/find-wallet/ — можете, скажем, поискать по ссылке (Trustee, MEW, MetaMask, etc.);
      3. Затем уже те, где кошелёк вторичен к основному бизнесу (Trust после продажи Binance). 
5. В любом случае НЕ-кастодиальным стоит призназрать лишь такой кошелёк, где по установленному стандарту SEED-фраза/приватный ключ принадлежит пользователю, а не а) разработчику, б) собственно кастодиану и в) т.п. В этом смысле даже blockchain.com — НЕ-кастодиальный кошелёк: https://www.blockchain.com/ru/learning-portal/how-it-works. Но только лишь в этом смысле: в целом он централизован и достаточно сильно. 

Поэтому представим, что у вас есть 100 BTC/ETH/etc.. И попробуем создать…

Простой риск-менеджмент активов

На сегодня некий гипотетический владелец, допустим, 100 BTC может сделать так:

1. Допустим, 80%-90% хранить на чистом железе или на белой бумаге (как — читайте выше по ссылкам) с 2-3-4 и т.д. копиями в надёжных местах;
2. А 10%-20% использовать в обороте. И вот тут возникает вопрос доверия и диверсификации. Отсюда же — простые тезисы:
   1. Обёрнутый актив всегда менее безопасен основного: BTC — лучше, чем wBTC; wETH — сильно хуже, чем ETH; HODL лучше стейкинга, стейкинг лучше фарминга; большие пулы надёжней малых и т.д.;
   2. Некастодиальные кошельки не так удобны, если они .core-семейства, но зато безопасность выше (удобство — обратно пропорционально безопасности: простое сложнее “убить”, чем сложное);
   3. Кошельки-как-бизнес и некастодиальные при этом — оптимальный вариант, но и тут нужно:
      1. Заходить через VPN (лучше — дабл-обёртки и более) или VPN, а потом уже TOR, учитывая все события последних лет;
      2. Иметь для расширений — отдельный браузер (по возможности — компьютер), отдельный же телефон (см. ниже);
      3. Стараться не хранить критичные суммы даже недолго (мой лимит — от 2% до 10% от тех 10%-20%, что описаны выше);
3. Далее следует ответить себе на три главных вопроса:
   1. Если вы умрёте (рассуждения по методики С. Кови), то есть ли наследники? Если есть, как они восстановят доступ безопасно? 
   2. Если у вас есть нужда в оперативном управлении деньгами с кем-то? Если да, то используется ли мультисиг навроде Gnosis или DAO-фонд? 
   3. Какие уровни доступа вы защитили? Физический? Социальный? Сетевой? Подумайте об этом… 

В итоге можно собрать свой список и попробовать разбить по нему те самые 10%-20%:

1. Уровень №00: Bitcoin-paper-wallet и аналоги;
2. Уровень №01: Bitcoin.Core, etc.;
3. Уровень №02: Trezor/Ledger N. (KeepKey и AirGap я давно не тестировал);
4. Уровень №03:
   1. Расширения/браузерные приложения/подобное: MEW/MetaMask/MyCrypto (скорее как аналог);
   2. Универсальные: Exodus/Atomic;
   3. Мобильные: Trustee, Trust;
5. Уровень №04: иные. 

Искать же лучше всего на оф-сайтах. Примеры:

1. Ethereum: https://ethereum.org/en/wallets/find-wallet/;
2. Cosmos: https://cosmos.network/ecosystem/wallets/;
3. Polkadot: https://support.polkadot.network/support/solutions/;
4. IoTeX:  https://iopay.me; 
5. Cardano: https://yoroi-wallet.com/#/; 
6. И далее — по списку. 

Далее — следует учесть кросс-платформенность:

1. Atomic: https://atomicwallet.io/ — доступен на Win, Mac, Linux, iOs, Android;
2. Exodus: https://www.exodus.com/download/ — доступен Win, Mac, Linux, iOs, Android;
3. Найти ещё можно здесь, например, https://forklog.com/chto-takoe-kastodialnye-i-nekastodialnye-kriptokoshelki/. 

Но учтите, что перед установкой надо:

1. Семь раз проверить, откуда и что качаете;
2. Совпадение хеш-сумм — проверить;
3. Если это apk — верифицировать на virustotal или аналоге;
4. Но главное: почитайте новости за 2-3 года — много ли проблем было с кошельком? 

По последней причине перестал использовать Electrum:

1. https://xakep.ru/2020/10/13/electrum-attaks/ 
2. https://xakep.ru/2019/04/30/electrum-ddos/ 
3. https://forklog.com/issledovanie-hakery-ukrali-1980-bitkoinov-cherez-fejkovoe-obnovlenie-koshelka-electrum/ 

Ещё несколько советов: VPN и телефон

Не забывайте, что театр начинается с вешалки, а холодное хранение — с вас. Социальная инженерия — самый эффективный (всё ещё) способ взлома. Но, если натренировались (см. выше), то вот ещё совет — попробуйте создать холодный кошелёк с оффлайн подписью транзакций из android-смартфона, даже если у вас есть Trezor/Ledger Nano или аналоги. 

Зачем? 

Во-первых, так проверите себя. Во-вторых, лишнего уровня в безопасности почти никогда не бывает.

Как это сделать? 

Вот децентрализованная инструкция:

1. Сначала — ознакомьтесь с логикой подхода по шагам;
2. Затем надо смартфон с андроидом не младше 10 версии (шифрование там по-умолчанию включено);
3. Сделать полный сброс: не вставлять при этом sim-карты и НЕ подключаться к Wi-Fi-сетям;
4. Не регистрировать и не вводить Google-аккаунты;
5. Удалить и отключить ненужный софт;
6. Установить софт с флешки, выкачав его предварительно через ПК, в виде apk файлов (здесь — внимательно! Нужно смотреть откуда качаете, варез и сторонние сайты типа 4pda — не использовать! Дополнение apk желательно через virustotal проверить на предмет малвари);
7. Смартфон переводится в режим полёта; (wi-fi не используйте, чтобы не подтягивались (не)нужные обновления автоматически);
8. В настройках программ отключается автозапуск (!) всех приложений.
9. В итоге, получаете смартфон, который никуда не “светит” вообще.
10. Дополнительно можно вырезать GSM модуль на уровне “железа” (для продвинутых). 
11. Также можно изучить сторонние решения: 
    1. https://www.parity.io/technologies/signer  
    2. https://github.com/airgap-it/airgap-wallet  
12. Наконец, обязательно научитесь оффлайн-транзакциям, где уместно/возможно: https://www.youtube.com/watch?v=uR5m2rtgqd0 .

Помимо этого есть ещё цифровая гигиена (см. выше ссылки). Но на сегодня самый важный шаг — VPN везде и всюду. Вот что используют читатели канала Web3News;

1. NordVPN;
2. WireGuard;
3. Red shield VPN;
4. Psiphon;
5. Troywell;
6. Mysterium;
7. Riseup;
8. VPN Monster;
9. Browsec.

И VPN при этом важно использовать НА всех девайсах, а не только на ПК. Более того — на смартфонах это даже актуальней. 

Итоги

Помните, что идеальных решений нет и быть не может. Помните, что трудитесь в недоверенной среде. Помните, что ваш приватный ключ — ваши деньги: поэтому — не слушайте меня в том числе, но прислушивайтесь ко многим, выбирая самостоятельно. Помните, что все яйца в одной корзине на хранят. И помните, что Web 3.0 вне пола, расы, языка, национальности и прочих атавизмов централизованного мира прошлого — 

До!