Samodzielne przechowywanie oznacza, że to Ty kontrolujesz klucze prywatne do swojej kryptowaluty. Żadna giełda, żadna platforma ani żadna strona trzecia nie ma dostępu do Twoich środków, nie może ich zablokować ani utracić. Ta kontrola wiąże się jednak z istotnym kompromisem: to wyłącznie Ty ponosisz odpowiedzialność za bezpieczeństwo kluczy. Nie ma możliwości odzyskania konta, eskalacji sprawy do działu obsługi klienta ani ubezpieczenia. Utrata frazy seed lub naruszenie bezpieczeństwa klucza prywatnego oznacza trwałą, nieodwracalną utratę środków.
Dla graczy w pokera samodzielne przechowywanie środków służy konkretnemu celowi operacyjnemu: zabezpieczeniu środków między sesjami. Środki, które nie znajdują się na platformie pokerowej, nie są narażone na ryzyko związane z przechowywaniem przez platformę – niewypłacalność serwisu, atak hakerski, zajęcie środków przez organy regulacyjne lub ograniczenia dotyczące wypłat. Jednak przeniesienie środków do samodzielnego przechowywania wiąże się z osobistym ryzykiem operacyjnym, które większość graczy nie docenia, dopóki coś nie pójdzie nie tak.
W niniejszym przewodniku omówiono trzy podstawowe praktyki, od których zależy, czy samodzielne przechowywanie środków faktycznie zapewnia ich bezpieczeństwo: strukturę tworzenia kopii zapasowych frazy początkowej, zabezpieczenia urządzeń oraz stopniowe wdrażanie. Każda z nich dotyczy innego rodzaju awarii. Wdrożenie wszystkich trzech nie wymaga zaawansowanej wiedzy technicznej – konieczne jest jedynie zrozumienie, co może pójść nie tak, oraz stworzenie systemów, które przetrwają takie sytuacje.
Zrozumienie, co faktycznie chroni samodzielne przechowywanie (a czego nie chroni)
Samodzielne przechowywanie eliminuje ryzyko kontrahenta – ryzyko, że strona trzecia przechowująca Twoje środki upadnie, je ukradnie lub zablokuje. Nie eliminuje to jednak ryzyka wynikającego z Twoich własnych błędów, awarii sprzętu lub naruszeń bezpieczeństwa fizycznego. Wybrany przez Ciebie model przechowywania decyduje o tym, które rodzaje ryzyka akceptujesz, a które przenosisz na kogoś innego.
Portfel sprzętowy Bitcoin, który użytkownik przechowuje samodzielnie, nie wiąże się z ryzykiem kontrahenta. Nawet gdyby producent portfela sprzętowego zbankrutował jutro, nie miałoby to wpływu na Twoje środki – to fraza seed stanowi portfel, a nie samo urządzenie. Jednak ten sam portfel sprzętowy wiąże się ze 100-procentowym ryzykiem operacyjnym, które koncentruje się w kopii zapasowej frazy seed. Jeśli kopia zapasowa zostanie utracona lub zniszczona, środki przepadną. Jeśli zostanie skradziona, środki mogą przepaść. Urządzenie można wymienić. Frazy seed – nie.
Ta asymetria – wyeliminowane ryzyko kontrahenta a skoncentrowane ryzyko operacyjne – stanowi cechę charakterystyczną samodzielnego przechowywania aktywów. Każda praktyka opisana w niniejszym przewodniku ma na celu zarządzanie ryzykiem operacyjnym w tym kontekście.
Dwa główne rodzaje awarii
Niepowodzenia związane z samodzielnym przechowywaniem można podzielić na dwie kategorie. Pierwsza to utrata: fraza seed zostaje zniszczona (w wyniku pożaru, powodzi lub uszkodzenia fizycznego), zagubiona lub nigdy nie została prawidłowo zapisana. Druga to naruszenie bezpieczeństwa: fraza seed zostaje ujawniona nieuprawnionym osobom w wyniku kradzieży, phishingu, działania złośliwego oprogramowania lub niewłaściwych praktyk związanych z przechowywaniem. Utrata zdarza się częściej. Naruszenie bezpieczeństwa ma zazwyczaj poważniejsze konsekwencje, ponieważ może pozostać niewykryte aż do momentu zniknięcia środków.
Ćwiczenie 1: Architektura tworzenia kopii zapasowej frazy nasiennej
Frazę seedową (zwaną również frazą odzyskiwania lub mnemonikiem) stanowi sekwencja 12 lub 24 słów, która koduje główny klucz prywatny portfela. Każdy portfel korzystający z tej samej frazy seedowej ma dostęp do tych samych środków. To sprawia, że fraza seedowa jest jednocześnie najskuteczniejszym narzędziem do odzyskiwania danych, a także najbardziej niebezpiecznym pojedynczym punktem awarii.
Minimalnym standardem tworzenia kopii zapasowych są dwie fizycznie oddzielne kopie przechowywane w dwóch różnych lokalizacjach, przy czym obie muszą znajdować się w trybie offline. Wymóg trybu offline jest bezwzględny: każda kopia cyfrowa – zdjęcie, zrzut ekranu, dokument w chmurze, wiadomość e-mail, aplikacja do robienia notatek – stanowi potencjalny punkt włamania. Złośliwe oprogramowanie, przejęcie kontroli nad kontem oraz naruszenia bezpieczeństwa w chmurze to udokumentowane sposoby kradzieży frazy nasiennej. Papierowa kopia zapasowa przechowywana w szufladzie całkowicie eliminuje ryzyko ataków opartych na oprogramowaniu.
Wybór nośnika danych
Papier jest standardowym rozwiązaniem i sprawdza się w przypadku większości użytkowników. Jest tani, łatwo dostępny i odporny na ataki programowe. Jego słabe strony mają charakter fizyczny: uszkodzenia spowodowane wodą, ogień oraz blaknięcie atramentu z upływem czasu. Dla graczy posiadających znaczne kwoty, metalowe rozwiązania zapasowe (tłoczone lub grawerowane płytki stalowe) eliminują ryzyko związane z trwałością fizyczną. Produkty takie jak Cryptosteel lub ColdTi umożliwiają przechowywanie frazy seed na stali nierdzewnej, która wytrzymuje temperatury pożaru i zanurzenie w wodzie. Nie jest to konieczne dla każdego gracza — laminowana kopia zapasowa na papierze w wodoodpornym pojemniku zapewnia podobną ochronę przy niemal zerowych kosztach.
Najpoważniejszym błędem popełnianym przez użytkowników jest tworzenie cyfrowej kopii zapasowej frazy seedowej „na wszelki wypadek”. Przekonanie, że cyfrowa kopia zapasowa zapewnia bezpieczeństwo bez ryzyka, jest błędne. Zwiększa ona jedynie powierzchnię ataku. Zdjęcie frazy seedowej zapisane w usłudze iCloud lub Google Photos jest dostępne dla każdego, kto przejmie kontrolę nad tymi kontami. Wartość ochronna cyfrowej kopii zapasowej wynosi zero, a ryzyko jest realne. Należy korzystać wyłącznie z kopii fizycznych.
Strategia lokalizacyjna
Podstawową zasadą jest posiadanie dwóch kopii w dwóch różnych miejscach. Miejsca te powinny być oddalone od siebie geograficznie – nie mogą to być dwie szuflady w tym samym domu. Najczęściej stosowanym profesjonalnym rozwiązaniem jest sejf domowy oraz skrytka bankowa. Sprawdzi się również przechowywanie kopii w domach dwóch zaufanych członków rodziny. Zasada jest taka: żadne pojedyncze zdarzenie fizyczne (pożar, powódź, włamanie w jednym miejscu) nie powinno być w stanie zniszczyć lub ujawnić obu kopii jednocześnie.
Nigdy nie przechowuj frazy nasiennej razem z portfelem sprzętowym. Jeśli ktoś znajdzie zarówno urządzenie, jak i kopię zapasową, będzie miał wszystko, czego potrzeba, by opróżnić portfel. Oddzielne fizyczne miejsce przechowywania stanowi podstawę bezpieczeństwa frazy nasiennej.
Ćwiczenie 2: Korzystanie z dedykowanego urządzenia
Urządzenie przeznaczone wyłącznie do zarządzania kryptowalutami to urządzenie służące wyłącznie do obsługi portfela – bez przeglądania stron internetowych, poczty elektronicznej, pobierania aplikacji ani gier. Model zagrożeń, któremu ma ono zapobiegać, jest prosty: urządzenia komputerowe ogólnego przeznaczenia z czasem zwiększają powierzchnię ataku poprzez instalacje oprogramowania, rozszerzenia przeglądarki, odwiedzane strony internetowe i pobierane pliki. Urządzenie wykorzystywane do wszystkiego jest statystycznie bardziej narażone na zarażenie złośliwym oprogramowaniem niż urządzenie służące wyłącznie do jednego celu.
Portfele sprzętowe stanowią złoty standard w architekturze dedykowanych urządzeń, ponieważ operacje związane z kluczami odbywają się na odizolowanym sprzęcie, który nigdy nie ujawnia kluczy prywatnych podłączonemu komputerowi. Portfel sprzętowy podpisuje transakcje wewnętrznie; podłączony komputer widzi jedynie podpisany wynik transakcji, nigdy zaś samych kluczy. Ta izolacja architektoniczna oznacza, że nawet w przypadku całkowitego przejęcia kontroli nad podłączonym komputerem nie można zdalnie uzyskać dostępu do kluczy prywatnych.
Wybór i weryfikacja portfela sprzętowego
Portfele sprzętowe należy kupować bezpośrednio od producentów – nigdy od zewnętrznych sprzedawców na platformach takich jak Amazon, eBay czy podobnych. W sprzedaży na rynku wtórnym odnotowano przypadki urządzeń, które zostały sfałszowane poprzez wstępną konfigurację fraz seed lub modyfikację oprogramowania sprzętowego. Ledger i Trezor to renomowani producenci o wieloletnim doświadczeniu w zakresie bezpieczeństwa; obaj oferują urządzenia w różnych przedziałach cenowych. Po otrzymaniu przesyłki należy sprawdzić plombę opakowania, a przed użyciem przeprowadzić proces weryfikacji autentyczności urządzenia.
Użytkownicy korzystający z portfeli programowych zamiast portfeli sprzętowych mogą częściowo odtworzyć zasadę działania dedykowanego urządzenia, używając osobnego telefonu lub laptopa przeznaczonego wyłącznie do obsługi portfela. Nie jest to równoznaczne z izolacją portfela sprzętowego – portfele programowe udostępniają klucze systemowi operacyjnemu – jednak czyste urządzenie bez innych aplikacji znacznie ogranicza powierzchnię ataku w porównaniu z telefonem używanym na co dzień, na którym zainstalowano dziesiątki aplikacji.
Problem z rozszerzeniami przeglądarki
Rozszerzenia przeglądarki stanowią najbardziej niedoceniany wektor ataku w przypadku samodzielnego przechowywania kryptowalut. Rozszerzenia działają z podwyższonymi uprawnieniami przeglądarki i mogą odczytywać zawartość stron, dane ze schowka, a w niektórych przypadkach przechwytywać dane wprowadzane w formularzach. Złośliwe rozszerzenia podszywające się pod narzędzia zwiększające wydajność, blokery reklam lub narzędzia kryptograficzne były wykorzystywane do kradzieży fraz seedowych wprowadzanych w portfelach przeglądarkowych. Na urządzeniu przeznaczonym wyłącznie do tego celu nie należy instalować żadnych rozszerzeń przeglądarki. Na zwykłym urządzeniu nigdy nie wprowadzaj fraz seed ani kluczy prywatnych w środowisku przeglądarki.
Ćwiczenie 3: Zacznij od drobnych kroków i wprowadzaj zmiany stopniowo
Najkosztowniejsze błędy związane z samodzielnym przechowywaniem środków zdarzają się wtedy, gdy użytkownicy przenoszą cały swój kapitał do nowego portfela, nie upewniając się wcześniej, czy wszystko działa prawidłowo. Stopniowe wdrażanie — zaczynające się od niewielkiej kwoty testowej i rozszerzane dopiero po potwierdzeniu, że proces odzyskiwania środków przebiega bez zarzutu — nie wiąże się z żadnymi kosztami poza niewielką opłatą transakcyjną, a jednocześnie pozwala uniknąć katastrofalnych strat wynikających z błędów konfiguracyjnych.
Protokół stopniowego wdrażania składa się z trzech etapów. Po pierwsze, skonfiguruj portfel sprzętowy i zapisz frazę seed, przestrzegając wszystkich zasad dotyczących tworzenia kopii zapasowych. Po drugie, wyślij na portfel niewielką kwotę testową (równowartość kilku dolarów). Po trzecie, przed dodaniem jakichkolwiek znaczących środków przeprowadź pełny test odzyskiwania: wyczyść urządzenie (lub użyj drugiego urządzenia), przywróć dane z kopii zapasowej frazy seed i sprawdź, czy masz dostęp do środków testowych. Jeśli odzyskiwanie zadziała, oznacza to, że kopia zapasowa jest poprawna, a konfiguracja została zweryfikowana. Jeśli nie zadziała, straciłeś kilka dolarów, a nie cały swój kapitał.
Dlaczego gracze pomijają ten etap i dlaczego jest to niebezpieczne
Najczęstszym powodem, dla którego użytkownicy pomijają testy odzyskiwania, jest pewność siebie – „zapisałem to poprawnie”. Ta pewność jest często nieuzasadniona. Błędy związane z tworzeniem kopii zapasowej frazy nasiennej należą do najczęstszych przyczyn utraty środków przechowywanych we własnym zakresie. Do typowych błędów zalicza się zapisywanie słów w niewłaściwej kolejności, mylenie słów o podobnym wyglądzie (listy słów BIP-39 zawierają słowa różniące się jedną literą) oraz zapisanie zupełnie niewłaściwego słowa z powodu błędnego odczytania pisma ręcznego.
Test przywracania danych kosztuje jedną opłatę transakcyjną i zajmuje 15 minut. Daje on pewność, że kopia zapasowa jest poprawna. Alternatywą jest wykrycie błędu w kopii zapasowej dopiero w momencie, gdy faktycznie potrzebne jest przywrócenie danych – czyli w sytuacji największego stresu, często po awarii sprzętu lub utracie urządzenia, kiedy środki są niedostępne, a błąd nieodwracalny.
Scenariusz operacyjny: Konfiguracja samodzielnego zarządzania kapitałem pokerowym
Gracz postanawia przechowywać swój kapitał pokerowy we własnym zakresie w przerwach między sesjami, zamiast pozostawiać środki na platformie. Kapitał ten jest umiarkowany – wynosi kilkaset dolarów w BTC i LTC.
- Kupuje portfel sprzętowy bezpośrednio od producenta, sprawdza plombę opakowania i weryfikuje autentyczność produktu
- Konfiguruje urządzenie, generuje nową frazę początkową i zapisuje ją czytelnym pismem na dwóch kartkach papieru
- Jedną kopię przechowuje się w domu (w zapieczętowanej kopercie w bezpiecznym miejscu), a drugą u zaufanego członka rodziny
- Wysyła kwotę testową w wysokości 5 dolarów w LTC na adres portfela
- Przeprowadza pełny test przywracania: resetuje urządzenie, przywraca dane na podstawie frazy siewnej oraz sprawdza, czy kwota 5 USD w LTC jest widoczna i dostępna
- Przenosi cały stan konta do portfela sprzętowego po potwierdzeniu, że proces odzyskiwania przebiegł pomyślnie
- Wykorzystuje funkcję wypłaty w oprogramowaniu ACR Poker do przesyłania środków bezpośrednio na adres portfela sprzętowego przy każdym doładowaniu sesji
Proces techniczny
Każda wypłata z serwisu ACR Poker generuje transakcję w łańcuchu bloków na adres odbiorczy portfela sprzętowego. Portfel sprzętowy generuje nowy adres odbiorczy dla każdej wpłaty (hierarchiczna deterministyczna derywacja BIP-32), co zwiększa prywatność adresu. Gracz weryfikuje adres odbiorczy na ekranie samego portfela sprzętowego — a nie na ekranie podłączonego komputera — przed potwierdzeniem każdej przychodzącej transakcji. Ten etap weryfikacji zapobiega atakom typu „substitution”, w których złośliwe oprogramowanie zamienia wyświetlany adres na adres atakującego.
Wynik
Środki finansowe przechowywane są w trybie cold storage pomiędzy sesjami, co zapewnia im ochronę przed ryzykiem związanym z platformą. Test odzyskiwania potwierdził poprawność kopii zapasowej frazy seed. Rozproszenie kopii zapasowych w różnych lokalizacjach chroni przed zdarzeniami fizycznymi dotykającymi jedną lokalizację. Proces weryfikacji adresu portfela sprzętowego chroni przed złośliwym oprogramowaniem przejmującym zawartość schowka. Konfiguracja zajęła około 45 minut i wiązała się z jedną opłatą transakcyjną.
Jak zawodowi gracze organizują długoterminowe samodzielne przechowywanie
Gracze zarządzający większymi kapitałami przez dłuższy czas stosują dodatkowe strategie wykraczające poza trzy podstawowe zasady. Strategie te nie są konieczne dla graczy rekreacyjnych, ale pokazują, w jaki sposób doświadczeni gracze podchodzą do tego zagadnienia w szerszej perspektywie.
Portfele z wieloma podpisami
Portfele z wielokrotnym podpisem (multi-sig) wymagają podpisania transakcji za pomocą kilku kluczy prywatnych. Na przykład w konfiguracji „2 z 3” do podpisania transakcji potrzebne są dowolne dwa z trzech kluczy – co oznacza, że ujawnienie jednego klucza nie pozwala na opróżnienie portfela. Model ten sprawdza się w sytuacji, gdy ujawnienie jednego klucza stanowi poważne ryzyko finansowe w stosunku do całkowitych środków użytkownika oraz gdy użytkownik posiada wystarczające doświadczenie w obsłudze wielu urządzeń służących do podpisywania transakcji. Multi-sig zwiększa złożoność: utrata dwóch z trzech kluczy jest równoznaczna z utratą wszystkich środków, a nakład pracy związany z koordynacją podpisywania multi-sig utrudnia każdą transakcję.
Rozszerzenie hasła
Większość portfeli sprzętowych obsługuje opcjonalne hasło BIP-39 – dodatkowe słowo lub frazę dołączaną do frazy seedowej w celu utworzenia odrębnego klucza portfela. Fraza seedowa z hasłem generuje zupełnie inne adresy niż ta sama fraza seedowa bez hasła. Oznacza to, że złodziej, który znajdzie kopię zapasową frazy seedowej, nie uzyska dostępu do środków bez znajomości hasła (które powinno być przechowywane oddzielnie i nigdy nie powinno być zapisywane razem z frazą seedową). Kompromis: zapomnienie hasła powoduje trwałą utratę dostępu do własnych środków. Rozszerzenie o hasło jest odpowiednie dla użytkowników, którzy rozumieją konsekwencje związane z odzyskiwaniem danych i są w stanie zachować dodatkową dyscyplinę operacyjną.
Ewolucja narzędzi do samodzielnego przechowywania kryptowalut
Infrastruktura umożliwiająca samodzielne przechowywanie kluczy jest stale ulepszana, co zmniejsza złożoność operacyjną, która obecnie sprawia, że jest ona niedostępna dla użytkowników o mniejszym doświadczeniu technicznym. Portfele oparte na obliczeniach wielostronnych (MPC) rozdzielają zarządzanie kluczami między wiele stron, eliminując przy tym nakłady związane z koordynacją charakterystyczne dla tradycyjnych rozwiązań wielopodpisowych. Mechanizmy odzyskiwania dostępu oparte na sieciach społecznościowych – w ramach których zaufane osoby mogą wspólnie pomóc w odzyskaniu dostępu, przy czym żadna z nich nie ma dostępu do klucza – są wdrażane w portfelach opartych na inteligentnych kontraktach w sieci Ethereum i łańcuchach kompatybilnych.
Dla graczy w pokera oznacza to w praktyce, że w ciągu najbliższych kilku lat samodzielne przechowywanie środków będzie coraz łatwiejsze do prawidłowego wdrożenia. Podstawowe zasady zawarte w niniejszym przewodniku – odpowiednie tworzenie kopii zapasowych, dedykowane urządzenie, stopniowe wdrażanie – pozostaną aktualne niezależnie od tego, która konkretna technologia portfeli stanie się standardem, ponieważ dotyczą one ludzkich błędów operacyjnych, a nie ograniczeń technicznych. Narzędzia techniczne ulegają zmianom; sposoby popełniania błędów przez ludzi pozostają niezmienne.
