Как хранить свои токены в эпоху ИИ?

Автор: Молния

С аппаратными кошельками снова случился крупный инцидент: у некоторых устройств Ledger, реализованных через дистрибьюторов, были вручную внедрены чипы для кражи криптовалюты. Пользователь опубликовал пост в X (обратите внимание, не от официальных представителей), утверждая, что под экраном Ledger скрыта плата, способная перехватить и отправить ваши мнемонические фразы в момент их записи.

По предварительным данным, общая сумма похищенного превысила 90 миллионов USDT, пострадали более 300 кошельков.

Давно я уже писал статью о скептицизме к аппаратным кошелькам: «Использование специализированного iPhone с приложением для кошелька лучше, чем использование аппаратного кошелька».

Тогда я считал, что отдельного iPhone с установленным приложением кошелька достаточно для обеспечения безопасности.

Но сейчас мне кажется этого недостаточно. ИИ стал слишком могущественным. В арсенале злоумышленников появилось больше инструментов: фишинговые сайты выглядят всё реалистичнее, фейковые службы поддержки ведут диалог достовернее, мошеннические схемы можно массово кастомизировать под каждого человека. Уязвимости 0day, которые мы не понимаем, получают усиление угрозы благодаря ИИ, а множество атак, непостижимых для обычного пользователя, также масштабируются ИИ.

Однако мы также можем использовать ИИ для укрепления нашей защиты.

1. Используйте мультиподпись: разделяйте ключи между разными устройствами и кошельками

Во-первых, я пересматриваю своё мнение нескольких лет назад о том, что одного устройства достаточно. Сейчас для достаточной безопасности необходимо использовать несколько устройств для настройки мультиподписи, так как риск компрометации единой точки входа всё ещё слишком велик, даже если вы постоянно выключаете устройство и включаете его только в момент использования.

Для монет, требующих частых транзакций, обязательно используйте мультиподпись. Приобретите дополнительное устройство, управляйте несколькими приватными ключами — так уровень безопасности кратно возрастёт. Как минимум необходима схема 2-of-3.

Для экосистемы Ethereum и других EVM-совместимых сетей существует сервис safe.global, который работает отлично. Установите приложение кошелька на один iPhone — он станет носителем первого приватного ключа, на Mac с браузером Chrome установите расширение-кошелёк — второй ключ, а третий ключ сгенерируйте на iPhone, создайте резервную копию и удалите исходник.

Так безопасность значительно повышается, поскольку требуется одновременная компрометация вашего iPhone и Mac.

Что касается биткоина, который годами не требует движения, не нуждается в посещении различных сайтов или участии в DeFi, и используется исключительно для пополнения и вывода средств на биржу, считаю, что нет необходимости использовать мультиподпись на нескольких устройствах.

Я считаю, что этот метод уже достаточно безопасен: использовать узел Bitcoin Core, приобрести отдельный MacBook для установки Bitcoin Core, а также добавить жёсткий диск на 2 ТБ для загрузки данных блокчейна. Риски можно снизить до минимума, поскольку архитектура биткоина крайне проста, а поверхность атаки невелика.

Хотя у BTC тоже существуют кошельки с мультиподписью, мне кажется, что их бренд недостаточно силён, а нативное решение мультиподписи через скрипты Bitcoin требует слишком высокого технического барьера; легко допустить ошибку, и собственные монеты могут быть ошибочно списаны в качестве комиссий.

Главное правило: строгое разделение устройств. Не используйте повседневные смартфоны и ПК для управления криптоактивами. Особенно не устанавливайте туда ИИ.

Ниже я расскажу, какую помощь, по моему мнению, ИИ может оказать в управлении криптоактивами.

2. Поручите ИИ разработать стратегию кастодиального хранения

Инвестирование всегда индивидуально, поэтому стратегии кастодиального хранения криптовалюты также должны быть персонализированными. Раньше я прилагал титанические усилия, чтобы написать множество схем самостоятельного управления кошельками. С приходом ИИ эти конкретные рекомендации кажутся практически обесцененными.

Больше не нужно искать другие статьи для составления стратегий хранения — достаточно просто обсудить это с ИИ.

Чётко опишите ИИ свою ситуацию: сколько уровней активов, какие используются часто, а какие лежат без движения годами; частота операций; используемые сети; какая сложность управления вам приемлема; как члены семьи получат доступ к активам в случае вашей неспособности управлять ими.

Попросите его предложить схему. Затем измените роль: пусть ИИ сыграет роль злоумышленника, желающего украсть средства, и укажет, за какое звено легче всего зацепиться. Доработайте стратегию и проведите обратную атаку — повторите цикл несколько раз.

Мы склонны чрезмерно доверять ИИ и даже передавать ему полный контроль над компьютером. Поэтому ни в коем случае не устанавливайте ИИ на устройства, предназначенные для хранения криптовалют. Этот момент требует особого внимания: ИИ невероятно мощен, а наши возможности защиты несоизмеримо слабы.

Кроме того, небезопасно ли сообщать ИИ о наличии у меня криптовалюты?

Моё мнение: это гораздо безопаснее, чем раскрывать информацию продавцам аппаратных кошельков. Дистрибьюторы знают ваше имя, телефон, адрес и берут в руки устройство, где были сгенерированы ваши приватные ключи. При оформлении заказа эту утечку данных избежать невозможно.

На самом деле максимальная защита заключается в том, чтобы никто не знал о ваших активах. Но сегодня этого достичь трудно. Биржи знают, магазины оборудования знают, адреса в блокчейне видны всем. Остается лишь выбор: кто именно знает и насколько полно. Доверять ИИ всё же надёжнее, чем доверять определённому человеку.

3. Доверьте ИИ проверку источников сайтов и приложений

Работа с криптовалютой неизбежно связана с использованием множества веб-сайтов, особенно при работе с DeFi, где приходится посещать целый спектр платформ.

Ранее моим правилом было: для любого сайта проверять правильность доменного имени сразу в трёх разных источниках информации. Обычно проверял, указан ли сайт на официальных ресурсах вроде ethereum.org или bitcoin.org и в CoinMarketCap; искал ли через Google; проверял ли в x.com; спрашивал ли у действительно заслуживающих доверия друзей.

Теперь ситуация улучшилась: появился ИИ. Почему бы не спросить у него?

Для проверки доменных имен ИИ идеально подходит. Можно бесплатно запросить у Gemini, ChatGPT, Grok и Doubao по одному разу — это станет важным этапом верификации. Предпочтительно использовать платные модели и установить максимальную интенсивность рассуждений перед запросом.

Приложения проверяются аналогично. Перед загрузкой кошелька из App Store отправьте скриншот страницы приложения ИИ, который детально проведет проверку. Аналогично поступайте с расширениями-кошельками для Chrome.

Формулировка запроса к ИИ предельно проста: просто спросите, является ли ресурс легитимным. Сейчас я проверяю у ИИ каждый новый домен и каждое загружаемое приложение вопросом: «Это официальный продукт?»

4. Сфотографируйте интерфейс перед подписанием для анализа ИИ

Этот пункт является главным, которым я хочу поделиться в этой статье.

На самом деле, сейчас для большинства стандартных транзакций, таких как переводы монет, одобрение токенов или взаимодействие с популярными смарт-контрактами, MetaMask отображает подробное значение операции на экране подписания. Если внимательно прочитать перед подписанием, станет ясно, как изменится состояние вашего кошелька до и после подписи.

Поля вроде to, value, data, nonce теперь хорошо интерпретируются большинством современных кошельков.

Несколько лет назад нам это не светило: тогда интерфейсы кошельков на этапе подписания показывали лишь бессмысленную смесь из шестнадцатеричных символов типа 00, fff, 1234.

В те времена существовал сервис 4byte.directory, куда я регулярно копировал содержимое подписей, чтобы расшифровать суть предстоящих транзакций.

Если вы до сих пор не до конца понимаете, что такое подпись транзакции, не разбираетесь в её содержимом или испытываете опасения за свои операции, теперь есть ИИ. Он поможет вам научиться читать эти данные.

Перед подписанием фотографируйте или делайте скриншот всплывающего окна кошелька для анализа ИИ. Спокойно: в этом окне нет приватных ключей и мнемонических фраз, а все данные станут публичными в блокчейне после подтверждения вашей транзакции. Разбор ИИ чётко покажет, что произойдет с вашими средствами после подписи, и вы сможете понять, становитесь ли вы жертвой фишинга.

Я настоятельно рекомендую протестировать этот подход на тестовом кошельке: позвольте ИИ пошагово прокомментировать каждый этап вашего взаимодействия с ним. При этом не стоит отдавать на анализ ИИ скриншоты реальных транзакций. Речь идёт исключительно об обучающем тестовом кошельке, чтобы сначала научиться интерпретировать значения различных операций.

При использовании реальных активов никогда не устанавливайте ИИ на смартфон или ПК, где хранятся кошельки. Если всё же необходимо передать данные для расшифровки ИИ, используйте исключительно фотоаппарат или камеру телефона.

При использовании Safe Wallet сам кошелёк предоставляет детальное пояснение содержимого транзакции, однако на этапе подписания в MetaMask информация становится нечитаемой. Если вы испытываете тревогу, можете отправить набор hex-строк (00, fff и т.д.) ИИ для анализа. После расшифровки вы мгновенно увидите последствия своей подписи.

Обратите внимание: при использовании Safe финальную интерпретацию даёт не сам Safe, а окно подписания в MetaMask. Например, в случае кражи средств на Bybit страница расшифровки Safe была скомпрометирована, поэтому следует опираться исключительно на поля транзакции, отображаемые во всплывающем окне MetaMask.

5. Поручите ИИ мониторинг предупреждений о безопасности

Ещё одна возможность, открываемая ИИ: поручите алгоритму отслеживать наличие отчётов об уязвимостях и объявлений о безопасности для вашего оборудования, программного обеспечения, смарт-контрактов и площадок.

Сейчас Grok Bot умеет идеально мониторить x.com. Вы можете передать боту список нужных аккаунтов, например MetaMask, SlowMist, Lido и других. Настройте его на отслеживание публикаций, связанных с безопасностью, чтобы получать уведомления по электронной почте.

Кроме того, в случае получения реального предупреждения самостоятельно проверяйте информацию через официальные каналы. Никогда не кликайте по ссылкам в письмах и постах. Остерегайтесь фишинга. Тем не менее, поручить первичную проверку ИИ тоже можно.

Перед совершением крупных финансовых переводов обязательно ознакомьтесь с содержанием этого почтового ящика.

Заключение

Я убеждён, что ИИ в конечном итоге будет развиваться в конструктивном направлении, делая киберпространство надёжнее и безопаснее.