🔐 История подписчика нашего канала

Хочу поделиться своим опытом использования Keystone 3 Pro.

До него у меня уже был аппаратный кошелёк, поэтому в целом я понимал, чего хочу от нового устройства. В какой-то момент начал искать вариант без постоянного подключения к компьютеру и вышел на Keystone.

Сначала QR-подпись показалась непривычной. Я привык, что аппаратный кошелёк нужно подключить кабелем, открыть приложение и уже через него работать с транзакцией.

С Keystone всё оказалось немного иначе. Сейчас обычно использую его вместе с Rabby. Готовлю транзакцию в приложении, сканирую QR, проверяю данные на экране Keystone и подтверждаю подпись. Потом остаётся отсканировать ответный QR.

Через несколько недель понял, что именно такой сценарий мне удобнее всего. Устройство большую часть времени лежит отдельно, а подключать его к компьютеру вообще не приходится.

Отдельно понравилось, что я не привязан к одному приложению и могу выбирать интерфейс под свои задачи.

В итоге Keystone оставил как основной аппаратный кошелёк и пока менять его не планирую.

▪️Купить Keystone▪️Teхподдержка ▪️Документация ▪️Написать менеджеру

😼 Keystone 3 Pro прошёл проверку самых строгих специалистов

Один проверяет данные транзакции, второй готов остановить процесс одним движением лапы.

🔥 Ставьте реакцию, если у вас дома тоже есть такие аудиторы.

👉 Keystone 3 Pro 👈

▪️Купить Keystone▪️Teхподдержка ▪️Документация ▪️Написать менеджеру

🫣 Пользуетесь Keystone в общественном месте?

Включите в настройках случайное расположение цифр на PIN-клавиатуре. Так постороннему будет сложнее подсмотреть ваш код 😵‍💫

Или разблокируйте устройство и подписывайте транзакции с помощью сканера отпечатка пальца, без ввода PIN-кода ✨

▪️Купить Keystone▪️Teхподдержка ▪️Документация ▪️Написать менеджеру

⚠️ 1155 WBTC ушли из-за не того адреса...

В мае 2024 года владелец кошелька отправил 1155 WBTC, на тот момент около $71 млн, на адрес злоумышленника. Перед этим мошенник подмешал в историю транзакций похожий адрес, рассчитывая на привычку сверять только первые и последние символы.

Так работает address poisoning, или отравление адресов. Здесь не нужно получать seed-фразу или взламывать устройство. Достаточно дождаться, когда пользователь сам скопирует подставленный адрес из истории.

Что стоит делать, чтобы не попасть в такую ситуацию:
→ не брать адрес получателя из истории прошлых переводов
→ каждый раз сверять его с первоначальным источником
→ проверять не только начало и конец, но и середину адреса
→ перед подписью ещё раз сверять получателя на экране аппаратного кошелька

MetaMask сейчас отдельно предупреждает о похожих и ранее не использовавшихся адресах, но такое предупреждение не заменяет ручную проверку.

При работе через MetaMask транзакция сначала формируется в интерфейсе, а затем передаётся на Keystone 3 Pro для проверки и подписи. Адрес получателя стоит сверять именно на экране устройства перед подтверждением.

В этой атаке приватные ключи не были скомпрометированы. Ошибка произошла на этапе проверки адреса. И именно поэтому несколько дополнительных секунд перед подписью могут сыграть здесь важное значение.

▪️Купить Keystone▪️Teхподдержка ▪️Документация ▪️Написать менеджеру

🚨 Владельцам iPhone: уязвимость, через которую могли получить доступ к данным устройства

Apple закрыла уязвимость CVE-2026-86950 в CoreGraphics, связанную с записью за пределы допустимой области памяти. Обработка специально подготовленного файла могла привести к выполнению произвольного кода. Apple также подтверждает сообщения об использовании этой уязвимости в целевых атаках.

Исправление вышло в iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 и macOS Sequoia 15.8.1.

Для криптопользователя здесь важен сам принцип. Смартфон или компьютер может быть скомпрометирован, даже если вы ничего не устанавливали вручную. Поэтому приватные ключи лучше не держать на том же устройстве, где вы открываете сайты, файлы и приложения.

С аппаратным подписантом ключ остаётся отдельно, а транзакцию вы подтверждаете уже на самом устройстве.

🔐 Обновите систему и не смешивайте повседневное устройство с хранением приватных ключей. Не забудьте обновить систему и не храните информацию, связанную с вашими активами на смартфоне или компьютере

▪️Купить Keystone▪️Teхподдержка ▪️Документация ▪️Написать менеджеру

🔐 Одна сид-фраза может открывать сразу несколько разных кошельков

Кодовую фразу часто воспринимают как дополнительный пароль. Но технически она работает иначе: каждая новая кодовая фраза в сочетании с той же сид-фразой создаёт отдельный кошелёк со своими адресами, балансом и Master Fingerprint (MFP).

Сид без кодовой фразы → кошелёк A
Сид + кодовая фраза → кошелёк B
Сид + кодовая фраза №2 → кошелёк C

Поэтому компрометация сид-фразы ещё не означает автоматический доступ ко всем вашим кошелькам. Для passphrase-кошелька нужна точная кодовая фраза.

В Keystone 3 Pro она не сохраняется на устройстве. После ввода полезно сверять MFP: это быстрый способ убедиться, что вы открыли именно тот кошелёк, который собирались.

Есть и обратная сторона. Кодовая фраза не прощает неточностей. Другой регистр, лишний пробел или один неверный символ дадут уже другой кошелёк.

Именно поэтому кодовую фразу стоит хранить офлайн, отдельно от сид-фразы, а MFP каждого кошелька заранее зафиксировать для проверки.

❤️ - если контроль превыше всего

▪️Купить Keystone▪️Teхподдержка ▪️Документация ▪️Написать менеджеру

🔐 Холодное хранение закрывает не все риски

Аппаратный кошелёк решает важную задачу: приватный ключ не должен жить на устройстве, которое постоянно выходит в интернет.

Но риск хранения и риск самого капитала, это две разные вещи.

Даже при идеальной self-custody можно оставить весь портфель в одном активе, одной сети или одном типе инструмента. В таком случае ключи защищены, а концентрационный, рыночный и ликвидный риск остаются.

Поэтому безопасность капитала начинается не только с сид-фразы. Важно понимать, что именно вы храните, где лежит ликвидность и какую роль каждый актив выполняет в общей структуре портфеля.

Эту тему Владимир Абовян разберет на бесплатном интенсиве 7 октября. Поговорим о разных финансовых рынках, сохранении капитала, защите от инфляции и месте DeFi в общей системе.

👉 Все подробности в закрытом Telegram-канале по ссылке

▪️Купить Keystone▪️Teхподдержка ▪️Документация ▪️Написать менеджеру

🔌 Почему Keystone отказался от Bluetooth?

До разработки устройства команда Keystone проводила интервью с пользователями других аппаратных кошельков.

Главный вопрос, который интересовал специалистов: в какой момент при работе с кошельком вы чувствуете себя наименее спокойно?

По словам Лисиня Лиу (основателя Keystone), многие отвечали одинаково: когда аппаратный кошелёк подключён к ноутбуку или ПК. Это наблюдение повлияло на саму архитектуру Keystone.

Вместо того чтобы добавлять больше постоянных каналов связи, команда пошла в сторону максимальной изоляции подписывающего устройства. Так появился акцент на Air Gap и передаче данных через QR.

Любой интерфейс связи расширяет поверхность атаки: USB, NFC, Bluetooth требуют собственного стека, обработки протокола и дополнительного кода. QR устроен иначе. Данные передаются визуально, а сам канал можно проверить независимо. Keystone отдельно отмечает, что QR-коммуникация уменьшает поверхность атаки по сравнению с USB, NFC и Bluetooth.

При этом транзакция всё равно проходит полный цикл: внешний кошелёк её формирует, Keystone получает данные через QR, показывает их на своём экране и подписывает внутри устройства.

То есть отказ от BLE был осознанным решением, чтобы сделать меньше каналов связи в обмен на более узкую поверхность атаки.

🔥 Если интересно, продолжим разбирать решения Keystone, которые появились ещё на этапе исследований и проектирования

▪️Купить Keystone▪️Teхподдержка ▪️Документация ▪️Написать менеджеру