Если вы сгенерируете новую или импортируете имеющуюся сид фразу в @wallet (TON Space Beta) и согласитесь на бэкап по почте, а затем зайдете на другое устройство — то сможете восстановить кошелек из некоего Telegram Key Storage.

Что это такое пока не ясно — документация появится потом, но сохранить там свою конфиденциальную дату (сид фразу) можно уже сейчас. 🆗

У шифропанков так не принято, так что я бы не импортировал туда действующий сид из /тонкипера/ и обождал. В этом ключе интересно будет почитать, как конкретно устроена работа этого Key Storage.

А пока рассмотрим как известный EVM-кошелек Metamask работает в случае атаки:
Если злоумышленник имеет доступ к файлам вашего ПК — в том числе к браузеру с расширением, то он все еще должен будет ввести ваш локальный пароль, который не получится расшифровать - его нужно знать, так что злоумышленник может только перебирать их один за другим и в случае сложного пароля никогда не получит доступ к кошельку. Здесь подробности.

В TON Space кошелек не защищен даже пинкодом, это значит, что в случае доступа к вашему аккаунту и почте злоумышленник легко получит доступ и к кошельку тоже - сможет проводить любые операции, например экспортировать сид фразу или просто перевести все монеты себе прямо внутри интерфейса.

И даже учитывая тот факт, что сейчас импорт кошелька по почте с десктоп версии недоступен — все еще очень легко залогиниться со смартфона, имея доступ к аккаунту на ПК-версии приложения.

Все это кажется паранойей ровно до момента обнуления в результате скачивания какого-нибудь торента (или файла с TON Storage в будущем), а потом хочется плакать. Так почему бы не избежать проблем заранее?

Таким образом, можно либо не активировать бэкап по почте и быть в относительной безопасности, либо установить очень сложный облачный пароль и никуда его не записывать.
Ну и желательно не качать никакой софт и помнить, что в крипте действуют два правила:
not your keys, not your coins, и кто нажал кнопку - тот и виноват.