Холодное хранение Monero — self-custody на длинной дистанции

Спектр холодного хранения (от менее к более защищённому)

• Зашифрованный hot-кошелёк на личном устройстве. Кошелёк на телефоне/ноуте, сильная passphrase. Удобно. Уязвимо к: malware, краже устройства + brute-force, записи экрана.
• Бумажный / металлический бэкап seed + hot-кошелёк для трат. Слова seed на металле, hot для повседневки. Переживает потерю устройства. Уязвимо к: физической краже металла, фото seed, найдут родственники.
• View-only на онлайн-машине, оффлайн-подпись. View-only видит баланс и собирает tx; air-gapped оффлайн-кошелёк подписывает. Подписанная tx переносится по QR/USB. Защищает от malware на онлайн-машине.
• Аппаратный кошелёк (Trezor / Ledger / Cypherock). Ключи никогда не покидают устройство. Tx собирает хост, подписывает HW. Прагматично для большинства.
• Мультисиг (2-of-3 / 3-of-5). Для траты нужны несколько устройств/ключей. Переживает компрометацию одного устройства. Сложность реальна — отрепетируйте восстановление.
• Шардированный seed (SLIP-0039 / Shamir). Seed разрезается на N локаций, M нужно для восстановления. Часто комбинируется с мультисигом. Самый параноидальный уровень.

Выбор по сумме + модели угроз

• < 1 XMR / на повседневные траты: hot-кошелёк с сильной passphrase — норм. Не оверинжинируйте.
• 1–50 XMR / личные сбережения: аппаратный кошелёк ИЛИ view-only + оффлайн-подпись. Металлический бэкап seed.
• 50+ XMR / серьёзные холдинги: мультисиг 2-of-3, географическое разделение мест хранения ключей. Проверьте восстановление, прежде чем полагаться.
• Модель «государственный противник»: мультисиг + шардированный seed + правдоподобное отрицание через скрытую wallet-passphrase.

Сценарий view-only + оффлайн-подпись

1. Создайте кошелёк на оффлайн-машине (лучше постоянный air-gap — Tails / закалённый ноут с физически отключёнными Wi-Fi/BT).
2. Экспортируйте view-key из этого кошелька.
3. Импортируйте view-only на онлайн-машину — она видит баланс, собирает неподписанные tx, тратить не может.
4. Отправка: собираете неподписанную tx онлайн → переносите QR/USB → импортируете на оффлайн-машину → подписываете → переносите подписанную tx QR/USB обратно → broadcast с онлайн-машины.
5. До подписи сверяйте адрес назначения на оффлайн-машине. Malware на онлайн-стороне может подменить адрес до того, как вы его увидите.

Особенности аппаратных кошельков для Monero

• Trezor Model T / Safe 3: нативная поддержка Monero через Monero GUI / Feather. Сильный вариант.
• Ledger Nano X / S Plus: Monero через приложение Monero. Закрытый secure-element; на практике работает.
• Cypherock X1: встроенное sharding (Shamir). Новее, тяжелее достать, но архитектурно интересный для параноиков.
• Kasshara / Keystone 3: air-gapped QR-only кошельки, USB-поверхности атак нет.

Как люди обычно теряют XMR через годы

1. «Я запомню passphrase.» Нет. Запишите, убедитесь, что можете прочесть, храните отдельно от seed.
2. Фото seed на телефоне. Телефон бэкапится в iCloud / Google. Компрометация облачного аккаунта = деньги ушли. Никогда.
3. Один металлический бэкап в подверженном пожарам доме. Минимум две локации. Разные адреса, разные паттерны доступа.
4. Аппаратный кошелёк «тестировали» только на отправку, ни разу — на восстановление. Всегда восстанавливайте кошелёк по seed на втором устройстве и проверяйте, прежде чем доверять.
5. Забыли, что кошелёк существует. Ежегодная ревизия всех мест хранения + балансов. Поставьте в календарь.
6. Смерть без плана наследования. Мультисиг или шардированный seed с задокументированным путём восстановления через доверенных людей. «Когда я умру, отдайте seed брату» — плохой план.