В июне 2021 года злоумышленники прислали клиентам Ledger поддельные устройства якобы для защиты от утечки данных. Для восстановления кошельков требовался ввод seed-фразы. После этого хакеры получали доступ к средствам пользователей.
Несколько месяцев спустя швейцарская компания Tangem AG представила новый аппаратный кошелек — в виде пластиковой карты и без seed-фразы. Тестируем Tangem Wallet и рассказываем о его преимуществах и недостатках.
Пользователь генерирует сид при создании криптовалютного кошелька. Ее нужно хранить в безопасном месте: обладатель seed-фразы получает полный доступ к активам.
Однако пользователь не может быть полностью уверен, что его мнемоническая фраза не была скомпрометирована.
Пример: злоумышленник похитил seed-фразу. Он не спешит выдавать себя и ждет, пока владелец переведет на кошелек «достаточную» сумму средств. После этого он выводит криптовалюту. Пользователь узнает о компрометации кошелька только после кражи активов.
В каждую из карт встроен чип S3D350A от компании Samsung, который защищен от влаги и пыли по стандарту IP68 и сертифицирован по стандарту защиты от физических методов взлома Common Criteria EAL6+ (Evaluation Ansurance Level).
Чипы с таким уровнем защиты используют в паспортах. В 2018 году прошивку Tangem Wallet проверила аудиторская компания Kudelski Security.
Для работы с кошельком не нужен USB-кабель. Пользователь взаимодействует с картами через NFC-соединение с помощью мобильного приложения Tangem на Android и iOS. Код приложения доступен на GitHub.
Пользователю не нужно создавать и хранить seed-фразу. Однако при потере или повреждении всех карт владелец кошелька навсегда теряет доступ к средствам. Производитель не предоставляет других способов восстановления.
Для установки приложения нужно поднести одну из карт к NFC-антенне. В iPhone она находится в верхней правой части смартфона. В Android-устройствах расположение зависит от конкретной модели.
Мы использовали телефон на Android: после контакта с NFC приложение автоматически открылось в Google Play. Такой подход защищает пользователя от вредоносных программ.
Установили приложение и нажали кнопку «Сканировать». После этого создали кошелек.
После генерации привязали кошелек к резервным картам. Каждая карта имеет уникальный номер на обороте.
Затем выполнили резервное копирование — приложили вторую и третью карту к NFC-антенне на 15 секунд.
Для защиты кошелька в случае кражи установили код доступа (пароль). Его можно задать индивидуально для каждой карты.
Восстановить код доступа позволяют резервные карты: необходимо нажать кнопку «Забыли код?» при входе в приложение, приложить резервную карту и ввести новый пароль.
Завершили процесс резервирования: отсканировали основную и резервные карты, а затем нажали кнопку «Перейти к моему кошельку».
В Tangem можно настроить отображение баланса и цен отдельных активов — в криптовалютах или фиатных деньгах, а также добавить на главный экран интересующие монеты.
Мы провели две тестовые операции по вводу и выводу Dogecoin. Для начала нажали на кнопку «Управление токенами» и добавили на главную страницу основную сеть Dogecoin (MAIN). Также криптовалюта доступна в виде обернутого токена в сети BNB Chain.
После этого скопировали наш адрес и совершили перевод. Баланс обновился почти сразу после проведения транзакции.
Выбрали «нормальный» размер комиссии и включили ее в общую сумму. Нажали кнопку «Отправить», ввели код доступа и подтвердили транзакцию картой. Сеть Dogecoin обрабатывала транзакцию около минуты.
Мы провели тестовую транзакцию по обмену BNB на Tether через DEX PancakeSwap: перешли на сайт платформы и выбрали параметр WalletConnect в меню «Подключить кошелек».
Завершили подключение к dapps: в приложении кошелька открыли меню (⋮) и выбрали пункт WalletConnect. Нажали на кнопку «+» в нижней части экрана, отсканировали QR-код на сайте PancakeSwap и нажали кнопку «Начать».
На PancakeSwap выбрали обмен токенов BNB на 5 USDT, а затем нажали кнопку «Подписать и отправить» в Tangem, чтобы подписать транзакцию.
После этого наш баланс уменьшился на $5, однако обменянный актив (Tether) автоматически не добавился.
Баланс обновился только после того, как мы зашли в меню управления токенами и вручную добавили Tether (BEP20) на стартовую страницу. Команда Tangem считает, что такой подход позволяет сохранить конфиденциальность пользователя, однако нам это показалось не самым удобным решением.
С другой стороны, при потере всех карт получить доступ к средствам невозможно. Кроме того, можно выделить следующие недостатки:
Несколько месяцев спустя швейцарская компания Tangem AG представила новый аппаратный кошелек — в виде пластиковой карты и без seed-фразы. Тестируем Tangem Wallet и рассказываем о его преимуществах и недостатках.
Почему seed-фраза — не лучший бэкап
Мнемоническая фраза (seed-фраза или просто сид) — случайная последовательность 12 и более слов, которая нужна для восстановления доступа к средствам в случае потери, кражи или повреждения кошелька.Пользователь генерирует сид при создании криптовалютного кошелька. Ее нужно хранить в безопасном месте: обладатель seed-фразы получает полный доступ к активам.
Однако пользователь не может быть полностью уверен, что его мнемоническая фраза не была скомпрометирована.
Пример: злоумышленник похитил seed-фразу. Он не спешит выдавать себя и ждет, пока владелец переведет на кошелек «достаточную» сумму средств. После этого он выводит криптовалюту. Пользователь узнает о компрометации кошелька только после кражи активов.
Он добавил, что seed-фразу нужно правильно записать и подобрать надежное место для ее хранения. Из-за этого новички могут отказываться от некастодиальных кошельков в пользу менее безопасных централизованных платформ.
Кошелек без проводов и сидов
Tangem Wallet — мультивалютный кошелек в виде набора из двух или трех пластиковых карт.
В каждую из карт встроен чип S3D350A от компании Samsung, который защищен от влаги и пыли по стандарту IP68 и сертифицирован по стандарту защиты от физических методов взлома Common Criteria EAL6+ (Evaluation Ansurance Level).
Чипы с таким уровнем защиты используют в паспортах. В 2018 году прошивку Tangem Wallet проверила аудиторская компания Kudelski Security.
Для работы с кошельком не нужен USB-кабель. Пользователь взаимодействует с картами через NFC-соединение с помощью мобильного приложения Tangem на Android и iOS. Код приложения доступен на GitHub.
По заявлениям Tangem AG, срок службы карт превышает 25 лет. Они могут стабильно работать при температуре от -25 до +50 °C.
Пользователю не нужно создавать и хранить seed-фразу. Однако при потере или повреждении всех карт владелец кошелька навсегда теряет доступ к средствам. Производитель не предоставляет других способов восстановления.
Тестируем Tangem Wallet
Мы протестировали набор из трех карт. Цена на официальном сайте — $69,90. Две карты обойдутся в $54,90.Для установки приложения нужно поднести одну из карт к NFC-антенне. В iPhone она находится в верхней правой части смартфона. В Android-устройствах расположение зависит от конкретной модели.
Мы использовали телефон на Android: после контакта с NFC приложение автоматически открылось в Google Play. Такой подход защищает пользователя от вредоносных программ.
Установили приложение и нажали кнопку «Сканировать». После этого создали кошелек.
После генерации привязали кошелек к резервным картам. Каждая карта имеет уникальный номер на обороте.
Затем выполнили резервное копирование — приложили вторую и третью карту к NFC-антенне на 15 секунд.
Для защиты кошелька в случае кражи установили код доступа (пароль). Его можно задать индивидуально для каждой карты.
Восстановить код доступа позволяют резервные карты: необходимо нажать кнопку «Забыли код?» при входе в приложение, приложить резервную карту и ввести новый пароль.
Завершили процесс резервирования: отсканировали основную и резервные карты, а затем нажали кнопку «Перейти к моему кошельку».
В Tangem можно настроить отображение баланса и цен отдельных активов — в криптовалютах или фиатных деньгах, а также добавить на главный экран интересующие монеты.
Отправка и получение криптовалют
На момент написания обзора Tangem Wallet поддерживает более 2500 криптовалют и токенов в 23 сетях, включая биткоин, Ethereum, BNB Chain, XRP, Cardano, Solana, Dodecoin, Polygon, Tron, Avalanche, Ethereum Classic, Litecoin, Stellar, Bitcoin Cash, Tezos, Fantom и Arbitrum.Мы провели две тестовые операции по вводу и выводу Dogecoin. Для начала нажали на кнопку «Управление токенами» и добавили на главную страницу основную сеть Dogecoin (MAIN). Также криптовалюта доступна в виде обернутого токена в сети BNB Chain.
После этого скопировали наш адрес и совершили перевод. Баланс обновился почти сразу после проведения транзакции.
Выбрали «нормальный» размер комиссии и включили ее в общую сумму. Нажали кнопку «Отправить», ввели код доступа и подтвердили транзакцию картой. Сеть Dogecoin обрабатывала транзакцию около минуты.
Работа с децентрализованными приложениями
Подключить кошелек к dapps можно через протокол WalletConnect. На момент написания обзора его поддерживают более 450 децентрализованных приложений.Мы провели тестовую транзакцию по обмену BNB на Tether через DEX PancakeSwap: перешли на сайт платформы и выбрали параметр WalletConnect в меню «Подключить кошелек».
Завершили подключение к dapps: в приложении кошелька открыли меню (⋮) и выбрали пункт WalletConnect. Нажали на кнопку «+» в нижней части экрана, отсканировали QR-код на сайте PancakeSwap и нажали кнопку «Начать».
На PancakeSwap выбрали обмен токенов BNB на 5 USDT, а затем нажали кнопку «Подписать и отправить» в Tangem, чтобы подписать транзакцию.
После этого наш баланс уменьшился на $5, однако обменянный актив (Tether) автоматически не добавился.
Баланс обновился только после того, как мы зашли в меню управления токенами и вручную добавили Tether (BEP20) на стартовую страницу. Команда Tangem считает, что такой подход позволяет сохранить конфиденциальность пользователя, однако нам это показалось не самым удобным решением.
Выводы
Злоумышленники могут получить доступ к seed-фразе с помощью социальной инженерии, взлома аккаунтов или обыска. Tangem Wallet позволяет полностью избежать этих рисков. Также кошелек обладает рядом других преимуществ:- защита от влаги и пыли по стандарту IP68, уровень безопасности чипа EAL 6+. Для сравнения, Ledger и SafePal прошли сертификацию EAL 5+. В Tangem Wallet нет USB-портов, кнопок и дисплея, что позволяет минимизировать количество возможных атак;
- компактность и незаметность. Tangem можно носить в кошельке или кардхолдере вместе с банковскими картами;
- отсутствие аккумулятора и USB-портов. Не нужно беспокоиться о заряде батареи и носить с кошельком кабель для подключения к компьютеру.
С другой стороны, при потере всех карт получить доступ к средствам невозможно. Кроме того, можно выделить следующие недостатки:
- работа только через смартфон с NFC. Производитель не предусматривает других вариантов подключения к кошельку;
- нельзя создать более двух бэкапов. Основную карту можно привязать только к одной или двум резервным;
- поддержка 23 блокчейнов. Это довольно скромный показатель по сравнению со многими мультивалютными кошельками на рынке. Тем не менее разработчики постоянно обновляют приложение и добавляют новые сети.
