Как безопасно хранить криптовалюту: 6 правил

Безопасно хранить криптовалюту можно, если контролировать ключи, не держать крупные суммы на бирже, записать seed-фразу на бумагу или металл и никому её не сообщать. Остальное защищает от ошибок и мошенников: двухфакторная защита, вход на сайты только по закладкам и проверка адреса целиком перед каждым переводом. Для россиян у совета «не держать крупные суммы на бирже» есть правовые границы, о них в оговорке к правилу 1. Ниже шесть правил с объяснением, зачем они нужны, и типичной ошибкой по каждому.

Коротко

• Ключи определяют, кому принадлежат средства. Если ключи у биржи, вы зависите от её безопасности и честности.
• Seed-фраза даёт полный доступ к кошельку. Её нельзя фотографировать, хранить в облаке и вводить на сайтах.
• Двухфакторную защиту лучше делать через приложение или аппаратный ключ, а не через SMS.
• Адрес перевода сверяйте целиком, а не по началу и концу.
• Для россиян совет «основное держите в своём кошельке» имеет границы: по данным Банка России, перевод с цифрового счёта на свой некастодиальный кошелёк не разрешён (подробнее в правиле 1).
• Это справочный материал, а не инвестиционная рекомендация.

Где хранится криптовалюта и чем это важно

Криптовалюта хранится в блокчейне, а у вас есть ключи, которые позволяют ею распоряжаться. Есть два способа хранения.

	Биржа или сервис	Собственный кошелёк
Кто держит ключи	Компания	Вы
От чего зависите	От безопасности и решений платформы	От собственной аккуратности
Если потеряли доступ	Зависит от правил платформы	Без seed-фразы восстановить нельзя

Bitcoin.org формулирует это так: «When a third party controls your keys, you rely entirely on their security and honesty». Тот же сайт советует держать на компьютере или телефоне для повседневных нужд только небольшие суммы.

1. Не держите всё на бирже

Почему. На бирже вы доверяете и её защите, и её решениям. Платформу могут взломать, а аккаунт могут ограничить.

Что делать. Если это допустимо в вашей ситуации и по действующим правилам (см. оговорку ниже), разделите средства: на бирже оставьте то, чем пользуетесь прямо сейчас, остальное держите в кошельке, ключи от которого контролируете вы.

Оговорка для России. На вопрос, разрешён ли перевод цифровой валюты с цифрового счёта на некастодиальный кошелёк того же физического лица, Банк России ответил, что такой перевод в соответствии с частью 9 статьи 31 Федерального закона № 282-ФЗ не разрешён (вопрос 6, ответы обновлены 12.10.2026). В этом ответе нет сроков и исключений. Если ваши средства лежат на цифровом счёте в российском цифровом депозитарии, совет «выведите на свой кошелёк» к ним неприменим. Как это работает в вашем случае, уточните у площадки и юриста, а обходить это правило не пытайтесь. Это не юридическая и не налоговая консультация.

Типичная ошибка. Оставлять на бирже «на потом» всю сумму только потому, что так удобнее.

2. Seed-фраза: единственный ключ ко всему

Seed-фраза (она же секретная фраза восстановления) — набор слов, из которого восстанавливаются все ключи кошелька. Стандарт BIP-39 допускает фразы из 12, 15, 18, 21 и 24 слов. Ledger пишет, что все его устройства используют 24 слова. У кого есть фраза, у того есть доступ к средствам.

• Записывайте на бумагу или металлическую пластину. Ledger предостерегает от хранения фразы в облачных сервисах, а Trezor советует держать резервную копию «offline, private, and protected from damage or loss».
• Не вводите слова ни в какое приложение и на сайт. Ledger пишет, что вводить фразу можно только на самом устройстве.
• Храните копию в другом месте на случай пожара или потери. Если записали с ошибкой, доступ можно потерять: этот риск Ledger описывает прямо.
• Никому не называйте. Bitcoin.org: «no legitimate person, business, or support team will ever ask for your seed phrase or private key». Ledger пишет то же: «Ledger and Ledger support will never ask for them».

Типичная ошибка. Сфотографировать фразу «на всякий случай» или сохранить в заметках. Тогда копия лежит в онлайне, где её могут украсть вместе с телефоном или аккаунтом.

3. Для крупных сумм нужен аппаратный кошелёк

Аппаратный кошелёк — отдельное устройство, на котором хранятся ключи и подтверждаются переводы. Bitcoin.org называет такие кошельки лучшим балансом между высокой защитой и удобством.

• Покупайте у производителя или официального дилера. Ledger: «Purchasing from unlisted, unauthorised sellers adds a number of security risks».
• Если упаковка выглядит вскрытой, не используйте устройство. Ledger: «do not use the device and contact Ledger Support immediately».
• Фраза восстановления создаётся на самом устройстве при настройке. Устройство, которое пришло с готовой фразой или записанным PIN, использовать нельзя.

Типичная ошибка. Купить «со скидкой» с рук или на неизвестной площадке.

4. Включите двухфакторную защиту

Двухфакторная аутентификация (2FA) требует второго подтверждения при входе. CISA пишет, что даже если злоумышленник украл пароль, второй шаг ему не пройти. Приложения-аутентификаторы, по описанию CISA, «generate a new code every 30 seconds».

SMS слабее: стандарт NIST называет среди рисков смену SIM-карты и перенос номера и ограничивает использование кода по телефонной сети. Поэтому для биржи лучше выбрать приложение или аппаратный ключ. NIST отмечает, что ввод кода вручную не защищает от фишинга, а защищает криптографическая аутентификация (например, аппаратные ключи).

Заведите для бирж отдельную почту с уникальным паролем и 2FA: через почту обычно сбрасывают пароли.

Типичная ошибка. Оставить SMS единственным способом подтверждения и использовать один пароль на нескольких сервисах.

5. Остерегайтесь фишинга

Фишинг — подделка сайтов и сообщений, чтобы вы сами отдали пароль, код или seed-фразу. CISA называет признаки: срочные просьбы, запрос личных и финансовых данных, сокращённые ссылки, неверные адреса почты или ссылки. Ledger отдельно предупреждает: фальшивые домены бывают очень похожи на настоящие и отличаются едва заметным написанием.

• Сохраните официальные адреса биржи и кошелька в закладки и заходите только через них.
• Не переходите по ссылкам из писем и мессенджеров. CISA советует связываться с компанией через проверенный канал.
• Ledger не звонит и не пишет SMS и не просит обновлять прошивку или включать 2FA по письму.
• Банк России напоминает: не сообщайте никому данные карты и код из SMS, а требование перевести деньги на «защищённый» или «специальный» счёт Центробанка — признак обмана, потому что Банк России не открывает счета и не работает с гражданами.
• Обещания высокой доходности и срочность — тревожный сигнал. Bitcoin.org: не участвуйте в предложениях, где вам обещают гарантированный доход за предоплату.

Типичная ошибка. Перейти на сайт из рекламы в поиске или из сообщения «службы поддержки» и ввести там данные.

6. Проверяйте адрес и сеть перед каждым переводом

Bitcoin.org пишет, что транзакцию нельзя отменить: «A Bitcoin transaction cannot be reversed, it can only be refunded by the person receiving the funds». Ошибку не исправит банк, вернуть средства может только получатель, если согласится.

1. Скопируйте адрес получателя из надёжного источника.
2. Сравните адрес целиком. Bitcoin.org: «verify the entire receiving address, not just the first or last characters». Часть программ при вставке из буфера обмена незаметно подменяет адрес, а при «отравлении адреса» мошенник присылает вам мелкий перевод с адреса, похожего на адрес вашего обычного получателя, в расчёте, что вы скопируете его из истории операций.
3. Убедитесь, что сеть (например, TRC20 или ERC20) совпадает у отправителя и получателя. Перевод нельзя отменить, поэтому при несовпадении вернуть средства может оказаться невозможно: условия возврата уточняйте у поддержки платформы до отправки.
4. Для новой связки адрес и сеть отправьте небольшую тестовую сумму и дождитесь зачисления.

Типичная ошибка. Копировать адрес из истории операций и сверять только первые и последние символы.

Частые вопросы

Что делать, если seed-фраза утеряна?

Без неё восстановить кошелёк нельзя. Если устройство ещё работает, можно создать новый кошелёк с новой фразой и перенести на него средства, если это допустимо в вашей ситуации и по действующим правилам. Затем запишите новую фразу правильно. Если нет ни устройства, ни фразы, доступ потерян.

Можно ли хранить seed-фразу в менеджере паролей?

Производители советуют офлайн-хранение: Ledger предостерегает от облачных сервисов, Trezor советует держать копию офлайн. Цифровая копия остаётся онлайн-риском.

Биржа надёжнее своего кошелька?

Это разные модели. На бирже безопасность зависит от компании, в своём кошельке — от вас. Bitcoin.org советует держать в горячем кошельке на компьютере или телефоне только небольшие суммы для повседневных трат, а Ledger и Trezor описывают хранение ключей у владельца. Для россиян совет «основное держите в своём кошельке» условный: он применим, только если допустим в вашей ситуации и по действующим правилам (см. оговорку в правиле 1).

Поддержка просит seed-фразу. Это нормально?

Нет. Ни Ledger, ни Bitcoin.org не считают такую просьбу легитимной: настоящая поддержка фразу не спрашивает. Прекратите общение.

Короткий чек-лист

• Если это допустимо в вашей ситуации и по действующим правилам (см. оговорку в правиле 1), основная часть средств хранится вне биржи.
• Seed-фраза записана на бумаге или металле, цифровых копий нет.
• Включена 2FA через приложение или ключ, а не SMS.
• Сайты открываются только через закладки.
• Адрес сверен целиком, сеть совпадает, тестовый перевод прошёл.
• Аппаратный кошелёк куплен у производителя или официального дилера.