Marketing self-custody to jedna linijka: bądź swoim własnym bankiem. Wersja uczciwa jest dłuższa. Dziedziczysz obowiązki, które custodian wykonywał za ciebie, a udawanie inaczej to powód, dla którego ludzie kończą z pustymi portfelami i historią zaczynającą się od "myślałem, że jest backup".
To czwarty artykuł serii Self-Custody Fundamentals. Poprzedni inwentaryzował siedem trybów awarii custodial giełd. Ten jest jego uczciwym odpowiednikiem: co self-custody na ciebie zrzuca. Przeczytaj go, zanim uznasz, że self-custody jest "oczywiście" właściwym modelem dla wszystkiego — dla niektórych aktywów i niektórych użytkowników kompromis przewraca się na drugą stronę.
TL;DR
- Self-custody zamienia ryzyko kontrahenta na ryzyko operacyjne, które należy do ciebie. Ryzyko nie spada do zera; zmienia formę.
- Rachunek przychodzi w pięciu kategoriach: backupy, bezpieczeństwo operacyjne (opsec), zarządzanie urządzeniami, planowanie odzyskiwania oraz czas i uwaga.
- Większość porażek nie jest dramatyczna — są powolne, banalne i zaczynają się od pominiętych kroków miesiące wcześniej (bez zapisanego backupu, seed sfotografowany dla wygody, recovery nigdy nie przetestowane).
- Multisig 2-z-2 jak SSP łagodzi wiele z tych ryzyk — utrata jednego urządzenia nie jest katastrofą, kompromitacja klucza wymaga obu — ale ich nie eliminuje.
- Właściwa rama to nie "self-custody jest trudne". To: zastępujesz dyscyplinę custodiana swoją. Zaplanuj to zastąpienie uczciwie, albo go nie dokonuj.
Kategoria 1 — Backupy
Custodian robi za ciebie backup — trzymając klucze do salda, które śledzi w swojej bazie danych. Nie musisz nic robić, żeby być "z backupem".
Self-custody nie ma takiej figury. Materiał recovery jest portfelem — czy to seed phrase 12/24 słów, para urządzeń 2-z-2, czy karta backupu hardware walleta. Jeśli ten materiał zostanie utracony lub zniszczony, środki są nie do odzyskania. Nie "trudniejsze do odzyskania". Nie do odzyskania.
Co to znaczy konkretnie:
- Zapisz seed, gdy portfel cię o to prosi. Długopis i papier, na miejscu. Nie screenshot, nie notatka w menedżerze haseł, nie "jutro".
- Trzymaj co najmniej dwie kopie, w fizycznie oddzielnych lokalizacjach. Pożar, powódź, kradzież lub przeprowadzka nie powinny zabrać obu. Częsty wzorzec: jedna w domu w ognioodpornej torbie, druga u rodziny lub w skrytce bankowej.
- Dla znaczących kwot użyj backupu metalowego. Papier przeżyje dekadę, jeśli będziesz uważać. Płytka metalowa przetrwa większość pożarów domowych. Steelplate i Cryptosteel to popularne produkty; post o najlepszych praktykach seed phrase omawia opcje.
- Przetestuj recovery, zanim mu zaufasz. Odtwórz seed na czystym urządzeniu raz, sprawdź zgodność adresów, potem wymaż i skonfiguruj od nowa. Nieprzetestowany backup to nadzieja, nie backup.
Dla SSP konkretnie model 2-z-2 oznacza, że twój "seed" dzieli się na dwa: master mnemonik rozszerzenia SSP plus mnemonik mobilny SSP Key. Oba przechodzą tę samą dyscyplinę backupu — i żaden z osobna nie wystarczy do odzyskania portfela.
Kategoria 2 — Bezpieczeństwo operacyjne (opsec)
Gdy klucze istnieją na twoich urządzeniach, powierzchnia ataku się zmienia. Opsec custodiana to problem jego pracowników; w self-custody to twój.
Realistyczne zagrożenia dla typowego użytkownika to nie przeciwnicy państwowi. To:
- Malware — clipboard-replacer, który podmienia adres docelowy na adres atakującego w chwili wklejenia, infostealer chwytający odblokowany plik seed, złośliwe rozszerzenie przeglądarki cicho podpisujące transakcje, których nie chciałeś.
- Phishing — maile, DM-y i podobne reklamy w wynikach wyszukiwania prowadzące do strony, która wygląda jak zaufany portfel, ale nim nie jest. Po wpisaniu seed jest po wszystkim.
- Dostęp fizyczny — ktokolwiek przeczyta twoją kartkę z seedem, ktokolwiek podniesie odblokowany telefon, ktokolwiek znajdzie niezaszyfrowany backup na pulpicie.
- Inżynieria społeczna — telefony lub wiadomości prowadzące cię przez kroki "weryfikacji", które obejmują przeczytanie seed na głos lub instalację oprogramowania zdalnego sterowania.
Czego to od ciebie wymaga:
- Nie wpisuj seed nigdzie, gdzie żyje cyfrowo. Nie w mailu, nie w Notatkach, nie w iCloud, nie w chmurowym menedżerze haseł. Seed jest offline z założenia.
- Sprawdzaj URL każdej strony portfela, do której się logujesz. Dodaj kanoniczny URL do zakładek raz. Sprawdzaj przy każdej wizycie. Lookalike są tanie do wyprodukowania; jedyną obroną jest dyscyplina zakładek.
- Używaj osobnego profilu użytkownika lub przeglądarki dla krypto, jeśli możesz. Zmniejsza promień rażenia złośliwego rozszerzenia.
- Zweryfikuj adres docelowy na drugim urządzeniu. Model 2-z-2 SSP czyni to naturalnym — aplikacja mobilna SSP Key pokazuje adres przed podpisaniem, więc clipboard-replacer w przeglądarce zostaje złapany.
Nie potrzebujesz dyscypliny wojskowej. Potrzebujesz spójnych, nudnych nawyków.
Kategoria 3 — Zarządzanie urządzeniami
Custodianów nie obchodzi, z jakiego urządzenia się logujesz. Uwierzytelniają konto, nie urządzenie. Self-custody odwraca to: urządzenie jest portfelem. Teraz zarządzasz urządzeniami tak, jak admin zarządza serwerami.
Minimalne obowiązki:
- Utrzymuj OS i oprogramowanie portfela na bieżąco. Stare wersje akumulują znane luki. 24-godzinne opóźnienie aktualizacji bezpieczeństwa jest realne; zamknij to okno.
- Blokuj urządzenie. PIN lub biometria na telefonie i laptopie, z krótkim auto-blokowaniem. Hasło samego portfela to ostatnia linia, nie pierwsza.
- Znaj cykl życia. Wycofując urządzenie, wymaż je przed odsprzedażą. Gdy urządzenie zostanie utracone, traktuj portfel na nim jako skompromitowany, dopóki nie zmigrujesz.
- Nie przechowuj seed na tym samym urządzeniu, na którym działa portfel. Zaszyfrowane backupy w chmurze zdjęć telefonu to sposób, w jaki seedy lądują na serwerach Apple lub Google.
Dla multisig 2-z-2 ta lista obowiązuje dwukrotnie — raz na urządzenie. Plus: utrata jednego urządzenia nie jest już natychmiast katastrofalna. Minus: są teraz dwa urządzenia do utrzymywania.
Kategoria 4 — Planowanie odzyskiwania
Najbardziej wpływowa rzecz, jaką użytkownik self-custody może zrobić, a której prawie nikt nie robi, to zaplanować recovery, zanim go potrzebuje.
Planowanie recovery oznacza odpowiedzenie na piśmie, z prawdziwymi zaangażowanymi osobami:
- Co się stanie, jeśli jutro stracę urządzenie? Gdzie jest seed, jaki jest proces przywracania, ile trwa?
- Co się stanie, jeśli zostanę ubezwłasnowolniony lub umrę? Czy właściwa osoba znajdzie materiał recovery, czy wie, do czego on służy, i czy strona prawna/spadkowa jest zharmonizowana (testament wspominający "posiadania krypto" bez wskazania, gdzie są klucze, jest praktycznie bezużyteczny)?
- Co się stanie, jeśli seed zostanie skompromitowany, ale wciąż kontroluję portfel? Odpowiedź to natychmiast przenieś środki do nowego portfela z nowym seedem. Przećwicz to raz, zanim będziesz musiał zrobić to pod presją.
Seria Wallet Recovery Scenarios szczegółowo omawia kąt spadkowy i dostęp awaryjny; krótka wersja: ukryty plan nie jest planem. Osoby, które potrzebują materiału recovery, muszą móc go znaleźć w formie, której potrafią użyć, bez twojego prowadzenia.
Dla setupu 2-z-2 SSP ta historia jest łagodniejsza niż w portfelach single-seed — utrata przeglądarki nie traci portfela, flow wallet recovery z v1.38 to obsługuje — ale dziedziczenie wymaga obu zestawów backupu, nie jednego. Zaplanuj dla obu.
Kategoria 5 — Czas i uwaga
Najmniej widoczny koszt i ten, który się kumuluje. Custodianowie absorbują podatek operacyjny prowadzenia portfela — decydują, kiedy rotować klucze, kiedy wdrażać łatki, kiedy aktualizować integrację z chainem. Delegujesz uwagę.
W self-custody odbierasz tę uwagę. Realistyczny rachunek czasu dla użytkownika z istotnymi kwotami:
- Setup początkowy: 1–2 godziny zrobione właściwie (poprawne zapisanie seed, przetestowanie recovery na drugim urządzeniu, backup w dwóch lokalizacjach).
- Na miesiąc: ~15 minut konserwacji — aktualizacje portfela, aktualizacje OS, okazjonalne sprawdzenie, że backup wciąż leży tam, gdzie go zostawiłeś.
- Na kwartał: 30 minut — ponowna weryfikacja backupów, sprawdzenie ostrzeżeń o oprogramowaniu portfela, przegląd nowych urządzeń lub adresów.
- Na rok: 1–2 godziny — pełny przegląd opsec (urządzenia, backupy, plan recovery, wszystko, co zboczyło od pisemnego planu).
To nie dużo. Ale więcej niż zero, a zero jest tym, co ludzie często planują. Wzorzec, który szkodzi użytkownikom, to traktowanie self-custody jak "ustaw i zapomnij" — bo portfel działa dalej, dyscyplina zanika, a luka pojawia się, gdy po raz pierwszy coś idzie nie tak.
Co to dla ciebie znaczy
Trzy uczciwe wnioski:
- Kompromis jest realny, ale nie nieskończony. Kilka godzin setupu i kilka minut miesięcznie utrzymania to realny koszt dla typowego użytkownika. Rama "self-custody jest za trudne" zwykle znaczy "jeszcze nie wiem, na czym polega praca" — gdy wiesz, jest do opanowania.
- Większość porażek self-custody jest banalna. Utracone seedy, sfotografowane seedy, nieprzetestowane backupy, "jutro zrobię backup". Dramatyczne rzeczy (państwowi atakujący, ataki "$5 wrench") są rzadkie. Banalne są ciągłe. Planuj na banalne.
- Multisig 2-z-2 łagodzi strome urwiska. Utrata urządzenia, kompromitacja jednego klucza, single-point seed fail — przestają być katastrofalne w setupie 2-z-2. Stają się incydentami możliwymi do odzyskania zamiast zdarzeń terminalnych. To zamierzony projekt.
Następny artykuł serii, self-custody without going to cold storage, patrzy na drogę pośrednią między pozostawieniem środków na giełdzie a pełnym air-gapem — i dlaczego dla większości użytkowników właściwa odpowiedź mieszka właśnie tam pośrodku.
