Маркетинг self-custody — одна строчка: будь сам себе банком. Честная версия длиннее. Ты наследуешь обязанности, которые custodian брал на себя, и притворяться обратно — это как люди оказываются с пустыми кошельками и историей, начинающейся с "я думал, есть бэкап".
Это четвёртая статья серии Self-Custody Fundamentals. Предыдущая инвентаризировала семь режимов отказа custodial-бирж. Эта — честный контрапункт: что self-custody на самом деле кладёт на тебя. Прочитай прежде чем решать, что self-custody "очевидно" правильная модель для всего — для некоторых активов и некоторых пользователей трейд-офф разворачивается в обратную сторону.
TL;DR
- Self-custody меняет риск контрагента на операционный риск, который твой. Риски не уходят в ноль; они меняют форму.
- Счёт приходит в пяти категориях: бэкапы, операционная безопасность (opsec), управление устройствами, планирование recovery и время и внимание.
- Большинство сбоев не драматичны — они медленные, банальные и начинаются с пропущенных шагов за месяцы до этого (без записанного бэкапа, seed сфотографирована для удобства, recovery никогда не проверена).
- Multisig 2-из-2 вроде SSP смягчает несколько из этих режимов — потеря одного устройства не катастрофична, компрометация ключа требует обоих устройств — но не устраняет их.
- Правильный фрейм — не "self-custody сложно". А: ты замещаешь дисциплину custodian'а своей. Честно спланируй это замещение или не делай его.
Категория 1 — Бэкапы
Custodian бэкапит тебя — удерживая ключи к балансу, который отслеживает в своей базе. Тебе ничего не надо делать, чтобы быть "забэкаплённым".
В self-custody такой стороны нет. Материал recovery и есть кошелёк — будь то seed phrase из 12/24 слов, пара устройств 2-из-2 или backup-карта аппаратного кошелька. Если этот материал потерян или уничтожен, средства невосстановимы. Не "сложнее восстановить". Невосстановимы.
Что это значит конкретно:
- Запиши seed, когда кошелёк просит. Ручка и бумага, на месте. Не скриншот, не заметка в менеджере паролей, не "сделаю завтра".
- Храни минимум две копии в физически разнесённых местах. Пожар, наводнение, кража или переезд не должны забрать обе. Стандарт: одна дома в огнестойком пакете, вторая у родственников или в банковской ячейке.
- Для значимых сумм используй металлический бэкап. Бумага живёт десятилетие при аккуратности. Металлическая пластина переживает большинство домашних пожаров. Steelplate и Cryptosteel — распространённые продукты; пост лучшие практики seed phrase разбирает варианты.
- Проверь recovery, прежде чем доверять ему. Восстанови seed на чистом устройстве однажды, убедись, что адреса совпадают, потом сотри и настрой заново. Непроверенный бэкап — это надежда, не бэкап.
Для SSP конкретно модель 2-из-2 означает, что твоя "seed" разделена надвое: master-мнемоник браузерного расширения SSP плюс мобильная мнемоника SSP Key. Обе проходят одну и ту же дисциплину бэкапа — и по отдельности ни одна не хватает для восстановления кошелька.
Категория 2 — Операционная безопасность (opsec)
Как только ключи существуют на твоих устройствах, поверхность меняется. Opsec custodian'а — это проблема его сотрудников; в self-custody — твоя.
Реалистичные угрозы для типичного пользователя — не государственный противник. Это:
- Малварь — clipboard-replacer, который подменяет твой адрес назначения на адрес атакующего в момент вставки; infostealer, который хватает разблокированный seed-файл; вредоносное браузерное расширение, тихо подписывающее транзакции, которых ты не хотел.
- Фишинг — письма, DM и поисковые объявления-двойники, ведущие на сайт, который выглядит как доверенный кошелёк, но им не является. Как только ты ввёл seed — конец.
- Физический доступ — любой, кто прочитает бумагу с seed, любой, кто возьмёт незаблокированный телефон, любой, кто найдёт нешифрованный бэкап на десктопе.
- Социальная инженерия — звонки или сообщения, проводящие тебя через шаги "верификации", включая чтение seed вслух или установку ПО удалённого управления.
Что от тебя требуется:
- Не печатай seed нигде, где она живёт цифрово. Ни в почте, ни в Notes, ни в iCloud, ни в облачном менеджере паролей. Seed — оффлайн по дизайну.
- Проверяй URL любого сайта кошелька, куда заходишь. Один раз поставь канонический URL в закладки. Сверяйся при каждом визите. Двойники стоят копейки; единственная защита — дисциплина закладки.
- Используй отдельный профиль или браузер для крипты, если можешь. Снижает радиус взрыва вредоносного расширения.
- Сверяй адрес назначения на втором устройстве. Модель 2-из-2 SSP делает это естественным — мобильное приложение SSP Key показывает адрес перед подписанием, так что clipboard-replacer в браузере ловится.
Тебе не нужна военная дисциплина. Нужны устойчивые скучные привычки.
Категория 3 — Управление устройствами
Custodian'у безразлично, с какого устройства ты заходишь. Они аутентифицируют аккаунт, не устройство. Self-custody переворачивает это: устройство и есть кошелёк. Теперь ты управляешь устройствами как админ серверами.
Минимальные обязанности:
- Держи ОС и ПО кошелька в актуальном состоянии. Старые версии накапливают известные уязвимости. 24-часовое окно после security-патчей реально; закрой его.
- Блокируй устройство. PIN или биометрия на телефоне и ноутбуке, с коротким автолоком. Пароль самого кошелька — последняя линия, не первая.
- Знай жизненный цикл. Выводя устройство, сотри его перед перепродажей. Если устройство потеряно, считай кошелёк на нём скомпрометированным до миграции.
- Не храни seed на том же устройстве, где работает кошелёк. Зашифрованные облачные бэкапы фото телефона — это как seed оказывается на серверах Apple или Google.
Для multisig 2-из-2 этот список применяется дважды — раз на устройство. Плюс: потеря одного устройства больше не мгновенно катастрофична. Минус: теперь два устройства поддерживать в актуальном виде.
Категория 4 — Планирование recovery
Самое высокоимпактное, что пользователь self-custody может сделать и почти никто не делает — спланировать recovery до того, как он понадобится.
Спланировать recovery — значит письменно ответить, с реально вовлечёнными людьми:
- Что произойдёт, если завтра потеряю устройство? Где seed, какой процесс восстановления, сколько занимает?
- Что произойдёт, если я недееспособен или умру? Найдёт ли нужный человек материал recovery, знает ли, для чего он, и согласована ли юридическая/наследственная сторона (завещание, упоминающее "криптовалютные активы" без указания, где ключи, практически бесполезно)?
- Что произойдёт, если seed скомпрометирована, но я всё ещё контролирую кошелёк? Ответ — немедленно переместить средства в новый кошелёк со свежей seed. Прорепетируй это однажды, прежде чем делать под стрессом.
Серия Wallet Recovery Scenarios детально рассматривает наследственный и аварийный угол; короткая версия: скрытый план не план. Люди, которым нужен материал recovery, должны мочь найти его в пригодной форме, без твоего сопровождения.
Для конфигурации 2-из-2 SSP эта история мягче, чем у single-seed кошельков — потеря браузера не теряет кошелёк, флоу wallet recovery в v1.38 это обрабатывает — но наследование требует обоих наборов бэкапов, не одного. Планируй на оба.
Категория 5 — Время и внимание
Наименее заметная стоимость и та, что накапливается. Custodian'ы поглощают операционный налог обслуживания кошелька — они решают, когда ротировать ключи, когда применять патчи, когда обновлять интеграцию с цепочкой. Ты делегируешь внимание.
В self-custody ты забираешь это внимание обратно. Реалистичный счёт времени для пользователя со значимыми суммами:
- Первичная настройка: 1–2 часа сделано как следует (корректно записать seed, проверить recovery на втором устройстве, бэкап в двух местах).
- В месяц: ~15 минут обслуживания — обновления кошелька, обновления ОС, периодическая проверка, что бэкап всё ещё там, где ты его оставил.
- В квартал: 30 минут — переподтверждение бэкапов, проверка advisory по ПО кошелька, ревью любых новых устройств или адресов.
- В год: 1–2 часа — полный opsec-ревью (устройства, бэкапы, план recovery, всё, что отклонилось от записанного плана).
Это немного. Но больше нуля, а ноль обычно и планируют. Шаблон, который вредит пользователям — относиться к self-custody как к "настроил и забыл" — кошелёк продолжает работать, дисциплина атрофируется, и разрыв проявляется в первый раз, когда что-то идёт не так.
Что это значит для тебя
Три честных вывода:
- Трейд-офф реален, но не бесконечен. Несколько часов настройки и несколько минут в месяц обслуживания — реальная стоимость для типичного пользователя. Фрейминг "self-custody слишком сложен" обычно означает "я ещё не знаю, в чём работа" — когда узнаёшь, она управляема.
- Большинство сбоев self-custody банальны. Потерянные seed'ы, сфотографированные seed'ы, непроверенные бэкапы, "завтра сделаю бэкап". Драматичное (государственные атакующие, "$5 wrench"-атаки) — редкость. Банальное — постоянно. Планируй на банальное.
- 2-из-2 multisig сглаживает крутые обрывы. Потеря одного устройства, компрометация одного ключа, single-point seed-сбой — перестают быть катастрофическими в конфигурации 2-из-2. Они становятся восстанавливаемыми инцидентами вместо терминальных событий. Это намерение дизайна.
Следующая статья серии, self-custody without going to cold storage, смотрит на средний путь между оставлением средств на бирже и полным air-gap — и почему для большинства пользователей правильный ответ живёт именно в этом среднем.
