Как создать air-gapped среду для холодного хранения криптовалют: пошаговая инструкция

Безопасность криптоактивов начинается с изоляции приватных ключей от интернета. Даже самый надёжный софт бесполезен, если устройство, на котором он запущен, может быть взломано удалённо. Air-gapped среда — это физически изолированный от любых сетей компьютер или смартфон, используемый исключительно для подписания транзакций. Приватные ключи никогда не покидают это устройство, а подписанные транзакции передаются в сеть через флешку или QR-код. В этой инструкции я покажу, как создать такую среду тремя способами: на базе старого ноутбука, Raspberry Pi или защищённого смартфона с аппаратными kill-switch.

Что понадобится для air-gapped среды

Вне зависимости от выбранного устройства, вам потребуются:

• Офлайн-устройство — ноутбук, одноплатный компьютер или смартфон, который больше никогда не будет подключаться к интернету.
• Онлайн-устройство — ваш обычный компьютер или телефон для создания транзакций и трансляции их в сеть.
• Носитель для переноса данных — USB-флешка, microSD-карта или камера для сканирования QR-кодов.
• Дистрибутив операционной системы — Tails, Debian, Ubuntu или специализированный софт вроде Electrum Personal Server.

Ниже я разберу три сценария: от простого (старый ноутбук) до параноидального (аппаратные kill-switch).

Способ 1: Старый ноутбук с Tails или Debian

Это самый доступный вариант. Подойдёт любой ноутбук, который можно полностью отключить от Wi-Fi и Bluetooth. Идеально — модель, где беспроводной модуль можно физически извлечь.

Шаг 1. Подготовка ноутбука

1. Найдите старый ноутбук, который не жалко выделить под одну задачу. Если есть возможность, снимите заднюю крышку и физически отключите Wi-Fi/Bluetooth-адаптер (обычно это маленькая плата, подключённая к разъёму mini-PCIe или M.2). Это даст 100% гарантию отсутствия связи.
2. Если физическое извлечение невозможно, зайдите в BIOS/UEFI и отключите беспроводные интерфейсы там. Но помните: программное отключение можно обойти.
3. Убедитесь, что на ноутбуке нет Ethernet-порта, или он тоже отключён/заклеен.

Шаг 2. Установка операционной системы

1. На онлайн-компьютере скачайте ISO-образ Tails (tails.net) — дистрибутива, заточенного под анонимность и не оставляющего следов. Либо используйте минимальный Debian с официального сайта.
2. Запишите образ на USB-флешку с помощью Rufus (Windows) или dd (Linux).
3. Загрузите ноутбук с этой флешки. Установите систему на внутренний накопитель, если хотите постоянное хранение, либо работайте в Live-режиме (Tails по умолчанию не сохраняет данные между сессиями, что тоже безопасно).

Шаг 3. Создание кошелька и ключей

1. На air-gapped ноутбуке откройте предустановленный Electrum (для Bitcoin) или скачайте Feather Wallet (для Monero) с официального сайта и перенесите установочный файл через флешку.
2. Запустите кошелёк, выберите «Создать новый кошелёк» и обязательно запишите seed-фразу на бумаге . Никаких цифровых копий.
3. Экспортируйте мастер-публичный ключ (xpub) или адреса для получения средств. Сохраните их на флешку для переноса на онлайн-устройство.

Шаг 4. Подписание транзакции

1. На онлайн-компьютере создайте «только просматриваемый» (watch-only) кошелёк в Electrum, импортировав xpub.
2. Когда нужно отправить средства, создайте транзакцию в watch-only кошельке, но не подписывайте её. Electrum предложит сохранить файл незавершённой транзакции (.txn или .psbt).
3. Перенесите этот файл на флешке в air-gapped ноутбук.
4. На офлайн-устройстве откройте Electrum, выберите «Загрузить транзакцию из файла», проверьте адреса и сумму на экране, затем нажмите «Подписать».
5. Подписанный файл сохраните обратно на флешку и перенесите на онлайн-компьютер.
6. На онлайн-машине откройте Electrum, загрузите подписанную транзакцию и нажмите «Транслировать». Готово — ваша транзакция ушла в сеть, а приватные ключи ни разу не коснулись интернета.

Способ 2: Raspberry Pi как выделенный подписчик

Микрокомпьютер Raspberry Pi идеально подходит для создания компактной air-gapped среды. Он потребляет мало энергии, не имеет встроенного Wi-Fi (на старых моделях) или позволяет его отключить.

1. Установите Raspberry Pi OS Lite (без графического интерфейса) или специализированные сборки вроде Raspiblitz (для биткоина).
2. Подключите монитор и клавиатуру только на время настройки, затем используйте устройство «головой» (headless) через локальную консоль.
3. Установите Electrum или Bitcoin Core с отключённой сетью. Сгенерируйте ключи.
4. Транзакции подписывайте через флешку, а для удобства можно настроить камеру для чтения QR-кодов (например, с помощью библиотеки zbarcam).

Способ 3: Смартфон с аппаратными kill-switch

Если у вас есть Librem 5 или даже Google Pixel с GrapheneOS, его тоже можно превратить в air-gapped среду. Однако физические переключатели Librem 5 дают максимальную уверенность.

1. На Librem 5 переведите все три тумблера в положение «выключено» (камера, микрофон, беспроводная связь). Устройство становится полностью офлайн.
2. Установите Feather Wallet (Monero) или Electrum (через пакетный менеджер Debian).
3. Создайте кошелёк и запишите seed-фразу.
4. Для подписания транзакции используйте метод QR-кодов: Feather Wallet и Electrum поддерживают экспорт/импорт транзакций в виде анимированных QR-кодов. Офлайн-телефон сканирует QR с онлайн-экрана, подписывает и показывает ответный QR, который вы сканируете онлайн-камерой.
5. После завершения операции тумблеры можно включить обратно, но если вы планируете использовать устройство только как холодный кошелёк, лучше держать их всегда отключёнными.

Методы переноса данных: флешка или QR-коды?

• USB-флешка / SD-карта — надёжно, но требует физического контакта. Риск: заражённая флешка может атаковать air-gapped устройство, поэтому форматируйте носитель каждый раз или используйте одноразовые.
• QR-коды — безопаснее в плане вредоносного ПО, так как передача идёт оптически. Подходит для небольших транзакций (размер данных ограничен). Electrum и Feather поддерживают этот метод. Вам понадобится веб-камера на air-gapped устройстве.

Меры безопасности при использовании air-gapped среды

• Никогда не подключайте air-gapped устройство к интернету даже на секунду — иначе весь смысл теряется.
• Храните seed-фразу на бумаге или металлической пластине, отдельно от устройства.
• Обновляйте ПО офлайн: скачивайте новые версии кошельков на онлайн-ПК, проверяйте контрольные суммы и переносите через проверенную флешку.
• Если используете флешку для переноса транзакций, заведите отдельный носитель только для этого, не используйте его на других компьютерах.
• Проверяйте адреса и суммы на экране air-gapped устройства перед подписанием. Это ваша последняя линия защиты от подмены.

Какой способ выбрать

• Старый ноутбук — лучший вариант для начала: дёшево, мощно, можно запустить полную ноду или несколько кошельков.
• Raspberry Pi — для тех, кто любит минимализм и низкое энергопотребление.
• Librem 5 или Pixel с GrapheneOS — мобильное решение, которое всегда с собой, но с физическими гарантиями изоляции.

Подробнее о настройке конкретных устройств читайте в нашем разделе Телефоны для криптовалют и анонимности и Инструкциях по приватным гаджетам . Помните: холодное хранение — это не только софт, но и ваша дисциплина.