Почему нельзя делать скриншот сид-фразы?

Скриншот — один из самых привычных для нас способов «быстро сохранить» информацию. Однако применительно к сид-фразе это один из самых опасных методов хранения. Один скриншот с сид-фразой может привести к тому, что все ваши ончейн-активы будут переведены без вашего ведома.

Почему этот вопрос столь важен?

Сид-фраза — это «мастер-ключ», контролирующий все активы в OneKey или любом другом совместимом кошельке. В отличие от банковского пароля, блокчейн-транзакции необратимы: если активы переведены — ни одна организация не поможет их вернуть.

Это означает: любое действие, которое приводит к утечке сид-фразы, влечёт безвозвратную потерю активов. Скриншот кажется удобным, но на самом деле открывает множество малозаметных каналов утечки.

Как официальное руководство MetaMask по безопасности сид-фразы, так и руководство по безопасности кошельков Ethereum прямо указывают на высокие риски хранения сид-фразы в виде скриншота или в цифровом формате.

Ключевые механизмы риска: почему скриншот так опасен?

1. Автоматическая синхронизация с облачным фотоальбомом

Современные смартфоны по умолчанию включают облачное резервное копирование (iCloud, Google Photos, облако Huawei и другие). Скриншот автоматически загружается в облако в течение нескольких секунд. Это означает, что ваша сид-фраза мгновенно «перемещается» с локального устройства на серверы в интернете, подпадая под все уязвимости этой платформы: утечки данных, взломы аккаунтов и прочие инциденты безопасности.

2. Распознавание текста (OCR) и ИИ-сканирование изображений

Некоторые производители телефонов и сторонние приложения применяют OCR-обработку фотографий из галереи для функций поиска и сортировки. Это означает, что ваша сид-фраза может быть извлечена и проиндексирована в текстовом виде, ещё более расширяя площадь возможной утечки.

3. Злоупотребление разрешениями приложений на доступ к галерее

Когда вы предоставляете приложению доступ к галерее, оно теоретически может читать все ваши скриншоты. Вредоносные приложения или взломанные легитимные приложения сканируют галерею в поисках изображений с сид-фразами. В документации OWASP по фишинговым атакам задокументировано множество случаев кражи конфиденциальной информации через разрешения на доступ к галерее.

4. Потеря или кража устройства

В случае потери или кражи телефона злоумышленник, разблокировав устройство, нередко первым делом просматривает галерею в поисках чувствительных изображений. Скриншот сид-фразы приведёт к немедленному опустошению соответствующего кошелька.

5. Запись экрана и демонстрация при трансляции

При демонстрации экрана на встречах, использовании функции трансляции или записи экрана скриншоты в галерее могут быть случайно показаны посторонним, что влечёт невосполнимые потери.

6. Остаточные данные на старых устройствах

Даже после «сброса к заводским настройкам» некоторые данные могут быть восстановлены профессиональными криминалистическими инструментами. Сид-фраза в виде скриншота на передаваемом или продаваемом телефоне сохраняет риск её извлечения.

Пользовательские сценарии

Сценарий 1: Критический момент при создании нового кошелька Многие пользователи, впервые создавая кошелёк в OneKey App, растерянно смотрят на экран с английскими словами и первым порывом делают скриншот — «пока что сохранить, потом перепишу». Но именно в этот момент, сразу после генерации сид-фразы, риск безопасности уже открыт.

Сценарий 2: Остаточные данные в облаке старого устройства Вы сменили телефон, но скриншот сид-фразы двухлетней давности по-прежнему тихо лежит в папке «Недавно удалённые» облачного фотоальбома или сохранён каким-то сервисом резервного копирования в фоновом режиме. Вы давно об этом забыли — злоумышленник не забудет.

Сценарий 3: Сканирование вредоносным приложением Вы когда-то дали одному редактору изображений доступ к галерее; позднее это приложение было приобретено и в него внедрён вредоносный код, начавший сканировать текст на изображениях в галерее. Скриншот сид-фразы становится прямой целью атаки.

Механизм защиты в OneKey App

OneKey App при отображении сид-фразы в процессе создания кошелька активно предупреждает пользователей:

• Не делайте скриншот: на этой странице приложение может обнаружить попытку сделать скриншот и вывести предупреждение.
• Запишите на бумаге: пользователь направляется к использованию физического носителя для записи.
• Шаг проверки: пользователю предлагается пройти проверку порядка слов сид-фразы, подтверждая корректность записи перед входом в кошелёк.

Все эти меры призваны пресечь рискованное поведение в критический момент.

Правильные методы резервного копирования сид-фразы

Хранение резервных копий в нескольких местах — лучшая практика: разместите бумажные копии в двух разных надёжных местах, чтобы защититься от единой точки отказа (пожар, наводнение).

Риски и предупреждения

• Проверяйте резервную копию сразу после записи: по завершении записи немедленно используйте функцию проверки в OneKey App, чтобы убедиться в правильности порядка каждого слова.
• Регулярно проверяйте физическое состояние резервной копии: бумага может отсыреть или потускнеть; периодически проверяйте читаемость физической резервной копии.
• Не полагайтесь на память: человеческая память ненадёжна; сид-фраза обязательно должна иметь физическую резервную копию.
• Остерегайтесь мошенничества с «восстановлением сид-фразы»: любой сервис, утверждающий, что поможет вам «найти» или «верифицировать» сид-фразу, — мошенничество; подробные примеры приведены в документации OWASP по фишингу.
• При подозрении на утечку действуйте немедленно: если вы подозреваете, что сид-фраза скомпрометирована, без промедления создайте новый кошелёк и переведите все активы.

Часто задаваемые вопросы

Q: Безопасно ли хранить сид-фразу в менеджере паролей? A: Безопаснее, чем скриншот, но это всё равно облачное хранение, уязвимое к взлому аккаунта. Рекомендуем использовать только как вспомогательный инструмент; физическая резервная копия по-прежнему незаменима.

Q: Можно ли хранить скриншот в зашифрованной папке? A: Риск сохраняется: зашифрованная папка полагается на безопасность устройства, и при атаке на устройство защита шифрования может быть обойдена; кроме того, это не защищает от рисков облачной синхронизации.

Q: Я уже сделал скриншот — что теперь? A: Немедленно удалите скриншот из всех мест хранения: галерея телефона, облачные резервные копии, папка «Недавно удалённые», письма и другие места. Также настоятельно рекомендуем создать новый кошелёк и перевести туда активы — для полной уверенности в безопасности.

Q: Будет ли OneKey просить меня предоставить скриншот или сид-фразу? A: Никогда. Официальный OneKey ни по каким каналам не запрашивает вашу сид-фразу, приватный ключ или скриншоты. При получении подобных запросов немедленно будьте начеку и сообщайте о мошенничестве.

Действуйте прямо сейчас

Если у вас есть скриншоты сид-фразы на каком-либо устройстве или в облаке — сейчас лучший момент их удалить. Скачайте OneKey App и повторно защитите свой кошелёк, следуя правильной процедуре резервного копирования. Посетите официальный сайт OneKey для получения дополнительных знаний по безопасности. Защита ваших активов начинается с этого шага.