Hladni novčanik: potpuni vodič, od parčeta papira do multisiga na Qubes OS-u

Mon, 10 Aug 2026 00:00:00 +0000

Istraživači Kasperskog su 2023. rasklopili hardverski novčanik Trezor kupljen na naizgled ozbiljnoj internet berzi. Uređaj je vizuelno bio istovetan originalu, uključujući i pakovanje, i radio je normalno. Prikazivao je niz reči za prepisivanje, baš kao i pravi. Samo što taj niz uređaj nije izvukao nasumično: napadač ga je izabrao unapred, a preostalo mu je jedino da sačeka da žrtva tu položi svoja sredstva. Potpuna analiza objavljena je na blogu Kasperskog .

Ta priča sažima celu temu. Žrtva je kupila pravi proizvod, prave marke, s pravim namerama. Nije zakazao hardver, zakazala je procedura oko njega.

Hladni novčanik nije predmet koji se kupuje. To je procedura koja se primenjuje, a hardver je samo jedan njen deo.

Slede pet nivoa bezbednosti, od najjednostavnijeg do najzahtevnijeg. Svaki je upotrebljiv takav kakav jeste. Na svakom stepeniku isto pitanje: od čega prethodni nivo nije štitio i da li se taj rizik zaista tiče vas?

Šta je hladni novčanik, bez žargona

Kriptovaluta se ne čuva ni u vašem telefonu ni u vašem računaru. Ona je upisana u javni registar, blokčejn, umnožen na hiljadama mašina. Taj registar povezuje određenu količinu sredstava sa adresom, dugim nizom znakova koji ima ulogu javnog broja računa.

Da biste ta sredstva pomerili, morate dokazati da ste vlasnik. Taj dokaz potiče od tajne koju imate samo vi: privatnog ključa. Njega se nikada nikuda ne šalje. Koristi se da se na nalog za plaćanje stavi kriptografski potpis, a mreža proverava da li taj potpis zaista odgovara datoj adresi.

Cela bezbednost stoga počiva na jednoj jedinoj tački: ko je video privatni ključ.

Na menjačkoj platformi to niste vi. Platforma drži ključeve, vi držite jedan red u njenoj bazi podataka. Ako ode u stečaj, ako je provale, ako regulator zamrzne račune, taj red više ne vredi mnogo. To je smisao izreke koja kruži već deset godina: nisu tvoji ključevi, nisu ni tvoja sredstva.

U mobilnoj aplikaciji novčanika ključ jeste vaš, ali je generisan na uređaju povezanom s internetom i živi na tom uređaju. Savremeni telefon izvršava desetine hiljada linija koda koje niko nije revidirao i ostaje izložen propustima nepoznatim čak i sopstvenom proizvođaču. Ključ je tamo bezbedan sve dok ništa ne pođe naopako.

Hladni novčanik, doslovno hladan novčanik, izvrće tu logiku. Privatni ključ se generiše na uređaju koji nije povezan s internetom i taj uređaj nikada ne napušta. Kruže isključivo transakcije koje treba potpisati, koje ulaze, i potpisane transakcije, koje izlaze. Napadač koji bi u potpunosti kontrolisao vaš povezani računar video bi kako transakcije prolaze, ali nikada ključ koji ih potpisuje.

To je jedina razlika koja se računa. Sve ostalo svodi se na to da se njeno zaobilaženje čini sve težim.

Topli ili hladni novčanik, u čemu je razlika

Topli novčanik je novčanik čiji se privatni ključ generiše ili čuva na uređaju povezanom s internetom, što ga trajno izlaže napadu na daljinu. Hladni novčanik generiše ključ van mreže i potpisuje van mreže, tako da privatni ključ nikada ne dodirne povezani uređaj. Najčešća zabuna tiče se uloge operativnog sistema: telefon s aplikacijom poput MetaMaska ostaje topli novčanik, čak i na otvrdnutom i savršeno ažuriranom sistemu. Nije bitna opšta bezbednost uređaja, bitno je postojanje mrežne veze u tačnom trenutku kada ključ služi za potpisivanje. Otvrdnjavanje povezanog uređaja smanjuje verovatnoću kompromitacije, ali ne menja kategoriju kojoj novčanik pripada.

Šta nas uči slučaj Coldcard iz 2026.

Pre nego što uđemo u stepenike, nameće se jedno pojašnjenje, a nedavna dešavanja čine ga neizbežnim.

Krajem jula 2026. proizvođač Coinkite je otkrio da je propust unet u firmver njegovih Coldcard uređaja u martu 2021. uticao na generisanje pojedinih seed fraza. Nije bila reč o namernom rezervnom mehanizmu: greška integracije prilikom prelaska na novu kriptografsku biblioteku dovela je do toga da makro koji je trebalo da isključi softverski rezervni generator nije proizveo očekivano dejstvo, pa je predviđeni hardverski generator zapravo bio zaobiđen u korist generičkog softverskog generatora platforme, koji je predvidiv. Dobijene fraze delovale su savršeno nasumično, ali je njihova stvarna entropija padala, prema preliminarnim procenama koje je objavio Coinkite, na oko 40 bita na modelima Mk2 i Mk3 i oko 72 bita na Mk4, Mk5 i Q, umesto predviđenih 128 bita. Tehnički dokument koji je objavio Coinkite precizno opisuje taj mehanizam.

Počev od 30. jula 2026, u četiri talasa, napadači su ispraznili oko 1.816 bitkoina raspoređenih na više od 5.200 adresa, prema analizi TRM Labs-a . Ni u jednom trenutku nije im bio potreban pristup uređajima žrtava, ni fizički ni na daljinu. Oni su prosto ponovo izračunali privatne ključeve koji su postali dovoljno slabi da se pronađu grubom silom.

Tu je poenta koju treba zapamtiti. Te žrtve nisu napravile nijednu grešku. Seed nikada nije podeljen, uređaj nikada nije povezan, fizička rezervna kopija besprekorna. Ništa od toga nije pomoglo, jer se propust nalazio u trenutku stvaranja ključa, pre nego što je uopšte postojalo išta što treba zaštititi.

Ovaj slučaj ne diskvalifikuje ni hardver Coldcard ni hardverske novčanike kao kategoriju. Reč je o određenom bagu, ispravljenom firmverom objavljenim već sutradan po prvom talasu, a prelazak na novi seed ostaje neophodan jer ažuriranje ne popravlja već generisan ključ. Ali on osvetljava granicu koja važi za sve što sledi: pet stepenika u ovom tekstu objašnjava kako zaštititi ključ kada on već postoji, a nijedan sam po sebi ne garantuje da je ispravno generisan u samom početku. U tome je sva vrednost otvorenih rešenja poput SeedSignera, opisanog dalje u tekstu, čiji je kod za generisanje javan i svako može da ga proveri, dok zatvoreni firmver može da krije propust pet godina.

Stepenik 1: seed fraza na papiru

Zapamtiti privatni ključ za čoveka je nemoguće. Standard BIP39 , koji su usvojili gotovo svi novčanici, zaobilazi taj problem.

Novčanik izvlači vrlo veliki nasumični broj, pa ga prevodi u spisak običnih reči uzetih iz utvrđenog rečnika od 2048 reči: to je seed fraza, ili fraza za oporavak. Dvanaest reči odgovara 128 bita nasumičnosti, dvadeset četiri reči 256 bita. Iz te fraze novčanik matematički ponovo izvodi sve vaše privatne ključeve i sve vaše adrese.

Ključna posledica: fraza jeste novčanik. Ako vaš uređaj izgori, ukucate reči u bilo koji drugi kompatibilan novčanik i sredstva pronađete netaknuta. Ako neko pročita te reči, njemu ništa drugo nije potrebno. Ni vaš uređaj, ni vaš PIN.

Ono što tu frazu čini nepogodivom jeste količina nasumičnosti koju sadrži, a ne njena prividna dužina. Isto rasuđivanje kao i kod lozinke, razrađeno u našem tekstu o entropiji i nauci iza vaše bezbednosti .

U praksi, reči zapisujete rukom, po redu i numerisane, na podlogu koja ne prolazi ni kroz jedan uređaj. Nikada fotografija, snimak ekrana, tekstualni fajl, sinhronizovani menadžer lozinki, niti mejl samom sebi. Sve što dotakne neku onlajn uslugu izvlači frazu iz oflajn domena, i hladni novčanik više ne postoji.

Od čega ovaj stepenik ne štiti. Papir gori, ne podnosi poplavu, bledi, gubi se. Onaj ko otvori pogrešnu fioku pročitaće ga za nekoliko sekundi. Pre svega, on predstavlja jedinstvenu tačku otkaza, izraz koji će se vraćati kroz ceo ovaj tekst: jedan jedini element čiji je gubitak ili kompromitacija dovoljan da odnese sve.

Neposredno poboljšanje jeftino je: urezati frazu u metalnu rezervnu kopiju, ploču od nerđajućeg čelika s utisnutim slovima ili umetnutim pločicama, čiji su najpoznatiji primeri Cryptosteel i Billfodl. Čelik preživljava kućni požar i poplavu. To rešava slučajno uništenje, ne i krađu.

Stepenik 2: hardverski novčanik iz prodaje

Stepenik 1 pretpostavlja da ste seed frazu negde generisali. Ako ste to učinili u mobilnoj aplikaciji pre nego što ste je prepisali, vaša fraza je postojala na povezanom uređaju, a papir je samo napravio kopiju već izložene tajne.

Hardverski novčanik rešava taj problem iz korena. To je mali namenski uređaj, bez pregledača i bez aplikacija trećih strana, čiji je jedini zanat da generiše seed frazu, da je čuva u bezbednosnom čipu i da potpisuje transakcije. Priključuje se na vaš računar, ali ključ nikada ne izlazi iz čipa. Računar šalje transakciju na potpis, uređaj prikazuje iznos i odredišnu adresu na sopstvenom ekranu, vi potvrđujete dugmetom, on vraća potpis.

Taj ekran je suštinska stvar, i često se pogrešno razume. Ako zlonamerni softver na vašem računaru zameni odredišnu adresu u trenutku slanja, ekran uređaja prikazaće pravo odredište, ono napadačevo. To je vaša poslednja nezavisna tačka provere. Treba je pročitati, svaki put.

Referentni uređaji su Ledger , Trezor i Coldcard , pri čemu je poslednji specijalizovan za Bitkoin.

Oprez u pogledu porekla

Evo nas ponovo kod krivotvorenog novčanika s početka ovog teksta.

Kupujte isključivo direktno na sajtu proizvođača ili kod prodavca koga on zvanično navodi. Nikada na opštoj internet berzi, nikada polovno, nikada uređaj dobijen na poklon. Između izlaska iz fabrike i vaših ruku, posrednik može otvoriti uređaj, zameniti mu sadržaj i uredno ga zatvoriti. Po prijemu proverite plombu i odsustvo tragova otvaranja, prateći postupak provere autentičnosti koji objavljuje proizvođač.

Zapamtite pre svega pravilo koje samo po sebi neutrališe najčešći napad: nov hardverski novčanik mora da vas natera da generišete seed frazu, on vam nikada ne sme isporučiti gotovu. Uređaj koji stiže s frazom već ispisanom u kutiji, ili koji od vas traži da unesete isporučenu frazu, kompromitovan je. Bez izuzetka.

Od čega ovaj stepenik ne štiti. Sada verujete proizvođaču u pogledu kvaliteta njegovog generatora nasumičnosti i u pogledu celovitosti njegovog firmvera, odnosno softvera ugrađenog u uređaj. Taj firmver je po pravilu vlasnički, bar delimično, dakle s vaše strane neproverljiv. Razumno poverenje, opravdano za ogromnu većinu ljudi, ali ipak poverenje. A seed fraza ostaje jedinstvena tačka otkaza.

Stepenik 3: namenski air-gapped računar

Ako ne želite da verujete nijednom proizvođaču, ostaje mogućnost da sve uradite sami na običnom hardveru, s otvorenim i revidiranim softverom. To je načelo air-gapped mašine, doslovno odvojene slojem vazduha: računara koji nikada nije bio i nikada neće biti povezan na mrežu.

Uzmite mašinu namenjenu isključivo ovoj svrsi. Star laptop je dovoljan, a model bez ugrađenog bežičnog čipa je idealan.
Ponovo instalirajte čist sistem, na primer neku uobičajenu Linuks distribuciju, iz slike čiji ste kriptografski otisak proverili.
Onesposobite mrežu na što nižem nivou. Fizički izvaditi Wi-Fi karticu, često malu karticu utaknutu ispod poklopca, vredi više nego isključiti je u podešavanjima. Nikada ne priključujte mrežni kabl. Softversko isključivanje može poništiti neki softver, a odsutna komponenta ne može poništiti ništa.
Instalirajte referentni softverski novčanik, Sparrow ili Electrum , tako što ćete instalacioni fajl preneti USB-om i proveriti njegov potpis.
Generišite seed frazu na toj mašini, van mreže, i napravite kopiju prema stepeniku 1.

Za trošenje, tok ide kroz standardni format, PSBT (Partially Signed Bitcoin Transaction), delimično potpisanu transakciju. To je fajl koji sadrži sve pojedinosti transakcije, osim potpisa. Na povezanom računaru pripremite transakciju i izvezete taj fajl. Prenosite ga na oflajn mašinu USB-om ili QR kodom prikazanim na ekranu i pročitanim kamerom. Oflajn mašina ga potpisuje, potpisani fajl vraćate istim putem, a povezani računar ga emituje na mrežu.

Jedini kanal između dva sveta jeste fajl koji nosite rukom. Sporo je, i baš u tome je poenta.

Od čega ovaj stepenik ne štiti. USB postaje vaša slaba tačka: to je aktivan medijum, sposoban da unese kod. Oflajn sistem uz to ostaje operativni sistem opšte namene, obiman i težak za reviziju. Bitna je i disciplina: iskušenje da se taj mrežni kabl priključi samo jednom radi ažuriranja poništava ceo sklop u jednom potezu.

Stepenik 4: potpisivač otvorenog koda koji sami pravite, SeedSigner

SeedSigner dovodi logiku stepenika 3 do njenog zaključka: minimalan uređaj, koji sami sklapate, čije je ponašanje proverljivo i koji ništa ne zadržava.

Središnja komponenta je Raspberry Pi Zero u verziji 1.3. Ta preciznost nije sitnica, ona je srce celog sklopa. Pi Zero 1.3 nema ni Wi-Fi ni Bluetooth na nivou hardvera: radio čipovi nisu prisutni na ploči. To nije Raspberry Pi 5, ni Pi Zero W, ni Pi Zero 2, koji svi nose bežičnu povezanost. Zvanična dokumentacija je izričita, verzija 1.3 je ta koja pruža najbolju garanciju mrežne izolacije.

Razlika u odnosu na softversko isključivanje je suštinska. Wi-Fi isključen u podešavanju počiva na obećanju jednog softvera koje drugi softver može izneveriti. Čip koji nikada nije zalemljen na ploču ne može ponovo aktivirati nikakav kod, nikakav propust, nikakvo podmetnuto ažuriranje. Više ne verujete konfiguraciji, već konstatujete fizičko odsustvo.

Ostatak se svodi na tri dela: ekran WaveShare od 1,3 inča rezolucije 240 puta 240 piksela s pripadajućim dugmadima, kamera modul kompatibilan s Pi Zero i microSD kartica. Manje od 50 dolara komponenti, bez ijednog lemljenja.

Sva komunikacija ide preko QR kodova, u oba smera. Povezani novčanik, na primer Sparrow, prikazuje PSBT u obliku QR koda, animiranog ako je transakcija obimna. Kamera SeedSignera ga čita. Uređaj prikazuje pojedinosti transakcije na svom ekranu, vi potvrđujete, on potpisuje, pa zauzvrat prikazuje potpisanu transakciju u QR kodu, koji snimate veb-kamerom povezanog računara. Nikakav podatkovni kabl, nikakav USB, nikakva mreža. Svetlost je jedini kanal.

Uređaj je uz to i stateless, bez stanja. On nikada ne čuva ključ trajno: seed fraza se unosi na početku svake sesije, živi isključivo u radnoj memoriji tokom upotrebe i nestaje pri gašenju. Na microSD kartici je samo softver. Napadač koji ukrade vaš ugašeni SeedSigner ukrao je tek Raspberry Pi od petnaest evra.

Cena otvorenosti. Više nema proizvođača kome treba verovati, ali nema ni onoga ko bi bilo šta garantovao. Pre nego što softver upišete na microSD karticu, morate sami proveriti njegovu autentičnost. Projekat na svojoj stranici izdanja na GitHubu objavljuje fajl slike praćen manifestom i potpisom tog manifesta. Provera spaja GPG potpis, koji dokazuje da objava zaista dolazi od programera, i proveru SHA256 otiska, koja dokazuje da fajl otada nije menjan. Mora se obaviti pre nego što se slika uopšte montira, jer je pojedini sistemi menjaju pri otvaranju i time obaraju proveru. Ako provera ne prođe, ne upisuje se.

Funkcionalno ograničenje koje treba navesti: SeedSigner je bitkoin projekat, ne pokriva druge lance.

Stepenik 5: virtuelna mašina Vault pod Qubes OS-om

Stepenik 3 razdvaja dva sveta iskopčanim kablom. To je garancija koju održavate ručno, iz dana u dan, i koja počiva na vašoj disciplini.

Qubes OS nudi nešto drugo: razdvajanje nametnuto arhitekturom samog sistema. Qubes deli vaše aktivnosti u zasebne virtuelne mašine, zvane qubes, izolovane hipervizorom. Smestili smo ga u odnos prema drugim sistemima u našem poređenju operativnih sistema usmerenih na bezbednost .

Vault mašina kreira se bez ikakvog mrežnog interfejsa. To nije kozmetičko podešavanje: virtuelna mašina uopšte nema virtuelnu mrežnu karticu, nema drajver, nema stek, nema šta da se uključi. Fizički nema nikakav način da pošalje paket, kakav god kod se u njoj izvršavao. Upravo ona drži seed frazu i pokreće Sparrow van mreže.

Druga virtuelna mašina, ovog puta povezana, pokreće Sparrow u režimu samo za posmatranje, isključivo s javnim ključevima. Vidi stanje i istoriju, ume da sastavi transakcije, ali nijednu ne može da potpiše.

Prenos se obavlja isključivo fajlom, internim alatom qvm-copy. Nepotpisani PSBT polazi s povezane mašine ka Vaultu, Vault ga potpisuje, potpisani fajl se vraća istim mehanizmom. Nikakva deljena mreža, nikakva zajednička fascikla, nikakav automatski klipbord.

Dve stvari ga čine boljim od običnog izolovanog računara. Prvo, izolacija više ne zavisi od vas: na klasičnoj air-gapped mašini air gap je svojstvo vašeg ponašanja, drži se dok niko ne priključi kabl. Pod Qubesom izolaciju sprovodi hipervizor, ispod virtuelne mašine, van domašaja onoga što se unutra izvršava. Zlonamerni softver koji bi u Vaultu dobio puna ovlašćenja i dalje ne bi imao nikakav mrežni hardver da njime upravlja. Drugo, povratnost: qubes počivaju na šablonima, pa ako posumnjate na kompromitaciju, uništite mašinu i za nekoliko minuta je ponovo napravite čistu. Na namenskom računaru ista sumnja nalaže potpunu reinstalaciju.

Od čega ovaj stepenik ne štiti. To je najčvršći sklop na ovom spisku, a zadržava tačno slabost onog prvog: i dalje postoji samo jedna seed fraza. Požar koji uništi vašu rezervnu kopiju, fizička prinuda primenjena na vas, greška u rukovanju, i sve je izgubljeno ili sve je uzeto. Softverska izolacija, ma koliko savršena, tu ništa ne menja.

Multisig: promeniti prirodu problema

Prethodnih pet stepenika svi poboljšavaju istu stvar, zaštitu jedne jedine tajne. Multisig, odnosno višestruki potpis, postavlja drugačije pitanje: šta ako prestanemo da imamo jednu jedinu tajnu?

Načelo je upisano u pravila same mreže. Umesto da se sredstva vežu za jedan ključ, vezuju se za grupu ključeva, s pragom. Kod 2 od 3 postoje tri ključa i za trošenje su potrebna dva. Kod 3 od 5 postoji pet ključeva, potrebna su tri. Svaki ključ se generiše nezavisno, na drugom uređaju, po mogućstvu druge vrste, i čuva se na drugom mestu: Coldcard kod vas, SeedSigner kod bliske osobe od poverenja, ključ u bankarskom sefu.

Ono što se time menja jasno je. Provalnik koji nađe jednu rezervnu kopiju ne dobija ništa. Požar koji uništi jedno mesto ne uništava vaša sredstva, obnavljate ih preostalim ključevima. Propust otkriven kod jednog proizvođača nije dovoljan, jer vaši drugi ključevi dolaze odnekud drugde. Onaj ko vam fizički preti nailazi na to da vi ne možete, sami i na licu mesta, da proizvedete ono što traži.

Jedinstvena tačka otkaza nestaje u oba smera istovremeno, i prema gubitku i prema krađi. Nijedan od prethodnih stepenika ne postiže taj rezultat, uključujući i sklop s Qubesom.

Cena je operativna složenost. Rezervnu kopiju treba napraviti ne samo od seed fraza, već i od deskriptora novčanika, fajla koji opisuje strukturu sklopa i javne ključeve koji ga čine. Bez njega, povraćaj sredstava postaje veoma težak čak i sa potrebnim brojem seed fraza. Loše dokumentovan multisig opasniji je od jednostavnog hardverskog novčanika kojim dobro vladate.

Pravila koja važe na svim stepenicima

Hardver zauzima najveći deo rasprava, dok stvarni gubici najčešće dolaze odnekud drugde.

Rasporedite rezervne kopije geografski. Dve kopije iste seed fraze u dve fioke iste kuće čine tek jednu kopiju pred požarom ili poplavom. Rizik nije samo krađa. Razdvojite mesta, imajući u vidu da svaka dodatna kopija poboljšava vašu otpornost na gubitak i pogoršava vašu otpornost na krađu. To je odmeravanje, a ne optimalno podešavanje.

Isprobajte s malim iznosom. Pošaljite protivvrednost od nekoliko evra, proverite prijem, pa obrišite novčanik i u celosti ga povratite iz svoje rezervne kopije. To što prijem radi ne dokazuje ništa o povraćaju, a povraćaj je taj koji će vas jednog dana spasti. Pogrešno prepisana reč, izokrenut redosled, nepotpuna kopija: sve su to stvari koje se otkrivaju tek u tom trenutku, a bolje ih je otkriti dok je na kocki deset evra.

Ostanite diskretni. Tehnička bezbednost nema nikakvog dejstva na socijalni inženjering ni na ciljanu fizičku krađu. Ne pominjite javno da posedujete kriptovalute, ni na društvenim mrežama, ni u restoranu, ni pred dalekim poznanicima. Najbolji sklop na svetu ne štiti onoga za koga se zna da kod njega ima šta da se uzme.

Predvidite prenos. To je najzanemarenija tačka, i nepovratna je. Dobro obezbeđen hladni novčanik osmišljen je tako da mu niko osim vas ne pristupi. U slučaju smrti ili nesposobnosti, to svojstvo se okreće protiv vaših naslednika i sredstva su konačno izgubljena. Postoji nekoliko puteva: šifrovana dokumentacija poverena pouzdanom trećem licu ili položena kod notara, multisig sklop koji uključuje ključ u rukama naslednika, ili mehanizam tipa dead man switch koji oslobađa informaciju u odsustvu znakova života. Svaki nosi pravne i poreske posledice koje se razlikuju od zemlje do zemlje. Dokumentujte tehničku nameru, a sprovođenje neka uokviri pravni stručnjak.

Šta ovo govori o pristupu Arpokrata

Nit koja prolazi kroz ovih pet stepenika nije rastuća složenost. To je postepeno smanjivanje broja činilaca kojima morate verovati bez mogućnosti provere. Menjačka platforma traži potpuno poverenje. Hardverski novčanik ga svodi na jednog proizvođača. SeedSigner ga zamenjuje proverom koju sami obavljate. Sklop s Qubesom premešta garanciju s ponašanja na arhitekturu. Multisig je oduzima svakom elementu uzetom zasebno.

To je logika koja upravlja projektovanjem naših proizvoda. Garancija koja počiva na obećanju nije garancija, već obaveza. Strukturna garancija drži i onda kada onaj ko ju je izgradio promeni mišljenje ili dobije nalog. Usluga koja ne drži vaše ključeve ne može ih ni predati, kakav god pritisak bio: to je načelo na kome počiva Arpokrat Swap . Pitanje uostalom postaje konkretnije kako se regulatorni okvir menja, kao što pokazuje naša analiza evropskih ograničenja za Monero i Zcash predviđenih za 2027 .

Zaključak

Ne postoji dobar nivo bezbednosti uopšte. Postoji nivo srazmeran onome što posedujete i onome ko bi vas razumno mogao uzeti na nišan.

Nekoliko stotina evra na hardverskom novčaniku kupljenom kod proizvođača, sa seed frazom urezanom u metal i odloženom van vašeg doma, predstavlja sasvim ozbiljnu konfiguraciju. Ona vas već stavlja iznad ogromne većine vlasnika kriptovaluta i štiti vas od scenarija koji zaista prouzrokuju gubitke. Za to nikome nije potreban multisig pod Qubesom. Složen sklop opravdan je kada bi iznos učinio ciljani napad isplativim, ili kada vaša situacija privlači posebnu pažnju.

Pravo pitanje, dakle, nije dokle se popeti, već koja je od vaših sadašnjih pretpostavki najkrhkija. Za većinu ljudi to nije hardver: to je jedna jedina rezervna kopija odložena na jednom jedinom mestu, povraćaj koji nikada nije isproban, ili prenos o kome se nikada nije razmišljalo. Ispravljanje te tri tačke ne košta ništa, a vredi više od prelaska s jednog stepenika na sledeći.

SeedSigner on Arpokrat