Как проверить, что аппаратный кошелёк подлинный: 7 шагов

Аппаратный кошелёк защищает вас, только если это действительно устройство, выпущенное производителем. Подделки и «доработанные» кошельки — реальная и повторяющаяся проблема: только в 2026 году в устройствах Ledger, проданных через реселлера, нашли импланты, перехватывающие фразы восстановления, а у Keystone при взломе сайта украли ключ, на котором держится онлайн-проверка подлинности. Шаги ниже подходят для любого бренда. Выполните их по порядку, прежде чем переводить на новое устройство заметную сумму. Если тема для вас новая, начните с материала что такое аппаратный кошелёк.

Покупайте у производителя или у реселлера из его списка

Главный риск — откуда взялось устройство. Заказывайте на официальном сайте производителя или в магазине из официального списка авторизованных продавцов (проверяйте список на сайте производителя, а не по ссылке из письма). Избегайте объявлений неизвестных продавцов на маркетплейсах, «вскрытых» и подержанных устройств, подозрительно дешёвых комплектов и предложений из соцсетей или Telegram. После истории с имплантами Ledger часть производителей сократила сети реселлеров — например, Trezor отказался от части продавцов, так что незнакомый магазин — повод перепроверить. Вводите адрес сайта производителя вручную: фишинговые копии официальных магазинов встречаются часто.

Сверьте коробку с тем, что в ней должно быть

Ещё до вскрытия найдите на сайте производителя официальную страницу «что в коробке» или инструкцию по распаковке. Сравните с ней упаковку, пломбы, кабели и карточки. Защита от вскрытия у производителей разная: одни используют голографические пломбы или наклейки, другие — пронумерованные защитные пакеты, третьи полагаются в основном на криптографическую проверку вместо пломб. Порванная пломба, следы клея, переклеенный пакет, царапины или явно бывшее в употреблении устройство — повод остановиться и написать производителю. Помните предел этого шага: хорошую упаковку тоже можно подделать, так что аккуратная коробка — условие необходимое, но не достаточное.

Любая заранее записанная сид-фраза — это мошенничество

Подлинный аппаратный кошелёк сам генерирует фразу восстановления (сид-фразу) на собственном экране при первой настройке. Вы её записываете — и больше никто её никогда не видел. Поэтому:

• если в коробке есть карточка с уже напечатанными или записанными словами, не используйте устройство;
• если устройство уже настроено, на нём установлен PIN-код или оно пропускает генерацию фразы — не используйте его;
• если любое приложение, сайт или «поддержка» просит ввести фразу на компьютере или телефоне — это кража. Ни одному честному производителю она не нужна.

Одно это правило останавливает самые распространённые схемы с «фейковыми кошельками». Почему фраза контролирует всё, объясняет наш гайд что такое сид-фраза.

Запустите официальную проверку подлинности

Большинство производителей встраивают криптографическую проверку в первую настройку. Секретный ключ, записанный в устройство на заводе, доказывает приложению или сайту производителя, что это их «железо». Примеры: Ledger Live запускает проверку подлинности (genuine check) при подключении устройства; Trezor Suite проверяет подлинность новых моделей с защищённым чипом; Coldcard при первом включении показывает номер пакета, который нужно сверить с номером на защитном пакете; Keystone использует веб-страницу проверки. Запускайте проверку только в официальном приложении или на официальном сайте, адрес которого вы ввели сами.

Устанавливайте прошивку только через официальное приложение

Прошивка — это операционная система устройства, и подлинные устройства принимают только прошивку, подписанную производителем. Обновляйтесь через официальное десктопное или мобильное приложение (или файлами с официального сайта, проверенными так, как описывает производитель) и никогда — по ссылке из письма или чата. Некоторые модели поставляются без прошивки и устанавливают её при настройке — это тоже подтверждает, что устройство принимает подписанный код производителя. Если приложение предупреждает, что устройство или прошивка неподлинные, остановитесь и обратитесь в поддержку через официальный сайт. Не «чините» это инструментами с форумов.

Проверьте небольшой тестовый перевод на экране устройства

Прежде чем переводить сбережения, отправьте на новый кошелёк небольшую сумму и выведите её обратно. Убедитесь, что адрес получения в приложении совпадает с адресом на экране самого устройства, а при отправке сумма и получатель на экране устройства — именно те, что вы задумали. Устройство, которое подписывает без показа деталей, показывает другие данные, чем приложение, или ведёт себя странно во время теста, не должно хранить реальные средства. Заодно этот шаг подтверждает, что ваша бумажная копия верна, если вы потренируетесь восстановить кошелёк на том же устройстве.

Знайте тревожные признаки после настройки и куда обращаться

Некоторые атаки проявляются позже. Будьте бдительны в отношении:

• писем, SMS или звонков об «отзыве», «замене устройства» или «обновлении безопасности» с просьбой вернуть кошелёк или ввести фразу (Keystone заявила, что не отзывает устройства);
• посылки с кошельком, который вы не заказывали;
• «поддержки», которая первой пишет вам, особенно в соцсетях.

Если подозреваете подделку, прекратите пользоваться устройством, переведите средства на кошелёк, которому доверяете (сгенерировав на нём новую сид-фразу), и обращайтесь к производителю только через его официальный сайт. Более широкий чек-лист по хранению и резервным копиям — в гайде как безопасно хранить криптовалюту, а сценарии мошенников собраны в нашем гайде о криптомошенничестве.