Passphrase (25-е слово) к сид-фразе: скрытые кошельки — сила и риск

У passphrase нет экрана «неверный пароль». Ошибётесь в одном символе — устройство не ругается и не блокируется, а спокойно открывает другой кошелёк: пустой, с нулевым балансом и незнакомыми адресами. Так задумано, и в этом же корень всех бед: «25-е слово» не добавляет пароль к вашему кошельку, а создаёт из тех же слов второй кошелёк с нуля. Функцию продают как защиту от нападения — мол, отдадите грабителю видимый кошелёк, а настоящий останется скрытым. На деле она закрывает совсем другую угрозу, и понимать разницу стоит до того, как вы туда что-то переведёте.

Главное за 30 секунд

• Passphrase — не дополнительное слово к сид-фразе, а второй вход в функцию, из которой рождается кошелёк. Одна и та же фраза восстановления с разными passphrase даёт разные, никак не связанные наборы адресов.
• Неверный ввод не вызывает ошибку: вы просто попадаете в новый пустой кошелёк. Пробел в конце, другая раскладка, заглавная буква вместо строчной — и это уже другой кошелёк, а не «неправильный пароль».
• Закрывает она по сути одну дыру — компрометацию самой сид-фразы: найденные слова перестают означать потерю денег. От заражённого компьютера, от принуждения и от собственной забывчивости не защищает никак.
• Если сид-фраза утекла, passphrase остаётся обычным паролем против перебора, причём с очень слабой защитой: стандарт BIP-39 задаёт 2 048 итераций PBKDF2 — цифра из 2013 года, с тех пор не менявшаяся. Словарное слово ломается за секунды, два слова из списка BIP-39 — за минуты.
• Скрытый кошелёк не даёт того «правдоподобного отрицания», которое ему приписывают: интерфейсы кошельков сами показывают, что функция существует, а нападающий не обязан вам верить.

Что это такое, если убрать метафору «25-го слова»

Ваша фраза восстановления — это 12 или 24 слова из фиксированного списка на 2 048 позиций. Из них по стандарту BIP-39 вычисляется seed — 512-битное число, из которого дальше растут все адреса и все приватные ключи кошелька.

Passphrase (в русскоязычных интерфейсах — «парольная фраза») подмешивается прямо в это вычисление:

seed = PBKDF2(мнемоника, "mnemonic" + passphrase, 2048 итераций, HMAC-SHA512)

Отсюда всё остальное. Парольная фраза не «открывает» кошелёк — она его определяет. Меняете один символ — другое число на выходе, другой seed, другие адреса. Никакой базы с «правильным» вариантом не существует, поэтому и сверять ввод не с чем: любая строка математически корректна и порождает реальный кошелёк. Просто пустой.

Название «25-е слово» тут скорее вредит. Это не слово и не из списка BIP-39, а ограничения задаёт не стандарт, а производитель: Trezor принимает до 50 символов ASCII с учётом регистра, Ledger — до 100.

От чего passphrase защищает, а от чего нет

Главная путаница в теме — не техническая, а смысловая. Функцию описывают как «дополнительный уровень безопасности» вообще, хотя закрывает она одну конкретную дыру: компрометацию сид-фразы. Всё остальное из таблицы ниже проходит мимо неё.

Вывод, который стоит держать в голове дальше: это защита бэкапа, а не защита вас. Всё, что она делает, — разрывает связь «нашёл слова → забрал деньги». Это немало: бэкап лежит месяцами без присмотра, и именно ради этого функцию стоит включать. Но продают её обычно под другим сценарием.

Почему привычные советы про passphrase не работают

Первая страница выдачи по запросу «25-е слово» — это набор рекомендаций, половина которых при столкновении с реальностью рассыпается.

«Придумайте что-то личное, что точно не забудете». Личное — значит короткое и осмысленное. А если сид-фраза утекла (единственный случай, когда парольная фраза вообще работает), она превращается в обычный пароль, и перебирают его по словарю, а не наугад. Арифметика — в следующем разделе.

«Запишите и храните рядом с сид-фразой». Тогда её незачем было заводить: одна находка вскрывает оба секрета. Смысл появляется только при физическом разнесении — то есть второе место хранения и второй способ что-то потерять.

«Просто запомните — это надёжнее бумаги». Память на точные последовательности символов деградирует незаметно. Фраза, придуманная в 2021 году и ни разу не введённая до 2026-го, — это не секрет, а лотерея. Рядом стоит ловушка с раскладкой: те же клавиши в другой раскладке дают другие символы и, значит, другой кошелёк.

«Скрытый кошелёк даёт правдоподобное отрицание». Интерфейсы сами выдают наличие функции: в Trezor Suite рядом со «Стандартным кошельком» постоянно висит пункт входа в кошелёк с парольной фразой. Человек, который пришёл за вашими деньгами, читал ту же документацию, что и вы.

«Заведите — и можно расслабиться с хранением слов». Наоборот: секретов теперь два, и потеря любого равна потере денег. Надёжность схемы не выросла, она перераспределилась.

Рабочим остаётся ровно одно применение — то, с которого начинали: скрытый кошелёк как страховка на случай, если бэкап основного попадёт в чужие руки. На его фоне всё остальное — побочные эффекты.

Арифметика: сколько живёт слабая passphrase

Если сид-фраза у нападающего, дальше идёт обычный перебор — и защита здесь слабее, чем в любом современном менеджере паролей: 2 048 итераций PBKDF2 по нынешним меркам стоят копейки. Публичные оценки скорости расходятся, но порядок такой: около 10 тысяч вариантов в секунду на обычном ноутбуке и порядка 2 миллионов на одной современной видеокарте.

Ниже — среднее время полного перебора при этих двух скоростях (половина пространства вариантов, делённая на скорость). Цифры иллюстративные и зависят от железа и софта, но соотношение между строками от этого не меняется.

Читать эту таблицу нужно так: любая фраза, которую вы способны держать в голове без записи, скорее всего находится в верхних трёх строках. Именно поэтому связка «слабая парольная фраза + утёкшая сид-фраза» — не защита, а её имитация. Приемлемое начинается примерно с четырёх случайных слов, а для крупных сумм — с пяти-шести: между 29 годами на одной видеокарте и сотнями тысяч лет разница принципиальная. Всё это, разумеется, уже нужно записывать.

Скрытый кошелёк против нападения: почему это не работает

Сценарий, ради которого функцию чаще всего заводят, звучит так: приходят за деньгами, вы отдаёте PIN от основного кошелька с небольшой суммой, и на этом всё заканчивается. Насколько это реалистично, можно проверить по открытым данным. Список физических нападений на держателей криптовалюты, который с 2014 года ведёт исследователь Джеймсон Лопп, на 7 сентября 2026 года содержит 55 записей за текущий год — против 78 за весь 2025-й, 36 за 2024-й и 19 за 2023-й. За январь–июнь у него 46 эпизодов, у компании CertiK за то же полугодие — 52. Два независимых счётчика дают один порядок величин, и он растёт четвёртый год подряд.

Дальше начинается работа с базой, без которой эти цифры бесполезны:

• Что именно считают. У CertiK $124,1 млн за полугодие — это «зафиксированная экспозиция»: сюда входят и требования выкупа, и замороженные средства, и то, что удалось вернуть. Chainalysis считает иначе — только известную украденную стоимость, и у них за то же полугодие получается около $30 млн при $58 млн за весь 2025 год. Разница почти вчетверо, и она вся в методике, а не в противоречии.
• Кто считает. Список Лоппа собирается по публикациям в прессе. Из 55 записей 2026 года 38 приходятся на одну страну — значит, список измеряет ещё и внимание журналистов, а не только преступность. Реальное число выше в обе стороны: часть эпизодов не попадает в СМИ никогда.

Теперь главное. В этих записях повторяется одна деталь: удержание длится часами, а не минутами. В феврале 2026 года двух женщин отпустили через тридцать часов; в июле похищенного держали столько же, пока он не отдал доступ. Схема «показал пустой кошелёк — тебя отпустили» предполагает, что нападающий поверит и уйдёт. Ничто в этих записях не говорит, что он так делает.

Отсюда честный вывод: скрытый кошелёк — плохая защита от физической угрозы и хорошая защита от найденного бэкапа. Если вас беспокоит именно первый сценарий, работают другие вещи: не рассказывать о суммах публично, разносить хранение по местам и по людям, а для крупных сумм — схема с несколькими подписями, где один человек физически не может отдать всё. Про неё подробно разбирали в материале о мультиподписи 2-из-3.

Как это устроено у Ledger и Trezor

Реализации отличаются, и различия практические.

Trezor. Фраза вводится либо на самом устройстве, либо в Trezor Suite на компьютере. На устройстве безопаснее: строка не проходит через операционную систему, где может сидеть перехватчик клавиатуры. Ограничение — 50 символов, регистр и пробелы значимы. Кошелёк с парольной фразой виден в интерфейсе всегда — отдельным пунктом рядом со стандартным.

Ledger. Два режима. Временный: вводите строку на устройстве, она действует до выключения. И привязка к дополнительному PIN: вторая комбинация цифр открывает скрытый кошелёк вместо основного. Второй режим удобнее, и в этом его цена — чтобы открывать кошелёк по одному PIN, устройство обязано хранить фразу внутри себя. Временный режим не хранит ничего.

Общее: производитель не знает вашу строку и восстановить её не может. Поддержка здесь бессильна по устройству системы, а не по нежеланию помочь, — и любой, кто предлагает «восстановить passphrase», по определению мошенник.

Что брать из железа, если устройства ещё нет, разбирали в сравнении Ledger, Trezor и SafePal; там же — чем холодный кошелёк отличается от горячего по модели угроз.

Кому это нужно, а кому противопоказано

Стоит включать, если сумма для вас существенная, бэкап сид-фразы лежит там, где его теоретически могут найти (сейф в квартире, ячейка, у родственников), и вы готовы завести второе место хранения — уже для самой фразы. То есть если вы решаете задачу «бэкап в чужих руках не должен означать потерю денег».

Не стоит, если сумма небольшая, кошельком вы пользуетесь редко или уже сомневаетесь, вспомните ли строку через год. В этих сценариях обычный кошелёк с грамотно спрятанным металлическим бэкапом даёт больше реальной безопасности, чем скрытый — с забытой парольной фразой. Как делать бэкап, чтобы он пережил и пожар, и переезд, — в материале про хранение сид-фразы.

Отдельно про наследников. Парольная фраза ломает большинство самодельных схем наследования: наследник находит слова, вводит их, видит пустой кошелёк — и логично решает, что денег нет. Если план на этот случай есть, фраза обязана быть его частью, причём с прямым указанием, что она вообще существует. Как это оформляют — в статье про крипто-завещание.

Что делать прямо сейчас

Шаг 1. Решите, какую угрозу вы закрываете. Если ответ не «мои слова могут попасть в чужие руки», парольная фраза — не тот инструмент, и её включение только добавит способов потерять доступ.

Шаг 2. Если включаете — придумайте строку не из головы, а случайную: четыре и больше случайных слов либо длинная комбинация символов. Всё, что можно вспомнить «по смыслу», перебирается по словарю.

Шаг 3. Запишите её отдельно от сид-фразы и в другом месте. Проверьте запись глазами: пробел в начале или в конце — самая частая необнаружимая ошибка, потому что на экране его не видно.

Шаг 4. Сразу сделайте контрольное восстановление: сбросьте устройство (или возьмите второе), введите слова и фразу заново, убедитесь, что видите тот же адрес. Это единственный способ узнать, что вы записали именно то, что ввели, — и делать это нужно до того, как на кошельке появятся деньги.

Шаг 5. Вводите фразу на самом устройстве, а не в программе на компьютере. Разница ощутима ровно в том случае, ради которого всё затевалось.

Дисклеймер: Материал актуален на сентябрь 2026 года. Не является финансовой или юридической рекомендацией.