8 приложений для усиления безопасности крипто-кошелька на Android
Малоне Лам недавно признал себя виновным в краже $263 миллионов криптовалюты, и этот случай важен даже если вы держите лишь часть этой суммы. Цепь блокчейна не была нарушена. Злоумышленники завоевали доверие жертвы по телефону, направили его на облачную резервную копию его аппаратного кошелька с фразой восстановления и опустошили счет оттуда. Каждый пользователь, практикующий самоохранение и читающий подобные заголовки, задает один и тот же вопрос: какие приложения на моем телефоне действительно защищают меня от повторения этой схемы. Это восемь Android-приложений, к которым мы постоянно возвращаемся, разделенные на аппаратные кошельки холодного хранилища, настоящую двухфакторную аутентификацию и кошельки, которые снижают ценность любого украденного единственного ключа.
Список является субъективным. Мы протестировали каждое приложение на стандартном устройстве Android, проверили, что оно раскрывает в облачных резервных копиях, испробовали интеграции аппаратного кошелька от начала до конца и прочитали код, где проект является открытым исходным кодом. Цены и бесплатные уровни ниже отражают то, что мы видели в Google Play и на сайтах каждого поставщика.
На что обратить внимание в приложении для безопасности крипто-кошелька
Несколько критериев отличают настоящий инструмент безопасности от кошелька, который просто утверждает, что он безопасен.
- Ключи никогда не касаются интернета. Холодное хранилище через аппаратный кошелек или минимум воздушный зазор подписывающего устройства держит приватный ключ вне любого устройства, которое может быть скомпрометировано.
- Двухфакторная аутентификация, которая не является SMS. Приложение аутентификатора или физический ключ всегда побеждает текстовое сообщение. Случай Малоне Лам не использовал перехват SMS, но подмена SIM остается точкой входа в большинстве случаев розничной кражи криптовалюты.
- Предпросмотр транзакции перед подписанием. Современные кошельки моделируют транзакцию и отмечают подозрительные одобрения, неограниченные лимиты и известные мошеннические контракты перед подписанием.
- Зашифрованное локальное хранилище с вашей парольной фразой. Фраза восстановления находится на телефоне в покое только когда она защищена парольной фразой, которую вы установили, а не просто разблокировкой устройства.
- Открытый исходный код, воспроизводимые сборки или общедоступный аудит. Вы хотите быть в состоянии проверить, что делает приложение, или попросить кого-то авторитетного проверить это за вас.
- Нет обязательной облачной резервной копии. Если приложение побуждает вас сохранить фразу восстановления в Google Drive или облаке поставщика, откажитесь. Это именно тот вектор, который использовали Лам и его группа.
Быстрое сравнение
| Приложение | Лучше всего для | Бесплатный план | Начальная цена | Выдающаяся особенность |
|---|---|---|---|---|
| Ledger Live | Аппаратный кошелек холодного хранилища | Полное приложение бесплатно, устройство продается отдельно | Устройство около $79 | Ключи запечатаны в безопасном элементе |
| Aegis Authenticator | Самостоятельно размещенная 2FA | Полностью бесплатно | Бесплатно, GPLv3 | Зашифрованное локальное хранилище, без облака |
| Yubico Authenticator | 2FA привязанная к аппаратуре | Бесплатное приложение, ключ продается отдельно | YubiKey от около $50 | Коды хранятся на ключе, а не на телефоне |
| MetaMask | Повседневный EVM кошелек | Бесплатно | Бесплатно | Предпросмотр транзакции Blockaid |
| Blockstream Green | Bitcoin multisig на мобильном | Бесплатно | Бесплатно | Подпись 2-of-2 с Blockstream Jade |
| BlueWallet | Только просмотр и Lightning | Бесплатно | Бесплатно | Хранилища Multisig и поток PSBT |
| Electrum | Продвинутое самоохранение Bitcoin | Бесплатно | Бесплатно | Multisig, аппаратный кошелек, контроль монет |
| Cake Wallet | Конфиденциальность Monero | Бесплатно | Бесплатно | Некастодиальный Monero и Bitcoin в одном приложении |
1. Ledger Live, аппаратный кошелек холодного хранилища
Ledger Live - это сопутствующее приложение для аппаратных кошельков Ledger Nano. Приватный ключ генерируется и запечатывается в безопасном элементе на устройстве, никогда его не покидает, и каждая транзакция отправки подтверждается нажатием физических кнопок на кошельке. На Android, Ledger Live сопрягается с Nano X по Bluetooth и с Nano S Plus и Stax через USB-C. Приложение обрабатывает Bitcoin, Ethereum, большинство сетей EVM, Solana, Cardano и длинный хвост более мелких цепочек через плагины сообщества.
От чего это защищает: фишинговые страницы, которые запрашивают фразу восстановления, вредоносное ПО, которое скребет буфер обмена и ввод клавиатуры, и попытки удаленного опустошения даже если сам телефон скомпрометирован. Если злоумышленник не может добраться до физического устройства, он не может подписать.
Где это отстает: аппаратура стоит денег, сопряжение по Bluetooth иногда требует сброса, и пользователи DeFi все еще жалуются на медленное подписание на цепях с тяжелыми вызовами контракта. Опциональная подписка Ledger Recover (зашифрованные фрагменты ключей, хранящиеся третьими сторонами) отключена по умолчанию и остается выключенной, если вы ее не включите.
Цена: приложение бесплатно. Nano S Plus розничная цена около $79, Nano X около $149, Stax около $399.
Платформы: Android, iOS, Windows, macOS, Linux.
Скачать: Aptoide · Google Play
Вывод: если вы держите достаточно криптовалюты, чтобы иметь значение, аппаратный кошелек, связанный с Ledger Live, - это наиболее значимое обновление, которое вы можете сделать.
2. Aegis Authenticator, самостоятельно размещенная 2FA
Aegis - это открытый исходный код TOTP аутентификатор, который хранит свой хранилище зашифрованным на устройстве с паролем, который вы выбираете. Хранилище никогда не загружается куда-либо приложением. Резервные копии являются добровольными и записываются в место, которое вы выбираете: локальное хранилище, карту SD или папку в облаке, которому вы уже доверяете. Значки сотен сервисов импортируются чисто, и приложение может переходить непосредственно от Google Authenticator, Authy, andOTP или Steam.
От чего это защищает: атаки подмены SIM, которые перенаправляют SMS коды, тихую синхронизацию облака Google Authenticator (введенную в 2023), и фишинговые страницы, которые собирают одноразовые коды, если вы сопрягаете его с биометрической блокировкой.
Где это отстает: нет встроенной синхронизации между устройствами. Если вы хотите свои коды на планшете тоже, вы настраиваете путь резервной копии сами. Некоторые биржи по-прежнему отказываются регистрировать второй фактор TOTP после того, как первый привязан.
Цена: бесплатно, GPLv3.
Платформы: Android.
Скачать: Aptoide · Google Play
Вывод: приложение 2FA для использования на каждом счете крипто-биржи, к которому вы прикасаетесь, и прямая замена Authy после того, как Twilio отключил синхронизацию между настольными и мобильными устройствами.
3. Yubico Authenticator, 2FA привязанная к аппаратуре
Yubico Authenticator хранит TOTP секреты на YubiKey вместо телефона. Коснитесь ключа к задней части NFC-способного Android или вставьте его в порт USB-C, и приложение считает текущие коды. Ничего не остается на телефоне после удаления ключа. Один и тот же ключ служит двойной целью как ключ безопасности FIDO2 для входов на биржу и хранилище ключей с аппаратной поддержкой.
От чего это защищает: телефон, который был украден, скопирован или восстановлен из резервной копии. Без физического ключа коды не могут быть переданы. Объедините это с входом FIDO2 на Coinbase, Kraken или Binance и фишинговые сайты не смогут даже собрать действительный код, потому что FIDO2 привязывает вход к точному домену.
Где это отстает: потеряйте ключ без резервного ключа и вы будете заблокированы. Yubico отправляет двухключевые упаковки именно по этой причине. Само приложение тонко, так что большинство ценности зависит от владения ключом.
Цена: приложение бесплатно. YubiKey 5C NFC находится около $55, Security Key NFC около $29.
Платформы: Android, iOS, Windows, macOS, Linux.
Скачать: Aptoide · Google Play
Вывод: самая сильная настройка 2FA, которую вы можете поместить в карман. Купите два ключа, зарегистрируйте оба на каждой бирже и сохраните резервный ключ в месте, где основной не находится.
4. MetaMask, повседневный EVM кошелек, сделанный осторожно
MetaMask - это кошелек, в котором в конечном итоге оказываются большинство пользователей Ethereum, Base, Arbitrum и Optimism, и он заметно затвердел за последние два года. Blockaid, включенный по умолчанию с 2024 года, отмечает известные контракты опустошения и моделирует результат любой транзакции перед подписанием. Сопряжение аппаратного кошелька с Ledger работает через USB-C, и сопряжение Trezor Model T работает через веб-браузер Web3. Фраза восстановления может оставаться строго на устройстве, и резервная копия iCloud или Google Drive отключена, если вы явно не согласитесь.
От чего это защищает: наиболее распространенные ловушки в цепи, включая неограниченные разрешения токенов для злонамеренных контрактов, поддельные страницы претензий и фишинг подписей (дренажи permit и setApprovalForAll).
Где это отстает: просто огромная поверхность атаки. Кошелек с 30 подключениями dApp - это кошелек с 30 местами для ошибок. Мобильный браузер также наследует любой сеанс WalletConnect, оставленный открытым на настольном компьютере.
Цена: бесплатно. Опциональный уровень Portfolio Plus около $10 в месяц для продвинутой маршрутизации и аналитики staking.
Платформы: Android, iOS, расширение браузера.
Скачать: Aptoide · Google Play
Вывод: обоснованный повседневный кошелек, если вы сопрягаете его с Ledger, держите остаток горячего кошелька маленьким и отзываете старые разрешения каждые пару месяцев.
5. Blockstream Green, Bitcoin multisig на мобильном
Blockstream Green - это некастодиальный Bitcoin и кошелек Liquid, который управляет установкой 2-of-2 multisig из коробки: один ключ на вашем телефоне, один на сервере Blockstream, плюс ключ аварийного восстановления, который вы печатаете при настройке. Результат - кошелек, где компромисс телефона один не может перемещать средства. Сопрягите его с аппаратным кошельком Blockstream Jade через USB-C или Bluetooth и ключ телефона становится подписывающей стороной вместо спендера.
От чего это защищает: единственная кража телефона с слабой блокировкой, удаленное вредоносное ПО, которое читает ключ горячего кошелька, и социальная инженерия, которая нацелена на одного подписывающего за раз.
Где это отстает: 2-of-2 по умолчанию полагается на Blockstream для подписания, поэтому модель предполагает, что компания остается онлайн. Ключ восстановления охватывает этот риск, но вы действительно должны сохранить распечатку где-то реально. Пользовательский интерфейс плотнее, чем типичный кошелек Bitcoin.
Цена: бесплатно. Аппаратный кошелек Jade около $79.
Платформы: Android, iOS, Windows, macOS, Linux.
Скачать: Aptoide · Google Play
Вывод: самый быстрый способ получить настоящую настройку multisig на Bitcoin без покупки двух аппаратных кошельков в первую очередь.
6. BlueWallet, только просмотр и Lightning
BlueWallet - это открытый исходный код Bitcoin и Lightning кошелек, построенный вокруг чистого разделения между горячим и холодным. Вы можете добавить кошелек только для просмотра, поддерживаемый xpub аппаратного кошелька, так что телефон видит остатки и проекты PSBT, но никогда не подписывает. Хранилища Multisig поддерживаются изначально (2-of-3 и 3-of-5), и каналы Lightning находятся в отдельном отсеке, так что остаток на цепи не подвергается воздействию кошелька расходов.
От чего это защищает: искушение держать живой подписывающий ключ на телефоне вообще. Установка только для просмотра с подписывающей стороной аппаратного кошелька означает, что скомпрометированный телефон по-прежнему утечет ничего, кроме открытых адресов.
Где это отстает: реализация Lightning работает против узлов Lightning Network Daemon, к которым приложение подключается. Вы можете запустить свой собственный узел для полного суверенитета, но из коробки существует небольшая поверхность доверия. Оценка комиссии в перегруженные дни консервативна.
Цена: бесплатно, лицензия MIT.
Платформы: Android, iOS, macOS.
Скачать: Aptoide · Google Play
Вывод: сопрягите его с Coldcard, Jade или Ledger, чтобы получить телефон, который показывает деньги без удержания денег.
7. Electrum Bitcoin Wallet, продвинутое самоохранение
Electrum существует с 2011 года и остается справочным клиентом для людей, которые хотят точного контроля над своим Bitcoin: контроль монет, пользовательские повышения комиссий, замена по комиссии, интеграция аппаратного кошелька и встроенный multisig (до 15 подписывающих). Порт Android несет тот же набор функций, что и настольный клиент, минус система плагинов. Фраза восстановления может быть стандартной фразой BIP39 или более длинной фразой восстановления Electrum.
От чего это защищает: утечки повторного использования адреса, кошельки, которые смешивают UTXO, и устаревшие трансляции. Один контроль монет предотвращает атаки пыли от связывания ваших адресов.
Где это отстает: интерфейс откровенно технический. Новички заплатили реальные деньги за нажатие неправильной кнопки. Также были долгосрочные фишинговые кампании, которые толкают поддельные сборки Electrum; скачивайте только через перечисленные ниже источники.
Цена: бесплатно, лицензия MIT.
Платформы: Android, Windows, macOS, Linux.
Скачать: Aptoide · Google Play
Вывод: кошелек, к которому нужно обратиться, когда вы знаете, как должна выглядеть транзакция Bitcoin перед ее отправкой.
8. Cake Wallet, конфиденциальность Monero в одном приложении
Cake Wallet - это некастодиальный кошелек, который рассматривает Monero как гражданина первого класса наряду с Bitcoin, Litecoin, Ethereum, Solana и Nano. Ключи остаются на устройстве, фразы восстановления хранятся в зашифрованном локальном хранилище, и приложение может подключаться к вашему собственному узлу Monero вместо общего. Встроенный обмен направляет торговлю через ChangeNOW, Trocador и другие поставщики без KYC на меньшие суммы.
От чего это защищает: анализ цепи, который следует за прозрачным адресом Bitcoin вернуться к личности. Кольцевые подписи и скрытые адреса Monero разрывают связь, которая позволяет злоумышленнику выбрать вас приоритетной мишенью в первую очередь.
Где это отстает: сам Monero исключен из нескольких централизованных бирж, поэтому кассирование обратно в фиат требует дополнительного скачка. Синхронизация узла может быть медленной на телефоне; подключение к доверенному удаленному узлу решает это с небольшой стоимостью конфиденциальности.
Цена: бесплатно, открытый исходный код.
Платформы: Android, iOS, macOS, Linux.
Скачать: Aptoide · Google Play
Вывод: слой конфиденциальности для владений, которые вы бы скорее не видели никому, не говоря уже о целевых мишенях.
Как выбрать
Если вы держите более нескольких тысяч долларов в криптовалюте, начните с Ledger Live плюс Nano S Plus. Это единственное движение берет фразу восстановления с каждого телефона, ноутбука и браузера, который вы владеете. Слой Aegis Authenticator на каждом счете биржи или Yubico Authenticator с двумя YubiKeys, если вы можете привести себя к сохранению резервной копии в отдельном месте. Для повседневной деятельности EVM, MetaMask, связанный с Ledger, держит подписывающий ключ холодным, позволяя вам взаимодействовать с dApps.
Для Bitcoin специально, Blockstream Green - это самый быстрый путь к настоящему multisig без покупки двух аппаратных кошельков, BlueWallet - это самая чистая установка только для просмотра, и Electrum - это инструмент, к которому нужно обратиться, когда вы хотите видеть и контролировать каждый UTXO. Добавьте Cake Wallet, если конфиденциальность от анализа цепи важна для вашей модели угроз, а не просто хранение.
Случай Малоне Лам повернулся на один решение: фраза восстановления жертвы существовала в месте, который злоумышленники могли достичь через него. Каждое приложение в этом списке здесь, потому что оно удаляет версию этого решения из вашей установки.
Часто задаваемые вопросы
Какое лучшее бесплатное приложение для защиты крипто-кошелька на Android?
Aegis Authenticator для 2FA и Ledger Live, связанный с аппаратным кошельком для хранения. Оба приложения бесплатны. Аппаратура стоит денег, но приложение само нет.
Какое приложение крипто-кошелька использует большинство людей?
MetaMask на Ethereum и сетях EVM, Trust Wallet на многоцепочечном случайном использовании и Coinbase Wallet на толпе, смежной с Coinbase. Ни один из них не является заменой для аппаратного кошелька на серьезные остатки.
Действительно ли аппаратный кошелек необходим?
Если полная потеря вашей криптовалюты причинит вам значимый ущерб, то да. Каждая крупная розничная кража за последние три года, включая случай Малоне Лама, шарнирала на фразе восстановления жертвы, живущей в месте, доступном через интернет. Аппаратный кошелек удаляет это.
Как я перейду от Google Authenticator к Aegis?
В Google Authenticator нажмите опцию передачи и экспортируйте свои учетные записи на QR код. В Aegis нажмите импорт и сканируйте код. Затем удалите Google Authenticator с вашего устройства и отключите его синхронизацию облака в аккаунте.
MetaMask безопасен в 2026?
Безопаснее, чем раньше, благодаря Blockaid по умолчанию. Сопрягите его с аппаратным кошельком, держите остаток горячего кошелька маленьким и отзывайте устаревшие разрешения токенов каждые пару месяцев и это разумный повседневный кошелек.
Могу ли я сохранить свою фразу восстановления в менеджере паролей?
Только если менеджер зашифрован с концами, защищен сильным главным паролем и заблокирован своим собственным вторым фактором. Даже тогда, разделяя фразу восстановления между двумя менеджерами или написав ее на стали и пропустив цифровую копию полностью, дает вам более сильную позицию.
