Air-gapped Wallet — организация кошелька, при которой подписывающее устройство не имеет обычного сетевого соединения с онлайн-координатором. Она изолирует среду приватных ключей, но принимает данные транзакций и возвращает подписи через контролируемую передачу.
Различайте хранилище секретов, подписывающее устройство и онлайн-координатор: это могут быть отдельные компоненты. Координатор отслеживает блокчейн и готовит платёж, устройство его авторизует. Временное отключение Wi-Fi на обычном компьютере не доказывает постоянную изоляцию. Опишите активные интерфейсы и весь порядок работы устройства, а не только ярлык air gap. [SeedSigner — Frequently Asked Questions]
Координатор создаёт PSBT с транзакцией и необходимыми данными расходуемых UTXO. Подписывающее устройство читает его, проверяет поддерживаемые данные и добавляет подписи; результат возвращается координатору. Получив все нужные подписи, можно финализировать и транслировать транзакцию. Передача PSBT сама не является подписанием, финализацией или подтверждением в блоке и не требует отправлять seed онлайн. [BIP 174 — Partially Signed Bitcoin Transaction Format]
Перед одобрением сравните получателей, суммы и комиссию на доверенном экране со своим намерением. Change Output необходимо проверить по правильным ключам и конфигурации кошелька; метки change от хоста недостаточно. Вход 100000 sat и выходы 60000 и 39000 sat означают комиссию 1000 sat, но правильная сумма не устанавливает владельца адресов. [BIP 174 — Partially Signed Bitcoin Transaction Format] [SeedSigner — Independent Custody Guide]
QR кодирует данные, а не их подлинность. Анимированные форматы BBQr или UR переносят больше содержимого, но обе стороны должны поддерживать одинаковый формат. Декодер и парсер PSBT по-прежнему обрабатывают недоверенный ввод. Различайте QR транзакции и SeedQR: SeedQR содержит секрет и не должен попадать в камеру онлайн-компьютера или телефона. [COLDCARD — Bitcoin Air-Gap Signing Methods] [SeedSigner — Independent Custody Guide]
MicroSD переносит файл через контроллер и файловую систему; их обработка и прошивка тоже влияют на безопасность. Отдельная карта уменьшает смешивание файлов, но не доказывает безвредность PSBT. USB только для питания действительно не должен иметь активного пути данных; ни наличие кабеля, ни надпись о зарядке не определяют границу изоляции. [COLDCARD — Bitcoin Air-Gap Signing Methods] [SeedSigner — Frequently Asked Questions]
COLDCARD относит NFC к своим методам передачи air gap. Однако NFC — радио малого радиуса действия, а не оптическая изоляция. Такой режим не удовлетворяет модели угроз, исключающей радио. Сравнивайте конкретный канал, включение и длительность соединения; QR, MicroSD, NFC и постоянное USB-соединение данных — разные интерфейсы. [COLDCARD — Bitcoin Air-Gap Signing Methods]
Координатор только для наблюдения может использовать xpub или публичный Descriptor без возможности подписывать. Эти данные всё же раскрывают адреса и связи транзакций; PSBT может содержать пути деривации, публичные ключи и сведения об UTXO. Для Multisig сохраняйте правильную конфигурацию всех соподписантов для восстановления и проверки адресов. Изоляция подписывающего устройства сама не скрывает активность онлайн-координатора. [BIP 174 — Partially Signed Bitcoin Transaction Format] [SeedSigner — Independent Custody Guide]
Air gap не решает проблему сфотографированной Seed Phrase, вредоносной прошивки или ошибочного одобрения платежа. SeedSigner отделяет резервную копию секрета от временно загруженного подписывающего устройства; после выключения правильные копия и конфигурация должны оставаться доступными. Восстановление и весь поток подписания можно репетировать с отдельными тестовыми ключами. Изоляция — один слой, а не замена проверки устройства и восстанавливаемости. [SeedSigner — Frequently Asked Questions] [SeedSigner — Independent Custody Guide]
Для полной картины прочитайте эту статью вместе с Hardware Wallet, PSBT, Cold Storage, Seed Phrase, Output Descriptor, Multisig. На эту статью также ссылаются Cold Storage, Secure Element.