Wallet является cold, только если keys или seed создаются, хранятся и применяются в намеренно изолированной границе подписи. Устройство, backup, passphrase, descriptor, проверка и люди образуют систему. Offline сокращает удалённые атаки, но не потерю, принуждение, вредоносный firmware или ошибку человека.
Cold описывает доступ к keys, не место coins: UTXO остаются публичными. Отключённый laptop мог быть заражён до изоляции; металл с mnemonic — backup. Malware, кража, пожар, принуждение, уничтожение, vendor dependency и смерть требуют разных мер. Glacier делит setup, deposit, withdrawal, viewing и maintenance. [Glacier Protocol — About Glacier] [Glacier Protocol — Protocol Structure]
Online-координатор хранит публичные данные—лучше descriptor с checksum и key origins—опрашивает node, находит UTXO, выводит addresses и строит unsigned transaction. Cold signer хранит право расхода. Утечка xpub/descriptor раскрывает адреса и балансы; взломанный координатор может подменить адрес или детали. [BIP 380 — Output Script Descriptors] [Bitcoin Core — Output Descriptors] [Bitcoin Optech — Output Script Descriptors]
Создайте secrets внутри нужной границы, запишите format/passphrase, экспортируйте configuration и проверьте каждый signer. BIP129 задаёт два раунда multisig, регистрацию policy и proof of key ownership. Проверьте address на устройстве, внесите мало, подтвердите watch-only и выполните test spend/recovery до большого депозита. [BIP 129 — Bitcoin Secure Multisig Setup] [COLDCARD — Address Explorer]
BIP174 определяет PSBT как global/input/output maps с magic 0x70 0x73 0x62 0x74 0xff. Creator предлагает, updater добавляет UTXO/scripts/paths, signer подписывает, finalizer извлекает transaction. BIP370 — v2, BIP371 — Taproot fields; совместимость тестируйте. Broadcast после объединения подписей. [BIP 174 — Partially Signed Bitcoin Transaction Format] [BIP 370 — PSBT Version 2] [BIP 371 — Taproot Fields for PSBT] [Bitcoin Core — PSBT Howto] [Bitcoin Core — Offline Signing Tutorial]
На trusted display сверяйте каждый внешний destination, сумму, fee/rate, inputs, sighash и change. Поддельные metadata могут выдать output атакующего за change; BIP174 требует проверить принадлежность wallet. Крупную выплату второй человек проверяет по независимому аутентифицированному каналу. [BIP 174 — Partially Signed Bitcoin Transaction Format] [COLDCARD — Address Explorer] [COLDCARD — QR Scanner and PSBT Signing]
Устройство и backup закрывают противоположные отказы. BIP39 mnemonic+passphrase восстанавливает всё; вместе это одна цель, забытая passphrase открывает другой валидный wallet. SLIP39 shares ниже threshold не раскрывают secret, но слишком много потерь блокирует recovery. Защита от огня, воды, коррозии и фото; никогда online. [Trezor — Wallet Backups] [Trezor — Shamir Backup]
m-of-n распределяет разрешение и терпит меньше потерь, чем threshold, но seeds могут не вернуть threshold, xpubs, порядок, paths или script. Descriptor/BSMS храните отдельно. География помогает, если бедствие не достигает threshold и signers могут собраться. Multisig должен снижать конкретный риск несмотря на costs, fees, privacy и наследство. [BIP 380 — Output Script Descriptors] [BIP 129 — Bitcoin Secure Multisig Setup] [Bitcoin Core — Output Descriptors]
Air gap убирает постоянные связи, но не враждебные bytes через QR, NFC или microSD. Плохой PSBT, parser, firmware или обманный display пересекают границу. Проверенный firmware, стандарты и строгие checks. microSD не очищает laptop; air-gapped — topology, не сертификат. [BIP 174 — Partially Signed Bitcoin Transaction Format] [Bitcoin Core — Offline Signing Tutorial] [COLDCARD — QR Scanner and PSBT Signing]
Учитывайте взлом, копирование, принуждение, наблюдение и наследников. Не держите threshold либо seed+passphrase+instructions в одной failure domain. Пломба не мешает копии; duress wallet не гарантирует защиту. Документируйте роли без secrets, ограничьте знание balance/location и отличайте личную custody от institutional dual control. [Glacier Protocol — About Glacier] [Glacier Protocol — Protocol Structure] [Trezor — Wallet Backups]
Проверяйте watch-only, носители, инструкции и совместимость без seed. Drill должен восстановить descriptor, найти receive/change UTXO и подписать. До смены firmware/device/policy сделайте малый spend. При подозрении создайте новую policy и sweep после теста; старое уничтожайте после успешных receive и spend. [Bitcoin Core — Offline Signing Tutorial] [Glacier Protocol — About Glacier] [Glacier Protocol — Protocol Structure]
Для полной картины прочитайте эту статью вместе с Hardware Wallet, Самостоятельное хранение, Air-gapped Wallet, PSBT, Seed Phrase, BIP 39. На эту статью также ссылаются Hardware Wallet, Watch-only Wallet, PSBT, Самостоятельное хранение.