Air-gapped Wallet — організація гаманця, за якої пристрій підписування не має звичайного мережевого з'єднання з онлайн-координатором. Вона ізолює середовище приватних ключів, але приймає дані транзакцій і повертає підписи через контрольоване перенесення.
Розрізняйте сховище секретів, підписувач та онлайн-координатор: це можуть бути окремі компоненти. Координатор відстежує блокчейн і готує платіж, підписувач його авторизує. Тимчасове вимкнення Wi-Fi на звичайному комп'ютері не доводить постійної ізоляції. Опишіть активні інтерфейси й увесь порядок роботи конкретного пристрою, а не лише позначку air gap. [SeedSigner — Frequently Asked Questions]
Координатор створює PSBT із транзакцією та потрібними даними про витрачувані UTXO. Підписувач читає його, перевіряє підтримувані дані й додає підписи; результат повертається координатору. Коли є всі потрібні підписи, транзакцію можна фіналізувати й транслювати. Перенесення PSBT саме по собі не є підписанням, фіналізацією чи підтвердженням у блоці та не потребує передавання seed онлайн. [BIP 174 — Partially Signed Bitcoin Transaction Format]
Перед схваленням порівняйте одержувачів, суми й комісію на надійному екрані підписувача зі своїм наміром. Change Output треба перевірити за правильними ключами й конфігурацією гаманця; позначки change від хоста недостатньо. Вхід 100000 sat і виходи 60000 та 39000 sat означають комісію 1000 sat, але правильна арифметика не встановлює власника адрес. [BIP 174 — Partially Signed Bitcoin Transaction Format] [SeedSigner — Independent Custody Guide]
QR кодує дані, а не їхню справжність. Анімовані формати BBQr чи UR переносять більший вміст, але обидві сторони мають підтримувати той самий формат. Декодер і парсер PSBT усе одно обробляють недовірений ввід. Розрізняйте транзакційний QR та SeedQR: SeedQR містить секрет, його не слід сканувати камерою онлайн-комп'ютера чи телефона. [COLDCARD — Bitcoin Air-Gap Signing Methods] [SeedSigner — Independent Custody Guide]
MicroSD переносить файл через контролер і файлову систему; безпека залежить також від їхньої обробки та прошивки. Окрема картка зменшує змішування файлів, але не доводить нешкідливість PSBT. USB лише для живлення справді не повинен мати активного шляху даних; ані кабель, ані напис про заряджання не визначають межу ізоляції. [COLDCARD — Bitcoin Air-Gap Signing Methods] [SeedSigner — Frequently Asked Questions]
COLDCARD зараховує NFC до своїх методів air-gap передачі. Проте NFC — радіо малого радіуса дії, а не оптична ізоляція. Такий режим не відповідає моделі загроз, яка виключає радіо. Порівнюйте конкретний канал, активацію та тривалість з'єднання; QR, MicroSD, NFC і постійне USB-з'єднання даних є різними інтерфейсами. [COLDCARD — Bitcoin Air-Gap Signing Methods]
Координатор лише для спостереження може використовувати xpub або публічний Descriptor без змоги підписувати. Ці дані все одно розкривають адреси й зв'язки транзакцій; PSBT може містити шляхи деривації, публічні ключі та дані UTXO. Для Multisig збережіть правильну конфігурацію всіх співпідписувачів для відновлення й перевірки адрес. Ізоляція підписувача сама не приховує активність онлайн-координатора. [BIP 174 — Partially Signed Bitcoin Transaction Format] [SeedSigner — Independent Custody Guide]
Air gap не вирішує проблем сфотографованої Seed Phrase, шкідливої прошивки чи помилкового схвалення платежу. SeedSigner відокремлює резервну копію секрету від тимчасово завантаженого підписувача; після вимкнення мають залишатися правильна копія й конфігурація. Відновлення та повний цикл підписування можна репетирувати з окремими тестовими ключами. Ізоляція — один шар, а не заміна перевірки пристрою та відновлюваності. [SeedSigner — Frequently Asked Questions] [SeedSigner — Independent Custody Guide]
Для повної картини прочитайте також Hardware Wallet, PSBT, Cold Storage, Seed Phrase, Output Descriptor, Multisig. На цю статтю також посилаються Cold Storage, Secure Element.