Ledger: обзор криптокошелька

Что такое Ledger

Ledger это аппаратный (холодный) некастодиальный кошелёк: ключи (ключ: это секретный код доступа к вашим деньгам) хранятся в секретном чипе внутри устройства и не покидают его. Компания выпускает линейку устройств для подписи транзакций, а управление активами происходит в приложении Ledger Wallet (раньше Ledger Live) для Windows, macOS, Linux, iOS и Android. Слово «некастодиальный» означает, что доступ к средствам есть только у владельца устройства и фразы восстановления: сервис не может ни заблокировать, ни переместить средства.

Принцип работы прост по схеме, хотя в деталях имеет много нюансов. Транзакцию готовят в приложении на компьютере или телефоне, затем передают на устройство, где владелец проверяет сумму и адрес на экране и подтверждает кнопками или касанием. Подпись формируется внутри чипа, и обратно в приложение возвращается только готовая подпись, а не ключ. Ниже рассмотрены линейка моделей, защита ключа, каналы связи, поддерживаемые сети, функции приложения, схема восстановления и сравнение с близкими устройствами каталога.

Линейка Ledger: от Nano до Flex и Stax

Текущая линейка Ledger насчитывает пять моделей: Nano S Plus, Nano X, Nano Gen5, Flex и Stax. Сайт производителя называет устройства signers, то есть устройствами для подписи. Nano Gen5 это новая модель с E Ink-экраном 2,8 дюйма; Flex и Stax тоже имеют экраны E Ink, а Nano S Plus и Nano X остаются компактными устройствами с монохромным OLED-дисплеем и кнопками.

Приложение для управления сменило название: то, что раньше было Ledger Live, сайт производителя и App Store теперь называют Ledger Wallet («formerly Ledger Live»). Если в старых статьях встречается Ledger Live, имеется в виду то же приложение. Название, под которым устройство лучше всего знают поисковые системы, связано с моделью Ledger Nano X, поэтому именно эту модель мы разбираем отдельно ниже.

Ledger Nano X: характеристики

Ledger Nano X имеет монохромный OLED-экран 1,1 дюйма, размеры 72 × 18,6 × 11,7 мм и массу 34 г. Подключение: USB-C (на странице сравнения указан кабель USB-A to USB-C) и Bluetooth. Встроенная батарея обеспечивает до 5 часов обычного использования. Секретный чип имеет сертификат безопасности на уровень ниже, чем у более новых моделей линейки.

Для управления Nano X нужны Windows 10 и новее, macOS 12 и новее, Ubuntu LTS 20.04 и новее, Android 10 и новее или iOS 15 и новее. Благодаря Bluetooth устройство работает с телефоном без кабеля, поэтому именно Nano X остаётся самой известной моделью Ledger в поиске.

Ledger Nano S Plus, Gen5, Flex и Stax

Ledger Nano S Plus

Самая компактная модель: монохромный OLED 1,1 дюйма, размеры 62,4 × 17,4 × 8,2 мм, масса 21 г, без батареи, чип с сертификатом безопасности высшего уровня. Магазин Ledger указывает, что устройство подключается кабелем и не поддерживает iOS. На странице сравнения моделей в строке подключения упомянут также Bluetooth, но на странице самого товара указан только кабель; мы опираемся на страницу товара, а расхождение отмечаем как несогласованное.

Ledger Nano Gen5

Сенсорный экран E Ink 2,8 дюйма (монохромный, 300 × 400 пикселей), размеры 79,4 × 53,3 × 8,6 мм, масса 46 г. Подключение: USB-C, Bluetooth и NFC. Батарея рассчитана на до 10 часов или 150 транзакций. Чип с сертификатом безопасности высшего уровня.

Ledger Flex

Сенсорный экран E Ink 2,8 дюйма с 16 градациями серого, 480 × 600 пикселей, стекло Gorilla Glass. Размеры 78,4 × 56,5 × 7,7 мм, масса 58 г. Подключение: USB-C, Bluetooth, NFC. Батарея: до 10 часов или 150 транзакций. Чип с сертификатом безопасности высшего уровня.

Ledger Stax

Изогнутый сенсорный экран E Ink 3,7 дюйма с 16 градациями серого, 400 × 670 пикселей. Корпус толщиной 6 мм размером с банковскую карту (85 × 54 мм), масса 45 г. Подключение: USB-C, Bluetooth, NFC, а также беспроводная зарядка Qi. Батарея: до 10 часов или 150 транзакций. Чип с сертификатом безопасности высшего уровня.

Для всех пяти моделей сайт указывает одинаковую совместимость с системами (Windows 10+, macOS 12+, Ubuntu LTS 20.04+, Android 10+, iOS 15+), кроме упомянутого ограничения Nano S Plus по iOS. Разница между устройствами состоит в экране, способах подключения, батарее и уровне сертификата чипа, а не в наборе поддерживаемых сетей.

Как устроена защита ключа

Секретный чип

Ключи хранятся в отдельном секретном чипе, а не в основном процессоре. Для Nano S Plus, Nano Gen5, Flex и Stax Ledger заявляет международный сертификат безопасности Common Criteria высшего уровня, для Nano X на уровень ниже. Сертификация относится к чипу как компоненту, а не к устройству или приложению в целом, поэтому её не следует воспринимать как оценку всего кошелька.

Подтверждение на экране

Каждую транзакцию нужно подтвердить на экране устройства. Подпись с расшифровкой операции показывает её понятным языком, а Transaction Check проверяет её на признаки фишинга до подписи. Само устройство не передаёт ключ в приложение: наружу выходит только подпись.

PIN-код

Устройство закрывается PIN-кодом из 4-8 цифр. После трёх неверных попыток оно сбрасывается, и доступ возвращается только по фразе восстановления. Для защиты обмена от манипуляций ботов приложение, по описанию App Store, предлагает отдельную функцию MEV protection.

Что открыто, а что закрыто

Ledger Wallet открыт по лицензии MIT. Открыты также инструменты для разработчиков (программный интерфейс Ledger Wallet для сторонних приложений и криптографическая библиотека для разработчиков), диспетчер команд ОС и точки входа реализации Ledger Recover. Низкоуровневый код операционной системы чипа закрыт из-за соглашения со STMicroelectronics, которое запрещает его раскрывать. По заявлению Ledger, перед каждым релизом ОС проводятся сторонние аудиты, а лаборатория Ledger Donjon проверяет устройства. Отдельного публичного аудита текущих устройств по заказу сторонней компании мы не нашли.

Каналы связи

Ledger поддерживает три способа связи, в зависимости от модели. USB-C есть во всех моделях и нужен для соединения с компьютером. Bluetooth есть у Nano X, Nano Gen5, Flex и Stax, он позволяет работать с телефоном без кабеля. NFC есть у Nano Gen5, Flex и Stax. Беспроводная зарядка Qi есть только у Stax.

Отдельно со сторонними кошельками устройство работает через тех же провайдеров подключения: MetaMask и другие приложения получают подпись от устройства. Именно поэтому магазин пишет, что через сторонние кошельки Ledger работает с тысячами монет, тогда как в самом приложении Ledger Wallet число активов ограничено поддержкой приложения.

Поддерживаемые сети и активы

В приложении Ledger Wallet доступны Bitcoin, Ethereum, Solana, XRP, Tron, TON, Cardano, BNB Chain, Avalanche и сети, совместимые с Ethereum: Polygon, Arbitrum, Base, Optimism, zkSync и Linea. Также поддерживаются обычные токены сетей Ethereum и BNB Chain, а App Store называет ещё Polkadot и Cosmos.

По количеству активов источники расходятся. Сайт магазина Ledger указывает «500+ coins» в Ledger Wallet и тысячи активов через сторонние кошельки, тогда как описание приложения в App Store заявляет более 15 000 активов. Мы приводим обе цифры с атрибуцией и не считаем их взаимоисключающими: они могут по-разному считать монеты и токены. Добавление собственной сети прямо в приложении Ledger Wallet не подтверждено.

Функции Ledger Wallet

Обмен

Обмен встроен в приложение. Ledger берёт собственную комиссию вместе с комиссией партнёра, процент нигде не опубликован. Сетевую комиссию можно выбрать: медленную, среднюю или быструю.

Стейкинг

Доступен стейкинг ETH, SOL, ATOM, DOT и TON через партнёров Lido, Kiln и Figment. Условия и проценты зависят от партнёра.

Цифровые коллекции

В приложении есть галерея для просмотра и управления цифровыми коллекциями.

Подключение к децентрализованным сервисам

Раздел Discover и прямое подключение позволяют работать с децентрализованными сервисами. Подпись остаётся на устройстве.

Короткие имена вместо адреса

Короткие имена на Ethereum вроде name.eth поддерживаются через Ledger Trusted Name Service.

Пополнение и вывод в фиат

Пополнение и вывод идут через сторонних провайдеров, среди которых MoonPay и Transak. Ставки провайдеров Ledger не раскрывает.

Мультиподпись

Ledger Multisig существует как отдельный продукт для крупных сумм, а не как функция Ledger Wallet. Мультиподпись в самом приложении не подтверждена.

Схема восстановления

Базовая схема такая же, как у большинства кошельков: устройство генерирует фразу восстановления, и с её помощью кошелёк можно восстановить на новом устройстве Ledger или в другом совместимом кошельке. Фразу записывает владелец, она не хранится ни в приложении, ни на серверах Ledger.

Дополнительно существует платная подписка Ledger Recover, которую включают по желанию. Зашифрованная копия ключа делится на три части, их хранят три независимые компании: Coincover, Ledger и EscrowTech. По отдельности каждый фрагмент бессмыслен. Для восстановления нужны две части из трёх, а также подтверждение личности по документу и одноразовый код на экране устройства. Среди принимаемых документов есть украинский паспорт. Подписка тарифицируется ежемесячно в евро, её можно отменить. Число попыток восстановления ограничено: до трёх в месяц и десяти в год. Ledger Recover доступен на Stax, Flex и Nano X в приложениях для компьютера и телефона и на Nano S Plus только в приложении для компьютера. Это не социальное восстановление, а отдельная услуга.

Приложение-компаньон Ledger Wallet

Ledger Wallet является единым центром управления для всех моделей. В нём доступны просмотр баланса и портфеля, отправка и получение, обмен, стейкинг, галерея цифровых коллекций, раздел Discover для децентрализованных сервисов, а также пополнение и вывод через провайдеров. Приложение работает на Windows, macOS, Linux, iOS и Android; для устройств с Bluetooth на телефоне кабель не нужен.

В приложении 11 языков: английский, французский, немецкий, японский, корейский, португальский, русский, китайский, испанский, тайский и турецкий. Украинского языка нет. Страница магазина упоминает 15 языков, но эта цифра не совпадает с App Store и кодом приложения, поэтому мы опираемся на 11. Языки самого устройства мы не проверяли.

Холодный кошелёк и горячий: в чём разница

Горячие кошельки, к которым относятся приложения на телефоне или расширения для браузера, хранят ключ на устройстве, постоянно подключённом к интернету. Холодный кошелёк, как Ledger, держит ключ в отдельном чипе, а компьютер или телефон выступает лишь посредником: он готовит транзакцию и показывает результат, но ключа не видит. Это не делает хранение абсолютным: фраза восстановления, PIN-код и физический доступ к устройству остаются зоной ответственности владельца. Также холодный кошелёк не заменяет внимательности к адресу получателя и сайтам, к которым подключается пользователь.

Ledger и сети на базе Ethereum

Устройство Ledger подписывает транзакции для Ethereum и совместимых сетей, поэтому его используют также как подписывающее устройство для MetaMask и других кошельков. В приложении Ledger Wallet явно поддерживаются более быстрые и дешёвые сети поверх Ethereum: Arbitrum, Base, Optimism, zkSync и Linea, а также Polygon, BNB Chain и Avalanche. Для управления сетевой комиссией в приложении есть выбор скорости: медленная, средняя или быстрая. Собственную сеть в Ledger Wallet добавить нельзя, по крайней мере подтверждения этого в наших источниках нет, поэтому для нестандартных сетей используют сторонний кошелёк, а Ledger остаётся подписывающим устройством.

Подлинность устройства и обновления

Ledger применяет проверку подлинности устройства: приложение может убедиться, что подключённое устройство является настоящим изделием Ledger, а не подделкой. По заявлению Ledger, перед каждым релизом ОС её проверяют сторонние аудиторы, а лаборатория Ledger Donjon проводит собственные испытания. Мы приводим это как заявление производителя: публикаций отчётов сторонних аудиторов по текущим моделям мы не нашли.

Что Ledger не подтверждает

Чтобы обзор был честным, перечислим то, что в наших источниках не подтверждено. Процент комиссии обмена не опубликован. Добавление собственной сети и импорт токенов прямо в Ledger Wallet не подтверждены. Мультиподпись как функция приложения не подтверждена, есть только отдельный продукт Ledger Multisig. Украинский язык в приложении отсутствует. Независимого публичного аудита текущих устройств по заказу сторонней компании мы не нашли.

Сравнение Ledger с Trezor и Tangem

Разница в философии проста: Ledger и Trezor дают отдельный экран и кнопки на устройстве, Tangem заменяет их приложением и резервными картами. Trezor открывает прошивку полностью, Ledger частично закрывает ОС чипа, а Tangem открывает код приложения, но не прошивку.