Prokey офлайн: как вывести все связанные адреса без утечки seed-фразы

Офлайн-вывод связанных адресов для кошелька Prokey нужен для аудита, резервного копирования, миграции и проверки того, что устройство формирует ожидаемые адреса. Главный принцип: не передавать seed-фразу в сеть и не вводить её в сомнительные онлайн-калькуляторы. Для большинства задач достаточно публичных данных: xpub, дескрипторов и знания BIP-путей. Приватные ключи и seed-фраза должны оставаться в защищённом контуре.

Что означает «все связанные адреса»

Универсального списка «всех адресов» не существует, пока не определены параметры кошелька:

• модель и прошивка Prokey;
• формат seed-фразы и наличие passphrase;
• тип кошелька: Legacy, SegWit, Native SegWit, Taproot;
• поддерживаемые сети и стандарты деривации;
• количество аккаунтов, веток получения и сдачи;
• gap limit — допустимый разрыв между используемыми адресами.

Для UTXO-сетей, например Bitcoin, важно учитывать не только адреса получения, но и адреса сдачи. Для Ethereum и EVM-сетей один и тот же derivation path может давать одинаковый адрес в разных сетях, но история и баланс всё равно проверяются отдельно. Поэтому сначала фиксируется политика деривации, а затем формируется полный список адресов в заданных границах.

Безопасная подготовка

1. Работайте на изолированной машине. Используйте отдельный компьютер без Wi-Fi и Ethernet либо загрузочную систему с отключёнными сетевыми интерфейсами.
2. Проверяйте инструменты. Скачивайте только официальные утилиты Prokey или проверенные open-source-программы, сверяйте контрольные суммы и версии.
3. Не публикуйте seed-фразу. Даже xpub и дескриптор раскрывают приватность, поэтому храните их как чувствительные данные.
4. Сначала проверьте первый адрес. Сравните первый полученный адрес с тем, что показывает Prokey или официальное приложение.
5. Зафиксируйте вводные. Запишите сеть, тип аккаунта, BIP-путь, passphrase-сценарий и версию прошивки. Без этого список адресов сложно воспроизвести.

Основной метод: публичные данные вместо seed-фразы

Предпочтительный путь — экспортировать из Prokey публичный ключ аккаунта: xpub, ypub, zpub или дескриптор. Затем этот публичный ключ импортируется в офлайн-инструмент как watch-only-кошелёк. Такой подход позволяет генерировать адреса без доступа к приватным ключам.

Порядок действий:

1. Подключите Prokey к изолированному компьютеру или используйте официальный способ экспорта публичного ключа.
2. Экспортируйте публичные данные для нужного аккаунта и сети.
3. Проверьте, что формат соответствует типу адресов: Legacy, nested SegWit или Native SegWit.
4. Импортируйте xpub или дескриптор в офлайн-совместимый инструмент.
5. Задайте ветки получения и сдачи, например 0 и 1 для Bitcoin-аккаунта.
6. Сгенерируйте адреса с нужным gap limit.
7. Сверьте первые адреса с устройством Prokey.
8. Экспортируйте результат в CSV или зашифрованный файл.

Для Bitcoin типовые пути выглядят так:

• m/44'/0'/0' — Legacy;
• m/49'/0'/0' — nested SegWit;
• m/84'/0'/0' — Native SegWit;
• m/86'/0'/0' — Taproot.

Внутри аккаунта обычно используются ветки 0 для получения и 1 для сдачи. Для Ethereum и EVM-сетей чаще применяется путь вида m/44'/60'/0'/0/i, но конкретную политику нужно сверять с Prokey и используемым кошельком. Для других монет coin type и структура пути могут отличаться.

Если доступен только seed-сценарий

Иногда экспорт xpub невозможен. Тогда офлайн-деривация выполняется только на изолированной машине с использованием официального recovery-инструмента или проверенной open-source-утилиты. Это менее безопасно, потому что seed-фраза появляется в оперативной памяти компьютера. При таком сценарии:

• отключите все сети и периферию;
• используйте чистую загрузочную систему;
• не делайте скриншоты и не сохраняйте seed-фразу в буфер обмена;
• после работы перезагрузите машину и уничтожьте временные файлы;
• сравните первые адреса с устройством Prokey.

Если есть возможность обойтись xpub или дескриптором, выбирайте этот путь.

Как определить границы списка адресов

Чтобы получить практичный, а не бесконечный список, задайте правила:

• Аккаунты: сколько аккаунтов реально использовалось.
• Ветки: получение и сдача отдельно.
• Gap limit: для UTXO-сетей обычно начинают с 20, для аудита иногда увеличивают до 100.
• Сети: Bitcoin, Litecoin, Ethereum, EVM-сети и другие поддерживаемые активы.
• Passphrase: если использовалась, проверьте отдельный сценарий кошелька.

Офлайн-деривация сама по себе не показывает баланс и историю. Она формирует детерминированный список адресов. Для проверки истории нужны отдельные данные блокчейна, но их лучше обрабатывать с учётом приватности: не смешивайте публичный аудит с раскрытием всех xpub в открытых сервисах.

Проверка результата

• Первый адрес получения совпадает с адресом на экране Prokey.
• Адрес сдачи формируется по правильной ветке 1.
• Формат xpub или дескриптора соответствует типу адресов.
• Список воспроизводится повторно с теми же входными данными.
• Результат проверен вторым независимым инструментом в офлайн-режиме.
• Файл со списком адресов хранится в зашифрованном виде.

Типичные ошибки

• Игнорирование passphrase: без неё получается другой набор адресов.
• Неверный тип аккаунта: Legacy вместо Native SegWit даёт совершенно другие адреса.
• Пропуск адресов сдачи.
• Слишком маленький gap limit.
• Смешивание форматов xpub, ypub и zpub без понимания дескрипторов.
• Ввод seed-фразы в онлайн-калькулятор.
• Доверие только одному инструменту без перекрёстной проверки.

Итог

Офлайн-вывод всех связанных адресов Prokey — это дисциплинированный процесс, а не одна кнопка. Сначала определите сеть, тип кошелька, BIP-пути и gap limit. Затем используйте xpub или дескриптор на изолированной машине, проверяйте первые адреса по устройству и фиксируйте параметры аудита. Если приходится работать с seed-фразой, делайте это только на air-gapped-компьютере с официальными или проверенными инструментами. Такой подход позволяет провести аудит, миграцию или восстановление без компромисса для безопасности кошелька.