Keystone 3 Pro: кошелёк, который физически не умеет подключаться — и что это даёт на самом деле

Коротко (TL;DR)

Keystone 3 Pro — аппаратный кошелёк, у которого нет ни Bluetooth, ни Wi-Fi, ни NFC, а разъём USB-C служит только для зарядки. Данные в устройство и обратно передаются камерой и экраном — через QR-коды. Такая схема называется air-gap: между кошельком и интернетом нет физического канала связи вообще.

Цена — $149 на 28 июля 2026 года в официальном магазине.

Главное, что стоит понять до покупки: air-gap закрывает канал связи, но не закрывает вашу невнимательность. Он делает бессмысленными атаки через USB-драйверы и радиоканал, но если вредонос на компьютере подменил адрес получателя, а вы не сверили этот адрес на экране кошелька — деньги уйдут не туда, и никакая изоляция не поможет. Про это в обзорах говорят редко, а на практике именно так теряют деньги чаще всего.

Кому подходит: тем, кто хранит суммы, ради которых готов мириться с медленной подписью через сканирование, и тем, кто принципиально не хочет иметь в кошельке радиомодуль. Кому нет: тем, кто подписывает транзакции ежедневно и кому нужен первый в жизни холодный кошелёк — там проще и дешевле начать с устройства попривычнее.

SpaceX · xStockSpaceX — частная компания. Торгуй её токеном на Bybit за крипту.Торговать SpaceX →

Дальше — как именно проходит подпись, что внутри, где границы этой защиты и какие у устройства были реальные проблемы.

Аппаратный кошелёк выбирают под сценарий, а не по рейтингу: что решает на самом деле

EAL7 в NGRAVE ZERO сертифицировали не для устройства и не для чипа, а для операционной системы стороннего разработчика

SafePal S1 — самый дешёвый способ получить полный air-gap, но «Open Source» на витрине относится к приложению, а не к прошивке устройства

Tangem Ring: кольцо не делает кошелёк безопаснее — оно решает совсем другую задачу

Ledger Flex: сенсорный кошелёк с чипом флагмана — и с памятью, которой хватает на пять-шесть сетей

Что физически убрано из устройства

В обычном аппаратном кошельке связь с компьютером или телефоном идёт по кабелю (USB) или по радио (Bluetooth). Keystone 3 Pro не умеет ни того ни другого:

• Bluetooth — нет. Не «выключен по умолчанию», а отсутствует.
• Wi-Fi — нет.
• NFC — нет.
• USB-C есть, но только питание. Передача данных по нему не реализована.

Остаются камера (вход) и экран (выход). Всё, что устройство узнаёт о внешнем мире, оно считывает камерой с чужого экрана. Всё, что сообщает наружу, — рисует QR-кодом на своём.

Это и есть смысл слова air-gap: «воздушный зазор». Компьютер и кошелёк не соединены ничем, кроме света, попадающего в объектив.

Кошелёк при этом остаётся некастодиальным — ключи только у вас, компания-производитель к средствам доступа не имеет. Air-gap — это про способ связи, а не про то, кто владеет ключами.

И сразу практическая оговорка, которая экономит время: кошелёк хранит, а не покупает. Монеты появляются на бирже — например, на Bybit — и уже оттуда выводятся на адрес устройства.

Как проходит подпись транзакции: полный цикл

Это ключевой раздел: именно здесь понятно, за что вы платите неудобством.

BYBIT COPY TRADINGКопитрейдинг на BybitОткрытая статистика трейдеров, старт с $10, отключение в один клик.Выбрать трейдера

1. Кошелёк-компаньон формирует транзакцию. Вы работаете в привычном приложении — Keystone-приложение, MetaMask, Rabby, Sparrow, Electrum. Приложение собирает неподписанную транзакцию: откуда, куда, сколько, какая комиссия.
2. Приложение показывает QR-код с этой неподписанной транзакцией на экране компьютера или телефона.
3. Вы наводите на него камеру Keystone. Устройство считывает данные.
4. Keystone показывает содержимое на своём экране — адрес получателя, сумму, комиссию. Вот эта секунда и есть главная защита во всей схеме: вы сверяете адрес на устройстве, до которого вредонос дотянуться не может.
5. Вы подтверждаете подпись — на экране, отпечатком пальца или паролем.
6. Keystone рисует QR-код с готовой подписью.
7. Приложение считывает его камерой и отправляет подписанную транзакцию в сеть.

Приватный ключ в этой цепочке не появляется нигде, кроме защищённого чипа внутри устройства. Наружу выходит только подпись.

Что делать с большими транзакциями. В один QR-код помещается ограниченный объём: по стандарту, который использует Keystone, порядка 2953 байт двоичных данных на кадр. Транзакция биткоина с десятками входов туда не влезет. Решение — анимированные QR: устройство и приложение показывают серию кадров, сменяющих друг друга, а принимающая сторона собирает их в целое. Выглядит как мигающий квадрат, работает автоматически, но занимает несколько секунд вместо мгновенной передачи по кабелю.

Для биткоина используется формат PSBT (частично подписанная транзакция) — тот же стандарт, что понимают Sparrow, Electrum и Specter. Это важно для тех, кто строит мультиподпись: Keystone встраивается в такие схемы наравне с другими устройствами.

Что внутри: чипы, экран, питание

Три защищённых чипа. Производитель заявляет трёхчиповую схему, где секреты распределены между микросхемами разных вендоров — логика та же, что у банковских решений: компрометация одного элемента не отдаёт весь секрет. Конкретные модели чипов у источников расходятся, причём по-разному: у одного чипа отличается только буква в индексе (ATECC608A против ATECC608B), а у второго расходятся и номер модели, и даже производитель. Официальный блог Keystone и независимый обзор Coin Bureau называют один набор, отдельный технический разбор — другой. Я не разбирал устройство сам, поэтому называю семейства — Microchip ATECC608 и линейка DS28/MAX32520, — а точную ревизию оставляю на совести источников: для владельца она в любом случае ничего не меняет.

Про сертификацию EAL5+. Это заявление встречается у продавцов, но подтверждения на официальных ресурсах Keystone я не нашёл. Второй «источник», на который ссылаются агрегаторы, при проверке оказался страницей с неправдоподобно точной статистикой без единой ссылки на данные — такие материалы в качестве доказательства не годятся. Поэтому: сертификация не подтверждена, и если она важна для вашего решения, требуйте номер сертификата, а не строчку в описании товара.

Экран — 4 дюйма, 480×800, сенсорный. Для сверки адреса это лучшее, что есть в классе: адрес виден целиком крупным шрифтом, листать не нужно.

Питание — встроенный литий-ионный аккумулятор на 1000 мА·ч, несъёмный. Здесь важно не перепутать поколения, потому что в чужих обзорах путаница регулярная:

• у старого Keystone Pro (поколение до 3 Pro) батарея была съёмной;
• у бюджетной Keystone Essential питание — четыре сменные батарейки AAA, и нет сканера отпечатка;
• у текущей Keystone 3 Pro аккумулятор встроенный и вынимается только вскрытием корпуса.

Несъёмность здесь — не экономия, а следствие защиты от вскрытия: корпус реагирует на попытку разобрать устройство стиранием секретов.

Сканер отпечатка — на 3 Pro есть, используется как способ подтверждения вместо ввода пароля.

В комплекте: устройство, кабель USB-C, инструкция и шесть карточек для записи сид-фразы. Карты microSD в коробке нет, а она нужна для обновления прошивки — это стоит учесть при заказе.

Как начать: первый запуск

Порог входа здесь выше, чем у устройств с кабелем, поэтому разберу по шагам.

1. Зарядите устройство. Аккумулятор встроенный, кабель USB-C идёт в комплекте — данные по нему не передаются, только питание.
2. Создайте новый кошелёк на самом устройстве. Сид-фраза генерируется внутри и на экране показывается один раз. Никакого «введите фразу, которая пришла с устройством» быть не должно — если такое предложение появилось, устройство скомпрометировано.
3. Запишите фразу на карточки из комплекта. Их шесть, и это только первый день: постоянное хранение делают на металле.
4. Сверьте резервную копию. Устройство попросит подтвердить несколько слов — не пропускайте этот шаг, он ловит ошибку в записи, пока она ещё исправима.
5. Задайте PIN и, при желании, отпечаток. Отпечаток здесь ускоряет подтверждение, но не заменяет PIN.
6. Установите приложение-компаньон и свяжите его с устройством — связывание происходит тем же способом, что и всё остальное: сканированием QR-кода.
7. Сделайте пробный перевод на небольшую сумму и пройдите полный цикл подписи целиком. Разобраться в сканировании туда-обратно лучше на $5, чем на всём портфеле.
8. Приготовьте карту microSD, если планируете обновлять прошивку: другого способа доставить обновление в устройство нет.

Модель угроз: от чего air-gap защищает, а от чего нет

Самый важный раздел, и обычно самый слабый у конкурентов.

От чего защищает:

• Атаки через USB-стек. Уязвимости в драйверах и протоколах передачи данных к устройству просто неприменимы: канала нет.
• Атаки по радиоканалу. Всё, что связано с перехватом или подменой Bluetooth-соединения, отпадает вместе с модулем. Это принципиальное отличие от беспроводных моделей конкурентов — их подход мы разбирали в сравнении Ledger Nano X и Trezor Model T.
• Автоматическое заражение при подключении. Вставить кошелёк в заражённый компьютер и получить вредонос на устройство невозможно — вставлять некуда.

От чего НЕ защищает:

• Подмена адреса получателя. Вредонос на компьютере меняет адрес в буфере обмена или прямо в интерфейсе кошелька. QR-код честно донесёт до Keystone уже подменённый адрес. Устройство покажет его на экране — и если вы не сверите, подпишете перевод злоумышленнику. Air-gap даёт вам возможность заметить подмену, но не делает это за вас.
• Отравление адресов. Схема, где злоумышленник заранее засоряет вашу историю транзакций адресами, похожими на настоящие в первых и последних символах. Расчёт на то, что вы скопируете адрес из истории и сверите только края. В феврале 2026 года по этой схеме за неделю увели около $350 тысяч, а следом ещё порядка $600 тысяч — причём пострадавшие делали пробный перевод, что от этой атаки не спасает.
• Фишинг и социальная инженерия. Если вас убедили ввести сид-фразу на сайте — конструкция устройства не имеет значения.
• Риски цепочки поставок. Устройство, купленное у неизвестного продавца, может приехать подготовленным. Официальный магазин или авторизованный продавец — не формальность.

Практический вывод простой: air-gap имеет смысл для того, кто пользуется им по назначению — то есть каждый раз читает адрес на экране устройства целиком. Для того, кто нажимает «подтвердить» не глядя, разница с обычным кошельком стремится к нулю.

Открытый код — но не весь стек

Keystone позиционирует себя как открытое решение, и это в целом правда, но с оговоркой, которую стоит знать.

Открыто: прикладная прошивка устройства — она лежит в публичном репозитории, её можно читать и собирать самостоятельно, сверяя контрольную сумму с той, что стоит на вашем устройстве.

Закрыто: библиотека работы с микроконтроллером и внутренняя прошивка защищённых чипов. Это не выбор Keystone — производители защищённых микросхем не раскрывают их внутренности никому, и в этом смысле в одинаковом положении находятся все производители кошельков.

Формулировка «100% открытый код», которая встречается в маркетинге и в чужих обзорах, поэтому неточна. Корректно: открыта та часть, которую производитель кошелька пишет сам.

Аудиты. Прошивку проверяла компания SlowMist, железо — лаборатория Keylabs; отчёты опубликованы, найденное исправлено. Разбор аудита есть в блоге производителя со ссылками на конкретные исправления — это проверяемо, а не «мы прошли аудит».

Совместимость: с чем это работает

Keystone не запирает вас в собственном приложении. Официальный список сторонних кошельков включает MetaMask, Rabby, BlueWallet, Sparrow, Electrum, Specter, Wasabi, Keplr, Solflare и другие — то есть основные инструменты для Ethereum и EVM-сетей, биткоина и Cosmos.

По числу поддерживаемых активов производитель заявляет более 5500 монет и токенов. Цифру «200+ блокчейнов» я встретил только у одного издания и вторым независимым источником подтвердить не смог — привожу с этой оговоркой.

Есть и Bitcoin-only версия прошивки: меньше кода, меньше поверхность для ошибок, ничего кроме биткоина.

Риски и слабые места: инциденты, которые действительно были

Раздел с датами, без сенсаций и без замалчивания.

Октябрь 2024 — взлом аккаунта Keystone в X. 29 октября 2024 года официальный аккаунт компании в соцсети был скомпрометирован и с него продвигали фейковый токен. Само устройство и прошивка не пострадали, но это напоминание: официальный канал коммуникации — не гарантия подлинности ссылки.

Январь 2024 — уязвимость, найденная Offside Labs. Исправлена в прошивке версии 1.2.8, о чём производитель объявил 30 января 2024 года.

2024–2025 — переполнение буфера, найденное независимым исследователем. Затрагивало версии прошивки 1.2.2 и 1.2.4, исправлено в 1.2.6. Отчёт ушёл производителю 19 августа 2024 года, публичное раскрытие состоялось 7 апреля 2025-го. Восьмимесячный интервал между отчётом и публикацией — это и есть нормальная практика ответственного разглашения: сначала исправление доходит до пользователей, потом появляется описание. Источник по этому эпизоду один, но исправление проверяется по коммиту в официальном репозитории.

Компания. Keystone (ранее Cobo Vault) зарегистрирована в Гонконге, производство в Китае. Для части читателей юрисдикция и страна производства — самостоятельный фактор риска; называю прямо, оценку каждый делает сам.

За последние 30 дней новых инцидентов не появилось. Разработка при этом активная: прошивка 3.0.0 вышла 21 июля 2026 года.

Что говорят пользователи. Фон вокруг устройства спокойный и скорее положительный. В неформальных подборках air-gap-кошельков Keystone 3 Pro регулярно ставят рядом с SeedSigner и Jade; в других списках предпочтение отдают D’CENT или старшему Trezor — единого «лучшего» в этой нише сообщество не назначило, и это честнее любого рейтинга.

Отдельная линия, которую стоит знать при выборе: Keystone развивает нишевую сборку прошивки с упором на приватность — с поддержкой Monero и Zcash, включая свежее обновление под изменения в Zcash. Ни Ledger, ни Trezor такой отдельной ветки не предлагают, и для части читателей это может оказаться решающим доводом.

Если вы ещё выбираете между брендами и форматами, а не между версиями Keystone, критерии и цены актуальных моделей собраны в разборе как выбрать аппаратный кошелёк под свой сценарий.

Основная претензия активных пользователей — не безопасность, а интеграции: в официальном списке поддерживаемых кошельков есть не всё, и запросы на добавление отдельных нишевых приложений висят подолгу.

Цена и что учесть сверх неё

Разница между 3 Pro и Essential — сканер отпечатка, встроенный аккумулятор вместо батареек AAA и корпус. Механизм air-gap и защита ключа в обеих версиях устроены одинаково.

Про запись сид-фразы: в комплекте шесть бумажных карточек, и они закрывают только первый день. Как хранить фразу так, чтобы она пережила пожар и переезд, разобрано в гайде по хранению seed-фразы.

Что устареет из этого материала первым — цена и версия прошивки. Их стоит сверять на официальном сайте перед покупкой.

Кому подходит, а кому это лишние деньги

Подходит:

• Тем, кто хранит суммы, при которых лишние 30 секунд на подпись — приемлемая плата.
• Тем, кто строит мультиподпись: поддержка PSBT и работа со Sparrow и Specter здесь на уровне.
• Тем, для кого наличие радиомодуля в устройстве — само по себе неприемлемо.
• Тем, кто хочет сверять адрес на большом экране, а не листать его по четыре символа.

Не подходит:

• Тем, кто подписывает транзакции по несколько раз в день: сканирование туда-обратно быстро надоедает.
• Тем, кому нужен первый холодный кошелёк «чтобы просто лежало»: за половину цены есть более простые устройства, а разница в защите для сценария «положил и не трогаю» невелика.
• Тем, кто работает в основном с телефона и хочет подключение в одно касание.

Отдельно про сравнение с Ledger. Это разные подходы, а не «лучше и хуже»: Ledger делает ставку на удобство подключения и большую экосистему приложений, Keystone — на отсутствие канала связи. Если вам ближе первый путь, у нас есть подробный обзор Ledger Nano X; если второй — Keystone в своей нише один из самых оснащённых вариантов.

FAQ

Как Keystone 3 Pro подключается к компьютеру, если у него нет передачи данных по USB? Никак — в этом и смысл. Обмен идёт через QR-коды: приложение на компьютере показывает код, устройство считывает его камерой, подписывает транзакцию внутри и показывает ответный код, который приложение считывает своей камерой. Кабель USB-C используется только для зарядки.

Что произойдёт, если я потеряю устройство? Ничего фатального, если у вас сохранена сид-фраза: она восстанавливает кошелёк на новом устройстве — как на другом Keystone, так и на кошельке другого производителя. Без фразы доступ к средствам не восстанавливается: у компании его нет.

Air-gap действительно безопаснее, чем USB или Bluetooth? Он убирает целый класс атак — те, что идут по каналу связи. Но не защищает от подмены адреса получателя, фишинга и покупки подготовленного устройства. То есть выигрыш реальный, но не абсолютный, и он работает только если вы сверяете адрес на экране устройства.

Чем Keystone 3 Pro отличается от Keystone Essential? У 3 Pro есть сканер отпечатка пальца и встроенный аккумулятор, у Essential — четыре батарейки AAA и нет сканера. Разница в цене на 28 июля 2026 года — $30. Принцип работы, air-gap и защита ключей одинаковые.

Нужна ли карта microSD и зачем? Нужна для установки обновлений прошивки — устройство получает их не по кабелю, а с карты. В комплект она не входит, поэтому её берут отдельно: без карты обновиться не выйдет.

Можно ли использовать Keystone вместе с MetaMask? Да. MetaMask и Rabby есть в официальном списке поддерживаемых кошельков: транзакция формируется в браузере, подписывается на устройстве через сканирование QR и возвращается обратно.