Trezor Safe 3: огляд, безпека та перше налаштування

Покрокове налаштування в настільному Trezor Suite: від перевірки коробки до бекапу, PIN і першого переказу.

Розглянемо налаштування Trezor Safe 3 у настільному Suite: перевірку пристрою, створення й перевірку бекапу, встановлення PIN і перший переказ. Окремо розглянемо passphrase, код стирання, роботу зі сторонніми гаманцями й multisig, щоб Ви могли обрати потрібні функції та розуміли, як зберегти доступ до коштів.

Інструкцію звірено з офіційною документацією Trezor у жовтні 2026 року. Послідовність нижче стосується настільного Suite та створення нового гаманця; назви пунктів наведені англійською, щоб їх було простіше зіставляти з інтерфейсом.

Коротко про Trezor Safe 3

Trezor Safe 3 — базова модель лінійки Safe, до якої також входять Safe 5 і Safe 7. Пристрій розміром 59 × 32 × 7,4 мм і масою 14 г має монохромний OLED-екран діагоналлю 0,96 дюйма з роздільною здатністю 128 × 64 пікселі, дві фізичні кнопки та порт USB-C. Акумулятора й Bluetooth немає: живлення та обмін даними забезпечує кабель, підключений до комп’ютера або Android-смартфона. Trezor належить до групи SatoshiLabs із Праги; код прошивки відкритий для незалежної перевірки.

На відміну від Model One і Model T, Safe 3 має окремий захищений чип Infineon OPTIGA Trust M із сертифікацією CC EAL6+ за стандартом Common Criteria. Дані, потрібні для відновлення приватних ключів, зберігаються зашифрованими на основному мікроконтролері, а Secure Element захищає секрет, необхідний для їх розшифрування, та обмежує спроби введення PIN. Оскільки транзакції підписує основний мікроконтролер, сертифікація EAL6+ характеризує захищений чип, а не гаманець загалом.

Universal чи Bitcoin-only

Мультивалютна прошивка Universal підтримує Bitcoin, Ethereum та сумісні з ним EVM-мережі, Solana, Cardano, XRP, Tron й інші активи. Safe 3 також може працювати як ключ FIDO2/U2F для входу в облікові записи. Підтримку конкретної монети та спосіб роботи з нею перевіряйте в каталозі Trezor: для деяких активів потрібен сторонній застосунок.

Прошивка Bitcoin-only призначена для роботи з біткоїном. Вона містить менше коду, пов’язаного з іншими мережами, тому має меншу поверхню атаки. Її варто розглянути, якщо Ви користуєтеся лише BTC або налаштовуєте Safe 3 як один із ключів біткоїн-multisig. Для інших криптовалют потрібна Universal.

Кому підійде Safe 3

Safe 3 підійде як перший апаратний гаманець для довгострокового зберігання, окремий пристрій для біткоїна або додатковий ключ у multisig. Для періодичних переказів двох кнопок і невеликого екрана зазвичай достатньо; якщо ж Ви щодня підтверджуєте багато операцій у DeFi, сенсорний екран старших моделей буде зручнішим.

Підписувати транзакції на Safe 3 через iPhone не можна. Застосунок Trezor Suite для iOS дає змогу переглядати імпортовані рахунки й адреси для отримання, але для підтвердження операцій на цій моделі потрібен комп’ютер або Android-смартфон. Якщо плануєте працювати лише з iPhone, зверніть увагу на Safe 7 із Bluetooth.

У розділі про безпеку розглянемо фізичну атаку на мікроконтролер Safe 3, для якої потрібні доступ до пристрою та спеціальне обладнання. Якщо Ви остерігаєтеся непомітної підміни чи модифікації гаманця, порівняйте апаратний захист моделей у матеріалі «Який Trezor обрати: Safe 3, Safe 5 чи Safe 7?».

Що підготувати перед налаштуванням

На початкове налаштування, перевірку бекапу та тестовий переказ варто виділити приблизно годину. Очікування підтверджень у блокчейні може тривати довше залежно від мережі та комісії. Налаштовуйте пристрій без поспіху, щоб уважно записати слова й перевірити бекап до поповнення гаманця.

• Комп’ютер із Windows, macOS або Linux. У цьому гайді використовуємо настільний Trezor Suite. На Android Safe 3 теж працює через USB-C, проте розташування елементів інтерфейсу відрізняється.
• Кабель USB-C–USB-C з комплекту. Якщо на комп’ютері є лише USB-A, підготуйте відповідний перехідник або кабель, який підтримує обмін даними. Через кабель лише для заряджання Suite не розпізнає пристрій.
• Ручка та порожня картка для бекапу. У комплекті є дві картки; записуйте слова чітко, уникаючи виправлень, які згодом буде складно прочитати.
• Місце, де слова не потраплять у кадр. Перевірте, куди спрямовані вебкамера, камери відеоспостереження та інші пристрої з камерами.
• Металевий носій, якщо плануєте перенести на нього бекап. Заздалегідь перевірте сумісність із кількістю слів і вибраним стандартом.
• Невелика сума криптовалюти для тесту. Орієнтир — еквівалент 5–20 доларів, якщо цього достатньо для мінімального виведення з біржі та оплати двох переказів.

Після налаштування у Вас буде гаманець із перевіреним бекапом і PIN, а після тестового переказу Ви знатимете, як отримувати кошти та підтверджувати їх відправлення на екрані Safe 3. Passphrase і wipe code необов’язкові: до них можна повернутися, коли основні дії вже зрозумілі.

Крок 1. Перевірте комплект і захисну пломбу

Коробка Safe 3 може бути обгорнута прозорою плівкою або плівкою з водяними знаками. Окремої пломби на коробці немає; голографічна пломба закриває порт USB-C самого пристрою. Дизайн пломби залежить від партії, тому відмінність від фотографії в огляді сама по собі не свідчить про підробку.

1. Огляньте пломбу до зняття. Вона має бути цілою та щільно прилягати до корпусу. Розриви, сліди повторного наклеювання або залишки клею під пломбою потребують перевірки продавцем чи підтримкою Trezor.
2. Звірте комплект. Усередині мають бути Safe 3, кабель USB-C–USB-C, дві порожні картки для бекапу, інструкція Get started, листівка з правилами безпеки та наліпки. У ранніх партіях картки можуть мати позначення recovery seed і розмітку на 12 слів, у новіших — wallet backup на 20 слів.
3. Переконайтеся, що картки порожні. Готові слова бекапу чи заздалегідь заданий PIN у коробці — підстава припинити налаштування: новий гаманець Ви створюєте самі.
4. Зніміть пломбу та захисну плівку з корпусу. Після зняття голограми можуть залишитися сліди VOID — це передбачено її конструкцією. У місці лиття пластику може бути невелика шорсткість, яка сама по собі не свідчить про розкриття корпусу.

Чому новий Safe 3 постачається без прошивки

Із заводу Safe 3 виходить лише із завантажувачем; прошивку Ви встановлюєте через Suite під час першого запуску. Якщо новий пристрій вже має прошивку, просить PIN або відкриває налаштований гаманець, зупиніть налаштування та з’ясуйте його походження з продавцем. Скидання такого пристрою не замінює перевірки.

Після встановлення прошивки Suite перевіряє автентичність за участю Secure Element, а завантажувач перевіряє цифровий підпис прошивки. Ці перевірки доповнюють огляд комплекту й перевірку походження пристрою. У розділі про безпеку пояснимо, які з них дослідникам Ledger Donjon вдалося обійти під час фізичної атаки.

Крок 2. Встановіть Trezor Suite і прошивку

Завантажуйте Trezor Suite з trezor.io/start, перевіряючи адресу в браузері. Рекламне оголошення в пошуку може вести на підроблений сайт, а програма з назвою Trezor Suite — виявитися шкідливою копією. Для Safe 3 слова бекапу вводять кнопками на самому пристрої під час відновлення чи перевірки; набирати їх у полі на комп’ютері не потрібно.

1. На комп’ютері завантажте версію Suite для своєї операційної системи, встановіть її та відкрийте. Якщо застосунок запропонує надсилати діагностичні дані, оберіть варіант відповідно до своїх уподобань.
2. Підключіть Safe 3 кабелем USB. На екрані перевірки пристрою в Suite натисніть Set up my Trezor.
3. Оберіть тип прошивки. Для кількох криптовалют потрібна Standard/Universal, для роботи лише з біткоїном можна обрати Bitcoin-only. Натисніть Install firmware.
4. Дочекайтеся завершення встановлення. Не від’єднуйте кабель; після завершення Safe 3 перезапуститься. Якщо пристрій запитає підтвердження, виконайте дію, зазначену на його екрані.

Перевірка автентичності

5. Пройдіть перевірку автентичності. Коли Suite запропонує її розпочати, натисніть Start і виконайте підказки на Safe 3. Продовжуйте створення гаманця лише після успішної перевірки. Якщо вона завершиться помилкою, припиніть налаштування та зверніться до підтримки.
6. Пройдіть навчання Know your Trezor. Ліва й права кнопки дають змогу переміщатися між варіантами, а одночасне натискання обох зазвичай підтверджує вибір. Орієнтуйтеся також на підписи над кнопками: у деяких діалогах для підтвердження достатньо натиснути одну кнопку. Після навчання натисніть Continue у Suite.

Станом на 28 жовтня 2026 року в офіційному переліку релізів для Safe 3 зазначена прошивка 2.13.0 від 21 жовтня. Під час налаштування встановлюйте актуальний офіційний реліз, який пропонує Suite. Перевірити номер і дату можна в журналі прошивок Trezor.

Оновлення виправляють помилки безпеки та додають функції. Зокрема, у релізах 2026 року Trezor змінював перевірку даних Ethereum, Bitcoin і Solana та розширював можливості Clear Signing. Для вже налаштованого пристрою перед оновленням потрібно мати перевірений бекап.

Крок 3. Створіть гаманець і виберіть формат бекапу

У Suite натисніть Create a new wallet. Якщо Ви відновлюєте наявний гаманець зі свого бекапу, потрібен варіант Recover, проте далі в цьому гайді розглядаємо створення нового.

Бекап дає змогу відновити доступ, якщо пристрій загубиться, зламається або буде стертий. Вибраний формат визначає сумісність з іншими гаманцями та можливість розділити резервну копію на частки.

Якщо Ви переходите з програмного гаманця, створіть на Safe 3 новий гаманець із новим бекапом і перекажіть на нього кошти. Імпорт старої seed-фрази не усуває ризику, що її вже скопіювали з телефона чи комп’ютера. Послідовність перенесення описали в гайді про перехід із Trust Wallet і MetaMask на апаратний гаманець.

Single-share: один список із 20 слів

Single-share у форматі SLIP39 — стандартний варіант для новіших Safe 3. Один список із 20 слів відновлює гаманець; якщо Ви додасте passphrase, для доступу до відповідного прихованого гаманця знадобиться і вона. На пристроях ранніх партій за замовчуванням може бути вибрано 12 слів, але формат можна змінити перед створенням гаманця.

SLIP39 дозволяє згодом створити Multi-share для того самого гаманця, не переказуючи кошти. Попередній Single-share після цього залишається чинним: за ним усе ще можна відновити гаманець без нових часток. Тому старий запис також потрібно надійно зберігати.

Multi-share: кілька часток із порогом відновлення

У Multi-share резервна копія складається з кількох окремих списків слів. Ви задаєте кількість часток і поріг: наприклад, у схемі 2 з 3 будь-які дві частки відновлюють гаманець, а однієї недостатньо. Для типового 20-слівного бекапу кожна така частка містить 20 слів; кожна частка є окремим мнемонічним списком, а не відрізком початкового бекапу.

Частки можна розмістити в різних місцях або розподілити між довіреними людьми, підготувавши інструкцію для родини. Для відновлення потрібна кількість часток, визначена порогом: у схемі 2 з 3 одну можна втратити, але без двох із трьох відновити гаманець не вдасться.

BIP39: 12 або 24 слова

BIP39 підтримують багато апаратних і програмних гаманців, зокрема Ledger, Keystone та BitBox. Цей формат доречний, якщо для Вас пріоритетна сумісність з іншими виробниками. Відновлення також залежить від підтримки потрібних мереж, типів рахунків і passphrase, тому однакова кількість слів ще не означає повної сумісності всіх функцій.

Для простого першого налаштування можна залишити Single-share на 20 слів. Якщо хочете використовувати BIP39 або одразу створити Multi-share, виберіть відповідний варіант у меню Wallet backup type / Backup format перед підтвердженням створення гаманця.

Чим Multi-share відрізняється від multisig

Multi-share розподіляє резервну копію, тоді як щоденні транзакції, як і раніше, підписує один налаштований Safe 3. Власник пристрою, який знає PIN і потрібну passphrase, може переказувати кошти без збирання часток бекапу.

У multisig для переказу потрібні підписи кількох незалежних ключів. Частки Multi-share використовують разом під час відновлення одного гаманця, а учасники multisig окремо підтверджують кожну транзакцію.

Крок 4. Запишіть і підтвердьте бекап

Після вибору формату натисніть Create wallet і підтвердьте створення на Safe 3. Пристрій створює гаманець, використовуючи власні випадкові дані та додаткову ентропію від Suite. Слова бекапу з’являються на екрані Safe 3 та не передаються на комп’ютер.

Запис резервної копії

1. У Suite натисніть Continue to wallet backup, прочитайте правила зберігання та встановіть прапорці біля відповідних підтверджень. Далі натисніть Create wallet backup.
2. На Safe 3 прочитайте попередження й почніть показ слів. Записуйте кожне слово друкованими літерами навпроти його номера, звіряючи написання з екраном.
3. Перегляньте запис повторно. За потреби повертайтеся до попередніх слів кнопками пристрою. Якщо помітили виправлення, які потім буде складно прочитати, зробіть чітку копію, не змінюючи слів чи їхнього порядку.

Підтвердження записаних слів

4. Пройдіть перевірку на пристрої. Safe 3 попросить вибрати кілька слів із запропонованих варіантів. Знайдіть їх у своєму записі та підтвердьте правильні відповіді.
5. Для Multi-share повторіть запис і перевірку для кожної частки. Позначте частки так, щоб не переплутати списки, та згодом розмістіть їх окремо, відповідно до вибраного порога.

Картку зберігайте окремо від Safe 3, щоб крадіжка чи пошкодження одного носія не зачепили обидва. Коротка перевірка кількох слів під час створення допомагає знайти очевидні помилки; повністю перевіримо запис окремою функцією після встановлення PIN.

Коли варто перенести слова на метал

Паперова картка підходить для початкового запису, проте її можуть пошкодити вода, вогонь або тривале зберігання у вологому місці. Для довгострокового бекапу варто розглянути металевий носій, вибираючи його за стійкістю матеріалу та сумісністю з BIP39 або SLIP39.

Наприклад, Cryptotag Loki підтримує обидва стандарти й дозволяє записати до 24 слів. Для Multi-share кожну частку потрібно зберігати на окремому носії. Перед нанесенням звірте розмітку зі словами, а після перенесення перевірте весь запис. Інші способи розглянули в матеріалі «Зберігання seed-фрази: 5 безпечних способів у 2026».

Крок 5. Встановіть PIN і додайте потрібні монети

Після запису бекапу Suite запропонує встановити PIN. На Safe 3 його вводять кнопками пристрою, тому комп’ютер не отримує набрані цифри.

1. У Suite натисніть Set PIN.
2. На Safe 3 підтвердьте встановлення коду. Переміщуйтеся між цифрами лівою та правою кнопками, а для вибору цифри натискайте обидві. Завершуйте введення за підказкою на екрані.
3. Повторіть той самий PIN, щоб підтвердити його, і дочекайтеся повідомлення про успішне встановлення.

PIN може містити від 4 до 50 цифр. Для повсякденного використання ми радимо 6–8 випадкових цифр, які Ви зможете запам’ятати й безпомилково вводити. Уникайте дат народження, номерів телефонів і послідовностей на кшталт 123456 чи 111111.

Після 16 неправильних спроб Safe 3 стирає дані гаманця. Secure Element обмежує спроби підібрати PIN. Щоб повернути доступ після стирання, знадобляться правильно записаний бекап і passphrase, якщо Ви її використовували. Коли PIN забутий, не витрачайте спроби на випадкові здогадки.

Завершення початкового налаштування

Після встановлення PIN Suite покаже You’re all set. Натисніть Go to Dashboard, щоб перейти до головного екрана гаманця, де можна додати потрібні монети й мережі.

Додавання монет і мереж

1. На головному екрані Suite у блоці Start using your wallet натисніть Get started.
2. У вікні Add your networks увімкніть потрібні мережі, наприклад Bitcoin. Для першого тесту достатньо вибрати мережу, якою Ви плануєте скористатися.
3. Натисніть Confirm, щоб застосувати вибір. Якщо згодом знадобиться інша мережа, її можна активувати в налаштуваннях Suite.

Крок 6. Перевірте бекап перед поповненням

Функція Check wallet backup порівнює Ваш запис із даними в Safe 3, не стираючи поточний гаманець. Запустіть цю перевірку до першого поповнення, щоб одразу виявити помилку в словах або їхньому порядку.

1. Підключіть Safe 3, відкрийте Suite та розблокуйте пристрій своїм PIN.
2. У Suite відкрийте Settings → Device → Wallet backup і натисніть Check wallet backup. У діалозі прочитайте пояснення, позначте I understand та натисніть Start.
3. На Safe 3 підтвердьте перевірку, введіть PIN, якщо пристрій його запитає, та виберіть кількість слів.
4. Введіть усі слова кнопками Safe 3 у записаному порядку, користуючись підказками для вибору слова. Для Multi-share введіть стільки часток, скільки потрібно для відновлення за вибраною схемою.
5. Дочекайтеся результату. Повідомлення про успішну перевірку означає, що Ваш запис відповідає бекапу гаманця на пристрої. Закрийте діалог у Suite та поверніться до головного екрана.

Якщо перевірка не пройшла, звірте слова та їхній порядок і повторіть процедуру, щоб переконатися, що не помилилися під час введення. Не стирайте пристрій, поки не переконаєтеся, що маєте правильно записаний бекап. Якщо на гаманці вже є кошти, а перевірити запис не вдається, спершу перенесіть їх в інший гаманець, бекап якого Ви вже перевірили. Докладна процедура є в інструкції Trezor для Safe 3.

Щоб вийти з перевірки без успішного результату, на екрані Backup check натисніть ліву кнопку. На наступному екрані прокрутіть текст правою кнопкою та виберіть Cancel, натиснувши праву кнопку під цим написом. Вихід із перевірки не стирає гаманець.

Надалі перевіряйте доступність і стан резервної копії, зокрема перед оновленням прошивки, скиданням пристрою або зміною способу зберігання. Не вводьте слова лише тому, що це запропонував лист, сайт чи співрозмовник у месенджері.

Крок 7. Налаштуйте passphrase, якщо вона Вам потрібна

Passphrase — додаткова секретна фраза, яка разом із бекапом визначає окремий гаманець. Кожна інша фраза відкриває інші адреси, а стандартний гаманець без passphrase залишається доступним. Фраза не зберігається в постійній пам’яті Safe 3, тому для нового сеансу доступу її потрібно вводити знову.

Достатньо складна passphrase ускладнює крадіжку коштів, якщо хтось знайде Ваш бекап: без неї відкриється лише стандартний гаманець. Водночас людина, яка має резервну копію, може перебирати слабкі passphrase поза пристроєм, без ліміту спроб PIN. Для passphrase використовуйте випадково дібрані слова чи символи замість відомої цитати, імені або дати. Зберігайте її точний запис окремо від бекапу.

Увімкнення та створення прихованого гаманця

1. Підключіть і розблокуйте Safe 3. У Suite відкрийте Settings → Device, знайдіть Passphrase й увімкніть Use Passphrase wallets. Якщо пристрій запитає підтвердження зміни, підтвердьте її.
2. Відкрийте меню гаманців угорі ліворуч і виберіть + Passphrase wallet → New passphrase. Прочитайте пояснення та натисніть Got it.

Введення та підтвердження passphrase

3. Оберіть Enter passphrase on Trezor. Введення кнопками Safe 3 займає більше часу, проте фраза не потрапить на комп’ютер, де її могла б перехопити шкідлива програма.
4. Введіть фразу на пристрої, вибираючи символи за підказками. Перевірте показаний запис і підтвердьте його.
5. Коли Suite попросить повторне введення, знову виберіть введення на Trezor та відтворіть ту саму фразу. Перевірте й підтвердьте її на пристрої. Якщо з’явиться повідомлення Passphrase mismatch, почніть введення заново.
6. Дочекайтеся відкриття Passphrase wallet. Новий гаманець буде порожнім. У меню гаманців Ви зможете перемикатися між ним і Standard wallet.

Перевірка повторного доступу

У прихованому гаманці відкрийте перший рахунок потрібної монети, перейдіть у Receive та покажіть адресу на Safe 3 через Verify. Збережіть цю публічну адресу для порівняння, зазначивши монету й рахунок. Потім натисніть Eject для обох гаманців у меню Suite, від’єднайте пристрій і підключіть його знову.

Відкрийте + Passphrase wallet → Open previously used і введіть passphrase зі свого запису. На тому самому рахунку знову покажіть адресу на Safe 3 та порівняйте її із записаною. Якщо адреси збігаються, Ви відкрили потрібний гаманець. Після цього можна виконати невеликий тестовий переказ.

У стандартному гаманці іноді залишають невелику суму, зберігаючи основні активи в прихованому. Однак покладатися на це як на захист у разі фізичного примусу ризиковано, оскільки реакцію нападника передбачити неможливо. Passphrase також не захищає від прошивки, здатної перехопити її введення. Якщо для Вас додатковий секрет поки надто ускладнює зберігання, почніть із PIN і перевіреного бекапу.

Крок 8. Отримайте та відправте тестову суму

Для першої перевірки зручно використати невелику суму BTC: Вам не доведеться окремо поповнювати баланс монети для комісії, як під час переказу токенів. Перед початком перевірте мінімальні суми виведення й зарахування на біржі та врахуйте комісії обох переказів.

Отримання коштів

1. Відкрийте потрібний гаманець у Suite — Standard wallet або перевірений Passphrase wallet. Виберіть рахунок Bitcoin і натисніть Receive.
2. Натисніть Verify, щоб показати адресу на Safe 3. Перегляньте її повністю, переміщуючись між частинами за підказками пристрою.
3. Скопіюйте адресу у форму виведення на біржі чи в іншому своєму гаманці. Виберіть мережу Bitcoin та невелику суму. Перед остаточним підтвердженням ще раз звірте саме вставлену адресу з екраном Safe 3: підміна можлива і після копіювання.
4. Підтвердьте виведення та дочекайтеся появи транзакції в Suite. Спочатку вона може бути непідтвердженою; після включення в блок застосунок покаже підтвердження мережі.

Звіряйте всю адресу. Зловмисники можуть підбирати схожі початкові та кінцеві символи, щоб підміна лишилася непомітною під час побіжної перевірки.

Якщо тестуєте USDT, мережа на біржі має збігатися з мережею вибраного рахунку: наприклад, для USDT в Ethereum використовується адреса рахунку Ethereum. Для зворотного переказу токена потрібна монета, якою сплачується комісія мережі, наприклад ETH для Ethereum. Однакова назва USDT у різних мережах не робить їх взаємозамінними. Якщо токени вже на рахунку, але їх не вдається переказати, перевірте причини, через які USDT не відправляється з гаманця.

Відправлення частини суми назад

1. Відкрийте сторінку депозиту на біржі та отримайте актуальну адресу Bitcoin для свого рахунку. Не беріть її з історії транзакцій, де може трапитися схожа адреса зловмисника.
2. У Suite відкрийте рахунок Bitcoin і натисніть Send. Вставте адресу депозиту, введіть суму та перевірте запропоновану комісію. Залиште достатньо коштів для її оплати й врахуйте мінімальний депозит біржі.
3. Натисніть Review & send та перейдіть до перевірки на пристрої.
4. На Safe 3 звірте адресу отримувача з адресою на сторінці депозиту біржі, перевірте суму й комісію. Підтвердьте підпис лише за повного збігу даних. Якщо є розбіжність, скасуйте операцію та перевірте комп’ютер.
5. Після підписання натисніть Send у Suite, щоб передати транзакцію в мережу. Дочекайтеся підтвердження та зарахування депозиту на біржі.

Так Ви перевірите, що можете отримувати кошти на свою адресу та відправляти їх, підтверджуючи транзакції на Safe 3. Для наступного отримання BTC Suite пропонуватиме нову адресу того самого рахунку. Це поліпшує приватність, оскільки Ви не використовуєте одну адресу для всіх надходжень. Раніше використані адреси залишаються придатними для отримання. Докладніше про це — у поясненні, чому змінюється Bitcoin-адреса після переказу.

Wipe code: необов’язковий код стирання

Wipe code стирає дані гаманця одразу після введення замість PIN, без додаткового підтвердження. Він може знадобитися для швидкого очищення пристрою, але його легко неправильно використати, тому налаштовуйте цю функцію лише після успішної перевірки бекапу.

1. У настільному Suite відкрийте Settings → Device → Danger Area та виберіть Set up wipe code. На пристрої вже має бути встановлений PIN.
2. На Safe 3 підтвердьте ввімкнення через Turn on і введіть свій поточний PIN.
3. Задайте окремий wipe code, введіть його вдруге та завершіть налаштування через Continue на пристрої.
4. Перевірте результат у Suite. Повідомлення Wipe code changed successfully означає, що код налаштовано; у тому самому розділі з’являться дії для зміни та видалення.

Щоб вимкнути функцію, виберіть Remove wipe code, підтвердьте вимкнення на Safe 3, введіть звичайний PIN і завершіть дію. Для цього не потрібно вводити сам wipe code. У мобільному Suite налаштування коду стирання недоступне.

Після застосування wipe code пристрій показує повідомлення про стирання, тому приховати сам факт очищення таким способом не вдасться. Офіційна інструкція Trezor окремо описує встановлення, зміну й видалення коду.

Сторонні гаманці та DeFi

Safe 3 можна підключати до сторонніх застосунків, залишаючи приватні ключі на пристрої. Для EVM-мереж і DeFi використовують, зокрема, MetaMask і Rabby; для розширеної роботи з біткоїном — Sparrow та Electrum, які підтримують керування окремими UTXO, роботу з власною нодою та multisig.

Підключення апаратного гаманця не потребує імпорту бекапу в програму. У сторонньому застосунку вибирайте підключення апаратного гаманця (hardware wallet). Так застосунок отримає публічні дані для відображення адрес і балансу та зможе надсилати на пристрій запити на підписання транзакцій. Підтримку конкретної інтеграції перевіряйте для своєї платформи й актуальної версії застосунку.

Clear Signing і перевірка запитів

Під час роботи зі смартконтрактами пристрій не завжди може показати дію у зрозумілому вигляді. Якщо замість неї Ви бачите лише хеш або необроблені дані та погоджуєтеся їх підписати, це називається blind signing — підписування наосліп.

Clear Signing дозволяє відображати дію, токен, суму й адресу для підтримуваних контрактів Ethereum та EVM-мереж. Trezor використовує описи контрактів у форматі ERC-7730. Функція працює через сумісні інтеграції Suite, WalletConnect і Trezor Connect. Окремого перемикача для ввімкнення немає, але потрібні актуальна прошивка та підтримка конкретного контракту.

Якщо опис контракту недоступний, пристрій може показати попередження про blind signing. Перед підтвердженням перевірте сайт і призначення запиту, особливо коли йдеться про approve — дозвіл контракту витрачати токени. Необмежений дозвіл може діяти й після завершення однієї операції. Зрозумілий опис на екрані допомагає оцінити запит, проте Ви все одно маєте вирішити, чи потрібна Вам саме ця дія. Як перевіряти й відкликати такі права, розібрали в матеріалі про дозволи approve, Permit і WalletConnect.

Multisig: що це і коли він потрібен

Multisig, або мультипідпис, — гаманець, у якому для витрачання коштів потрібні підписи кількох ключів. Схему позначають як m з n: наприклад, у 2 з 3 є три незалежні ключі, а транзакцію можуть підтвердити будь-які два. Ключі доцільно розмістити на окремих пристроях і створити для кожного власний бекап.

Якщо один пристрій загубиться разом із його резервною копією, двома іншими ключами можна буде переказати кошти. Крадіжка одного ключа не дасть зловмиснику змоги витратити кошти, а Ви збережете доступ, якщо маєте решту ключів і конфігурацію спільного гаманця. Після втрати чи компрометації одного ключа перекажіть кошти на новий multisig-гаманець із новими незалежними ключами, поки Ви ще можете зібрати потрібну кількість підписів.

У Bitcoin multisig підтримується на рівні протоколу, а Safe 3 може бути одним із підписантів. Trezor Suite не створює біткоїн-multisig: потрібен координатор, наприклад Sparrow, Electrum чи Nunchuk. Він збирає розширені публічні ключі учасників — xpub, формує адреси спільного гаманця та передає транзакцію на підпис потрібним пристроям.

В EVM-мережах мультипідпис зазвичай реалізують смартконтрактом, наприклад Safe{Wallet}. Safe 3 може керувати одним із ключів його підписантів, але процедура створення та відновлення такого гаманця відрізняється від Bitcoin.

Коли складніша схема виправдана

Multisig доцільний, коли потрібно розподілити право розпоряджатися коштами або зменшити залежність від одного секрету. Найтиповіші випадки:

• Особисті заощадження, для яких критична втрата одного ключа. Ви готові користуватися кількома пристроями, окремо зберігати їхні бекапи та перевіряти, чи зможете відновити доступ.
• Спільні кошти бізнес-партнерів чи родини. Переказ має вимагати згоди кількох учасників, щоб одна людина не могла витратити все самостійно.
• Планування доступу спадкоємців. Ключі розподіляють так, щоб за визначених обставин родина могла зібрати достатню кількість підписів, маючи зрозумілу інструкцію.

Для одного власника, якому достатньо простого способу зберігання, Safe 3 із перевіреним бекапом і, за потреби, passphrase може бути зручнішим. Вибираючи multisig, враховуйте свої ризики й те, чи зможете надійно зберігати кілька ключів і відновити доступ за їх допомогою. Універсальної суми, після якої всім потрібен multisig, немає.

Що зберігати для відновлення

Бекапів окремих ключів може бути недостатньо для відновлення multisig. Потрібна конфігурація гаманця: усі публічні ключі учасників, поріг підписів, тип адрес і шляхи виведення. У сумісних програмах ці дані зберігають як wallet descriptor або еквівалентний файл експорту.

Якщо у схемі 2 з 3 втрачено один ключ, а публічні дані цього учасника ніде не збережені, двох приватних ключів може не вистачити для відтворення адрес. Зберігайте копії конфігурації разом із резервними матеріалами кожного учасника, а також запишіть використану програму та тип гаманця. Сам descriptor не дозволяє витратити кошти, але розкриває адреси й історію, тому потребує захисту від сторонніх.

Safe 3 як один із підписантів

Safe 3 із Bitcoin-only прошивкою можна поєднувати в multisig з пристроями інших виробників, наприклад Keystone 3 Pro або Ledger, якщо вибраний координатор підтримує всі моделі. Коли ключі створені незалежно, помилка в прошивці одного виробника не означатиме автоматичної компрометації решти пристроїв.

Під час створення такої схеми кожен пристрій має отримати незалежний ключ. Відновлення одного й того самого бекапу на трьох пристроях створить три копії одного ключа й не забезпечить очікуваного розподілу доступу. Перш ніж поповнювати multisig, перевірте конфігурацію та можливість підписання транзакції в обраному координаторі.

Безпека Safe 3: відомі ризики

Що показало дослідження Ledger Donjon

У березні 2025 року команда Ledger Donjon опублікувала результати дослідження Safe 3. За фізичного доступу до пристрою дослідники використали voltage glitching — короткі збої напруги живлення, щоб обійти захист пам’яті мікроконтролера та продемонструвати модифікацію прошивки з обходом окремих перевірок Suite.

Таку атаку можуть використати, зокрема, для модифікації пристрою ще до того, як його отримає власник. У дослідженні не було продемонстровано вилучення приватних ключів або PIN із захищеного пристрою власника. Trezor підтвердив результат і зазначив, що Safe 5 використовує новіший мікроконтролер, якого ця атака не стосується. Деталі є в повідомленні Trezor про оцінювання Safe 3 та публікації Ledger Donjon.

Програмні оновлення та перевірки Suite додають рівні захисту, але не змінюють фізичних властивостей мікроконтролера. Тому для Safe 3 слід дотримуватися таких правил:

• Купуйте пристрій через офіційні канали. Перевіряйте комплект, пломбу, відсутність установленої прошивки та результати перевірок Suite разом.
• Обмежуйте доступ сторонніх до Safe 3. Якщо є підстави підозрювати підміну або втручання в корпус, припиніть використання пристрою та зверніться до підтримки з довіреного комп’ютера.
• Враховуйте межі passphrase. Зловмисна прошивка потенційно може перехопити фразу, яку Ви вводите для відкриття гаманця.
• Враховуйте фізичний захист під час вибору моделі. Safe 5 має новіший мікроконтролер, якого досліджена атака не стосується. Multisig із незалежними ключами обмежує наслідки компрометації одного пристрою.

Фішинг від імені Trezor

Власники Trezor також стикаються з листами й повідомленнями, які виманюють слова бекапу під приводом оновлення або перевірки безпеки. Такі повідомлення можуть містити справжні персональні дані чи надходити через скомпрометований сервіс розсилок.

У серпні 2026 року Trezor повідомив про витік у логістичного партнера ShipMonk: серед даних були імена, адреси доставки, телефони та електронні адреси покупців. У вересні компанія уточнила, що витік також охопив близько 67 тисяч клієнтів зі США, які робили замовлення у 2019–2021 роках.

9 вересня 2026 року зловмисники використали акаунт Trezor у Brevo для фішингової розсилки. Приблизно 347 тисяч підписників отримали лист про нібито критичну вразливість STM32 із посиланням на програму, яка просила ввести бекап. За повідомленням Trezor, домен заблокували приблизно за 20 хвилин; до того за посиланням перейшли близько 2,5 тисячі людей. Інцидент стосувався сервісу розсилок; самі пристрої та бекапи через цей витік не були розкриті.

Навіть коли повідомлення надійшло зі знайомої адреси, оцінюйте запропоновану дію:

• Не вводьте бекап на сайті, у програмі на комп’ютері, листі чи месенджері. Для Safe 3 слова вводять на самому пристрої під час відновлення або перевірки, яку Ви розпочали самі.
• Перевіряйте оновлення у справжньому Suite. Посилання з листа на окрему «утиліту перевірки» не є частиною звичайної процедури оновлення.
• Не передавайте секрети співрозмовнику, який назвався підтримкою. Звертайтеся до Trezor через офіційний сайт, відкривши його самостійно; пропозиція «допомогти» в особистих повідомленнях не підтверджує особу працівника.

Як перевіряти такі повідомлення та що робити після переходу за посиланням, пояснили в матеріалі «Крипто-фішинг: чому лист з офіційного домену теж буває підробкою».

Оновлення та зберігання пристрою

Переглядайте список змін перед установленням нової прошивки та своєчасно встановлюйте виправлення безпеки. Перед оновленням перевірте доступність бекапу й passphrase, якщо використовуєте її. Резервні матеріали мають залишатися читабельними та доступними Вам незалежно від стану Safe 3.

Пристрій зберігайте там, де сторонні не зможуть непомітно його забрати чи підмінити. PIN і Secure Element захищають від спроб отримати доступ, але не замінюють контролю за фізичним зберіганням. Перед переїздом, тривалим від’їздом або ремонтом продумайте окреме розміщення пристрою й бекапу, щоб одна подія не позбавила Вас обох.

Типові проблеми після налаштування

Після введення passphrase гаманець порожній

Насамперед перевірте точність passphrase та активовані мережі. Навіть один інший символ, регістр чи пробіл відкриває інший гаманець, але нульовий баланс також можливий, якщо потрібний рахунок або мережу ще не додано. Введіть фразу зі свого запису, відкрийте той самий тип рахунку та порівняйте адресу з відомою адресою отримання.

Не скидайте пристрій у спробі повернути баланс. Послідовність перевірок є в окремому матеріалі «Passphrase на Trezor: чому гаманець порожній».

Переказ із біржі надійшов в іншу мережу

Спочатку знайдіть транзакцію в оглядачі блокчейну за її ідентифікатором і перевірте, у якій мережі відбувся переказ та на яку адресу надійшли кошти. Якщо токен надійшов, наприклад, в Arbitrum замість Ethereum на ту саму контрольовану Вами EVM-адресу, доступ часто можна отримати, відкривши відповідну мережу в Suite або через MetaMask чи Rabby з підключеним Trezor.

Можливість повернення залежить від конкретних мереж, активу та того, хто контролює адресу. Не імпортуйте бекап у випадкові сервіси «відновлення». Якщо помилка стосується депозиту на біржу, зверніться до її офіційної підтримки; для власної адреси перевірте сумісність у документації Trezor.

Встановили підроблений Trezor Suite

Якщо Ви лише підключили Safe 3, не вводили бекап і не підтверджували запитів, самого підключення недостатньо, щоб вважати ключі викраденими. Видаліть підробку, перевірте комп’ютер і встановіть справжній Suite з офіційного сайту. Для перевірки гаманця краще скористатися іншим, довіреним комп’ютером.

Якщо Ви ввели слова бекапу на комп’ютері, вважайте їх скомпрометованими. З іншого, довіреного комп’ютера якнайшвидше перекажіть кошти у власний гаманець з іншим перевіреним бекапом або на свій захищений рахунок біржі. Не використовуйте «безпечну адресу», надану співрозмовником чи підозрілою програмою. Після переказу створіть новий гаманець із новим бекапом. Зміна PIN не позбавить зловмисника доступу за викраденою резервною копією.

Якщо Ви підтвердили підозрілу транзакцію чи дозвіл контракту, перевірте саме її наслідки: у такому випадку ризик може стосуватися активів або виданих дозволів навіть без розкриття бекапу.

Забули PIN

Якщо Ви забули PIN, для скидання Safe 3 потрібно перейти в режим завантажувача. Перед цим переконайтеся, що маєте правильно записаний бекап і потрібну passphrase. Без них після стирання відновити доступ не вдасться.

1. Відкрийте Suite й підключіть Safe 3 кабелем, утримуючи ліву кнопку пристрою, щоб запустити режим завантажувача.
2. На Safe 3 натисніть праву кнопку для переходу в Menu, виберіть Factory reset і натисніть обидві кнопки.
3. Підтвердьте RESET правою кнопкою. Ця дія видалить дані гаманця, налаштування та прошивку. Після повідомлення про завершення від’єднайте й знову підключіть пристрій.
4. У Suite встановіть офіційну прошивку та виберіть Recover wallet from backup. Введіть слова бекапу тільки кнопками Safe 3, встановіть новий PIN і, якщо користувалися прихованим гаманцем, відкрийте його з тією самою passphrase.

Процедура описана в інструкції Trezor зі скидання Safe 3. Якщо Ви знаєте PIN і просто хочете очистити пристрій, у розділі Settings → Device → Danger Area є окрема дія Wipe device, яка залишає встановлену прошивку. Не плутайте її з Factory reset у режимі завантажувача.

Інший гаманець не приймає 20 слів

Перевірте, чи підтримує він SLIP39, а не лише BIP39. Бекап на 20 слів потрібно відновлювати в сумісному гаманці, зберігаючи всі слова й порядок; для Multi-share також потрібна достатня кількість часток. Не видаляйте слова, щоб отримати список із 12, і не дописуйте слова до 24. Інші причини відмови під час відновлення розглянули в гайді «Recovery phrase is invalid: чому гаманець не приймає seed-фразу».

Що робити далі

Після успішної перевірки бекапу та тестового переказу Safe 3 готовий до використання. Перед кожною операцією звіряйте дані на його екрані, а резервні матеріали тримайте окремо від пристрою. Якщо додали passphrase, збережіть її точний запис і переконайтеся, що можете повторно відкрити потрібний гаманець.