A seed phrase offline tárolása a Trust Wallet és más self-custody kriptotárcák biztonságának egyik legfontosabb alapelve. A helyreállítási kifejezést nem érdemes e-mailben, üzenetküldő alkalmazásban, hagyományos felhőtárhelyen, képernyőképen vagy egyszerű szövegfájlban őrizni, és különösen veszélyes bármilyen „wallet verification” weboldalon megadni. A Trust Wallet 2026-ban frissített biztonsági útmutatói szerint a recovery phrase-t célszerű offline leírni és biztonságos fizikai helyen tárolni, mert aki hozzáfér ehhez a titokhoz, az a tárcához tartozó eszközök feletti rendelkezést is megszerezheti.
A szabály első pillantásra egyszerű: a seed phrase maradjon offline és maradjon titokban. A gyakorlatban azonban több kérdés is felmerül. Miért veszélyes egy fotó a telefonon? Mi a probléma egy e-maillel? Hogyan működnek a hamis „wallet verification” oldalak? És mit jelent mindez annak fényében, hogy a Trust Wallet opcionális titkosított felhőalapú biztonsági mentést is kínál?
Miért fontos a seed phrase offline tárolása?
A seed phrase – más néven recovery phrase, secret phrase vagy helyreállítási kifejezés – egy self-custody kriptotárca egyik legérzékenyebb biztonsági adata. A Trust Wallet hagyományos tárcamodelljében a felhasználó egy 12 szavas recovery phrase segítségével tudja helyreállítani a tárcáját, és ebből a kifejezésből származtathatók a kapcsolódó privát kulcsok. A Trust Wallet saját meghatározása szerint ezért a seed phrase lényegében a tárca „mesterkulcsa”.
Az offline tárolás célja az úgynevezett támadási felület csökkentése. Ez egyszerűen azt jelenti, hogy minél kevesebb internetkapcsolatos eszköz, alkalmazás és online szolgáltatás férhet hozzá egy titokhoz, annál kevesebb technikai út áll rendelkezésre annak megszerzésére.
Ha egy seed phrase egy papírlapon vagy más megfelelően védett fizikai adathordozón található, egy távoli támadónak rendszerint nem elég feltörnie egy e-mail-fiókot, megszereznie egy felhőtárhelyhez tartozó jelszót vagy kártevőt telepítenie a telefonra. Fizikai hozzáférésre vagy más támadási módszerre is szüksége lehet.
Ha viszont a seed phrase bekerül egy e-mailbe, képernyőképbe vagy szöveges jegyzetbe, digitális adat lesz belőle, amely másolatokban is megjelenhet. A Trust Wallet 2026. július 17-én frissített útmutatója ezért kifejezetten azt javasolja, hogy a recovery phrase-t ne hagyományos digitális vagy online formában tároljuk, hanem írjuk le, és biztonságos helyen őrizzük.
Az Ethereum hivatalos felhasználói útmutatója hasonló ajánlást ad: a seed phrase-t biztonságos helyen kell leírni, és nem javasolja annak számítógépen történő tárolását.
Miért lehet veszélyes a seed phrase a telefonodon vagy számítógépeden?
Sokan abból indulnak ki, hogy ha telefonjuk jelszóval vagy biometrikus azonosítással védett, akkor egy seed phrase-ről készült fénykép is biztonságban van. A kockázat azonban ennél összetettebb.
Egy digitális fájl nem feltétlenül marad kizárólag azon a készüléken, ahol létrehozták. A fényképek, jegyzetek és dokumentumok automatikusan szinkronizálódhatnak más eszközökkel vagy felhőszolgáltatásokkal. A seed phrase így akár anélkül is több helyre kerülhet, hogy a felhasználó ezt tudatosan megtervezte volna.
A rosszindulatú programok szintén komoly veszélyt jelenthetnek. A Trust Wallet 2026-os mobilbiztonsági útmutatója arra figyelmeztet, hogy bizonyos malware-ek képernyőképeket készíthetnek, képernyőfelvételt végezhetnek vagy más módon próbálhatják megszerezni a tárca létrehozásakor megjelenő érzékeny információkat.
Nem véletlen, hogy a Trust Wallet manuális seed phrase-mentési folyamatában biztonsági okból korlátozza a képernyőképek és képernyőfelvételek készítését. A hivatalos útmutató ehelyett azt írja elő, hogy a felhasználó pontos sorrendben írja le a szavakat, majd a fizikai másolatot biztonságos helyen tárolja.
Ez nem azt jelenti, hogy minden telefon, számítógép vagy felhőszolgáltatás automatikusan veszélyes. A probléma az, hogy a seed phrase rendkívül nagy értékű hitelesítési adat: egyetlen sikeres kompromittálás következménye aránytalanul súlyos lehet.
E-mailben vagy üzenetben seed phrase-t küldeni különösen kockázatos
A seed phrase továbbítása e-mailben, SMS-ben, Messengeren, WhatsAppon, Telegramon vagy más kommunikációs csatornán szükségtelenül növeli a hozzáférési pontok számát.
Egy üzenet ugyanis nem feltétlenül csak a feladó készülékén marad. Megjelenhet a címzett eszközén, biztonsági mentésekben, értesítési előnézetekben, kapcsolódó asztali alkalmazásokban vagy több eszköz között szinkronizálva. Még egy egyébként biztonságos kommunikációs rendszer sem változtat azon az alapvető tényen, hogy a seed phrase olyan helyre került, ahol eredetileg nem kellett volna lennie.
A Trust Wallet ezért kategorikusan azt tanácsolja, hogy a recovery phrase-t ne osszuk meg másokkal, és külön kiemeli, hogy munkatársai sem e-mailben, sem üzenetben nem kérik el a 12 szavas secret phrase-t.
Ez fontos különbség például egy bankszámlával szemben. Egy bank bizonyos esetekben kérhet személyazonosító adatokat, és létezik központi ügyfélszolgálati folyamat. Egy self-custody tárcánál azonban a seed phrase nem ügyfélazonosító adat, hanem a kulcsok helyreállításának eszköze.
Egy valódi ügyfélszolgálatnak nincs szüksége a seed phrase-re ahhoz, hogy segítsen egy általános technikai probléma megoldásában.
A „wallet verification” az egyik legveszélyesebb csalási minta
A seed phrase elleni támadások jelentős része nem a kriptográfia feltörésére épül. Sokkal egyszerűbb rávenni magát a felhasználót arra, hogy önként adja át a kulcsot.
Ennek egyik tipikus formája a hamis „wallet verification”, vagyis „tárcaellenőrzési” folyamat.
A csaló például azt állíthatja, hogy a Trust Wallet tárcát:
„hitelesíteni” kell,
„szinkronizálni” kell,
„újra kell aktiválni”,
„biztonsági ellenőrzésnek” kell alávetni,
vagy egy technikai probléma miatt „helyre kell állítani”.
A folyamat végén egy weboldal vagy űrlap elkéri a 12 szavas seed phrase-t.
A Trust Wallet hivatalos csalásmegelőzési útmutatója egyértelmű: a támogatás nem kér „wallet verificationt”, és nem kér seed phrase-t e-mailben vagy üzenetben. A vállalat azt is hangsúlyozza, hogy egy legitim weboldal – beleértve magát a Trust Wallet hivatalos weboldalát is – nem kérheti egy 12 szavas secret phrase megadását egy webes űrlapon.
Ez azért működik hatékony csalási módszerként, mert a támadónak a seed phrase megszerzése után nem feltétlenül kell hozzáférnie az áldozat telefonjához.
A helyreállítási kifejezés segítségével egy kompatibilis tárcában rekonstruálhatók a kapcsolódó kulcsok. Az Ethereum hivatalos dokumentációja szintén kiemeli, hogy aki ismeri a recovery phrase-t, képes lehet az ahhoz tartozó eszközök felett átvenni az irányítást.
Ezért az egyik legegyszerűbb biztonsági szabály a következő: ha egy weboldal a seed phrase-t kéri „ellenőrzéshez”, ne add meg.
Phishing: amikor a hamis oldal szinte teljesen valódinak látszik
A phishing, magyarul adathalászat olyan támadás, amelyben a csaló megbízható szolgáltatónak adja ki magát, hogy érzékeny információt szerezzen meg.
Kriptotárcák esetében az adathalász weboldal akár vizuálisan szinte tökéletes másolata lehet a valódi szolgáltatásnak. Ugyanazt a logót, színeket és gombokat használhatja, miközben a háttérben a seed phrase begyűjtésére szolgál.
A Trust Wallet ezért azt javasolja, hogy a felhasználók ellenőrizzék a webcímet, és a hivatalos oldalakat lehetőség szerint könyvjelzőből nyissák meg. A vállalat csalásmegelőzési útmutatója szerint a gyanús weboldalakon nem szabad sem 12 szavas recovery phrase-t megadni, sem ismeretlen űrlapokat kitölteni.
A hamis támogatási oldal mellett gyakori belépési pont lehet egy kéretlen e-mail, közösségi médiában érkező privát üzenet, Telegram- vagy Discord-bejegyzés, hamis airdrop, illetve egy olyan keresési találat vagy hirdetés, amely megtévesztő webhelyre irányít.
A Trust Wallet azt is külön hangsúlyozza, hogy közösségi médiában sem küld üzenetet azért, hogy elkérje a felhasználó secret phrase-ét.
A biztonság szempontjából ezért nem az a legfontosabb kérdés, hogy egy oldal mennyire tűnik professzionálisnak. A döntő kérdés az, mit kér tőlünk.
Ha seed phrase-t kér egy weboldalon, az önmagában rendkívül komoly figyelmeztető jel.
Papír vagy fém: hogyan nézhet ki egy valóban offline seed phrase backup?
Az offline tárolás legegyszerűbb változata a seed phrase pontos lejegyzése papírra. A Trust Wallet ezt ma is elfogadott megoldásként ajánlja, feltéve, hogy a feljegyzést olyan helyen tárolják, ahol illetéktelen személy nem fér hozzá.
A papír azonban nem tökéletes. Elveszhet, megsemmisülhet, elázhat vagy tűz károsíthatja. Emiatt jelentősebb kriptoeszközök kezelésénél fizikai, például fémből készült seed backup is szóba jöhet. A Trust Wallet szerint a fémlemezes megoldások jobban ellenállhatnak a víznek, tűznek és más fizikai károknak, mint egy hagyományos papírlap.
A fizikai biztonság azonban ugyanolyan fontos, mint az adathordozó anyaga. Egy tökéletesen tűzálló seed backup sem biztonságos, ha olyan helyen található, ahol egy illetéktelen személy könnyen hozzáfér.
A Trust Wallet több fizikai tárolási lehetőséget is említ, köztük az elkülönített biztonságos helyeket és bizonyos esetekben banki széf használatát.
A megfelelő megoldás ezért mindig kompromisszum három kockázat között: lopás, megsemmisülés és saját hozzáférés elvesztése.
Túl könnyen hozzáférhető helyen a seed phrase ellopható. Túl bonyolult vagy rosszul dokumentált tárolási rendszer esetében viszont maga a tulajdonos is elveszítheti a hozzáférést. A biztonság célja nem pusztán a titok elrejtése, hanem annak biztosítása, hogy illetéktelen ne férjen hozzá, miközben szükség esetén a jogos tulajdonos továbbra is képes legyen használni.
Akkor a felhőalapú backup mindig rossz ötlet?
Itt fontos egy szakmai pontosítás.
A hagyományos seed phrase egyszerű szövegként, fotóként vagy dokumentumként történő feltöltése egy felhőszolgáltatásba nem ugyanaz, mint egy erre tervezett, titkosított recovery rendszer használata.
A Trust Wallet jelenleg opcionális Encrypted Cloud Backup funkciót is kínál. A vállalat 2026 augusztusában közzétett biztonsági tájékoztatója szerint ennek használatakor egy titkosított biztonsági másolat kerül a felhasználó saját iCloud- vagy Google Drive-fiókjába, és a visszafejtéshez a felhasználó által megadott külön jelszó szükséges. A Trust Wallet állítása szerint ezt a jelszót maga a vállalat sem tudja visszaállítani.
Ez tehát nem hagyományos offline tárolás, és eltérő kockázati modellt jelent.
Előnye lehet, hogy csökkenti annak veszélyét, hogy egy elveszett vagy megsemmisült fizikai backup miatt végleg megszűnjön a hozzáférés. Cserébe megjelenik a felhőfiók, a titkosítási jelszó és a digitális helyreállítás biztonságának kérdése. Ez az előnyök és kockázatok összevetéséből következő biztonsági kompromisszum.
A konzervatív megközelítés ezért továbbra is az, hogy a seed phrase egyszerű, olvasható másolatát ne tároljuk e-mailben, jegyzetben, fényképként vagy titkosítatlan felhőfájlban. Az erre tervezett titkosított backup rendszert pedig külön biztonsági megoldásként érdemes kezelni, nem pedig egy Google Drive-ra feltöltött seed_phrase.txt fájl modernebb változataként.
Mikor szabad egyáltalán beírni a seed phrase-t?
Normál napi használat során gyakorlatilag nincs szükség arra, hogy a felhasználó rendszeresen begépelje a recovery phrase-t.
A seed phrase elsősorban helyreállításra szolgál: például akkor lehet szükség rá, ha egy új készüléken kell visszaállítani egy meglévő tárcát. A Trust Wallet saját helyreállítási útmutatója azt javasolja, hogy ilyen esetben az alkalmazást kizárólag hivatalos forrásból töltsük le.
Az Ethereum hivatalos dokumentációja még tovább megy: recovery során azt tanácsolja, hogy lehetőség szerint ne legyen internetkapcsolat, amikor a seed phrase-t megadjuk, így csökkenthető a véletlen kiszivárgás kockázata.
A lényeg azonban nem az, hogy a seed phrase-t „soha sehová” nem lehet beírni. Helyreállításkor szükség lehet rá.
A döntő különbség az, hogy te kezdeményezted-e a helyreállítást egy általad ellenőrzött, hivatalos vagy megbízható kompatibilis tárcaalkalmazásban, vagy egy külső szereplő próbál rávenni arra, hogy add meg egy weboldalon.
Az első lehet legitim helyreállítási folyamat. A második tipikus phishing-minta.
Mi történjen, ha már elküldted vagy megadtad valahol a seed phrase-t?
Ha egy seed phrase illetéktelen személyhez kerülhetett, akkor biztonsági szempontból azt kompromittáltnak kell tekinteni. Nem érdemes abból kiindulni, hogy „valószínűleg senki nem mentette le”.
A recovery phrase ugyanis nem olyan, mint egy hagyományos jelszó, amelyet egyszerűen megváltoztatunk. Aki lemásolta, később is felhasználhatja az abból származtatható privát kulcsok rekonstruálására. A Trust Wallet aktuális biztonsági tájékoztatója szerint aki megszerzi a recovery phrase-t, az megszerezheti az eszközök feletti kontrollt is, és a recovery phrase nem állítható vissza vagy „resetelhető” egy központi szolgáltatón keresztül.
Ilyen helyzetben a biztonságos megközelítés az, hogy egy új, megbízható környezetben létrehozott, új seed phrase-hez tartozó tárcát használunk, és amennyiben még rendelkezünk a régi tárca felett, az eszközöket oda mozgatjuk. Az idő ebben a helyzetben fontos lehet, mert ugyanazokhoz a kulcsokhoz a támadó is hozzáférhet.
Egy már kiszivárgott seed phrase utólagos „offline tárolása” nem teszi ismét titkossá. A probléma nem az eredeti példány helye, hanem az, hogy egy másolat már illetéktelen kézbe kerülhetett.
A seed phrase offline tárolásának legfontosabb szabályai
- Ne küldd el e-mailben, SMS-ben vagy üzenetküldő alkalmazásban.
- Ne készíts róla hagyományos fotót vagy képernyőképet.
- Ne tárold egyszerű szövegfájlban, jegyzetben vagy titkosítatlan felhőtárhelyen.
- Ne add meg weboldalon „wallet verification”, airdrop, support vagy szinkronizálás ürügyén.
- Offline fizikai másolatnál gondolj a lopás, tűz, víz és elvesztés kockázatára is.
- Helyreállításkor csak hivatalos vagy megbízható tárcaalkalmazást használj, és pontosan ellenőrizd, hová írod be a phrase-t.
- Ha a seed phrase kiszivárgott, ne tekintsd többé biztonságosnak.
Ezek az alapelvek összhangban állnak a Trust Wallet és az Ethereum Foundation által közzétett jelenlegi biztonsági ajánlásokkal.
Miért fontos mindez a self-custody szempontjából?
A self-custody egyik legnagyobb előnye, hogy a felhasználó közvetlenül rendelkezhet a saját kriptoeszközeihez tartozó kulcsok felett. A Trust Wallet saját működési modellje szerint a hagyományos tárcák privát kulcsait és secret phrase-ét nem a Trust Wallet kezeli központilag; a kulcsok a felhasználó eszközén generálódnak és maradnak.
Ez csökkenti a hagyományos letétkezelővel kapcsolatos partnerkockázatot, de új felelősséget helyez a felhasználóra.
Egy centralizált szolgáltatás jelszavát bizonyos esetekben vissza lehet állítani. Egy self-custody wallet recovery phrase-ének elvesztésére vagy kiszivárgására nincs ugyanilyen központi megoldás. Az Ethereum hivatalos dokumentációja hangsúlyozza, hogy a self-custody nagyobb önállósága együtt jár a privát kulcsok és recovery adatok saját védelmének felelősségével.
Ezért a seed phrase offline tárolása nem valamilyen túlzott kriptós óvatosság. A self-custody működési modelljének közvetlen következménye.
A tárcát az alkalmazás technológiája védi, a recovery phrase biztonságáról azonban végső soron a felhasználónak kell gondoskodnia.
Gyakori kérdések
Biztonságos lefényképezni a Trust Wallet seed phrase-t?
Nem ajánlott. A kép felhőbe szinkronizálódhat, más készülékeken is megjelenhet vagy rosszindulatú program hozzáférhet. A Trust Wallet manuális recovery phrase-mentéskor biztonsági okból a képernyőkép és képernyőfelvétel készítését is korlátozza.
Elküldhetem saját magamnak e-mailben a seed phrase-t?
Biztonsági szempontból nem javasolt. A Trust Wallet kifejezetten azt tanácsolja, hogy a recovery phrase ne kerüljön e-mailbe vagy hagyományos online tárolásba.
Meg kell adnom a seed phrase-t a Trust Wallet weboldalán wallet verificationhöz?
Nem. A Trust Wallet szerint támogatása nem kér wallet verificationt, és legitim weboldal – beleértve a Trust Wallet saját oldalát – sem kérheti a 12 szavas secret phrase-t webes űrlapon.
Hol érdemes fizikailag tárolni a seed phrase-t?
Olyan helyen, amely illetéktelenek számára nehezen hozzáférhető, ugyanakkor véd a fizikai károktól és a saját hozzáférés elvesztésétől. A Trust Wallet papíralapú mentést, tartósabb fém backupot és bizonyos helyzetekben biztonságos széfet is említ.
A Trust Wallet Encrypted Cloud Backup ellentmond az offline tárolásnak?
Nem feltétlenül, mert két különböző biztonsági modellről van szó. A Trust Wallet opcionális Encrypted Cloud Backupja titkosított másolatot tárol a felhasználó saját iCloud- vagy Google Drive-fiókjában, külön visszafejtési jelszóval; ez nem offline tárolás, hanem egy külön, kényelmi és helyreállítási kompromisszumokat jelentő megoldás.
Mit tegyek, ha egy weboldalon már megadtam a seed phrase-emet?
A phrase-t érdemes kompromittáltnak tekinteni. Mivel annak birtokosa rekonstruálhatja a kapcsolódó kulcsokat, biztonságos környezetben új tárca létrehozása és a még elérhető eszközök új recovery phrase alá történő áthelyezése lehet indokolt.
Jogi nyilatkozat
A cikk kizárólag tájékoztató és ismeretterjesztő célokat szolgál, nem minősül befektetési, pénzügyi, jogi vagy informatikai biztonsági tanácsadásnak. A kriptovaluták magas kockázatú és jelentős árfolyam-ingadozásnak kitett eszközök lehetnek, a self-custody tárcák használata pedig technológiai és biztonsági kockázatokkal jár. A felhasználó maga felel privát kulcsai, recovery phrase-e és biztonsági mentései megfelelő kezeléséért.
