Pytanie nie brzmi, co jest bezpieczniejsze w ogóle, lecz jaką kwotę trzymasz i jak często jej dotykasz. Portfel sprzętowy zdejmuje dokładnie jedną klasę zagrożeń: dostęp do klucza z zainfekowanego komputera lub telefonu.
Klucz nie opuszcza układu scalonego, więc wirus, który widzi cały twój ekran i wszystkie pliki, samego klucza nie widzi. Trzech innych sposobów utraty środków sprzęt nie eliminuje: ślepy podpis, podrobione urządzenie przy zakupie oraz phishing podszywający się pod wsparcie. Żadnego z nich nie leczy zakup droższego modelu.
Dlatego wyboru dokonuje się nie między urządzeniami, lecz między zadaniami: oszczędności i kwoty robocze trzyma się osobno.
Co dokładnie daje sprzęt
Portfel sprzętowy izoluje klucz prywatny od sieci. Słowa są generowane wewnątrz urządzenia, klucz powstaje w tym samym miejscu i nie jest przekazywany na zewnątrz.
Kiedy podpisujesz przelew kryptowaluty, aplikacja na komputerze tworzy operację, przekazuje ją urządzeniu, a podpis powstaje wewnątrz układu. Komputer dostaje z powrotem już podpisaną transakcję, ale nie klucz.
To właśnie czyni taki portfel zimnym. Praktyczną różnicę widać na prostym scenariuszu: jeśli twój roboczy laptop jest zainfekowany, gorący portfel na nim opustoszeje w chwili, gdy odblokujesz aplikację.
Sprzętowy nie opustoszeje, bo klucza na laptopie nigdy nie było. Wszystko, co napastnik może zrobić, to podsunąć ci operację do podpisu. I tu zaczyna się druga część rozmowy.
Czego sprzęt nie daje
Po pierwsze i najważniejsze — ślepy podpis. Urządzenie pokazuje nie sens operacji, lecz surowe dane, a człowiek zatwierdza przelew, nie widząc ani kwoty, ani adresu odbiorcy.
To główny sposób utraty środków mimo posiadania sprzętu, a producenci przyznają to wprost: Ledger promuje „czytelny podpis” właśnie jako odpowiedź na tę lukę. Oznacza to, że czytelność operacji zależy od aplikacji, a nie od urządzenia. O granicach ochrony pisaliśmy osobno: przed czym portfel sprzętowy chroni, a przed czym nie.
Po drugie — podrobione urządzenie przy zakupie. Prawdziwy portfel nigdy nie jest dostarczany z gotową frazą ani kodem PIN wewnątrz „zapieczętowanego” pudełka. To dosłowne sformułowanie producenta.
Nieprzyjemny szczegół: wbudowana weryfikacja autentyczności układu nie wykrywa fizycznych modyfikacji sprzętu, co producent również przyznaje. Dlatego zakup z drugiej ręki, z ogłoszenia albo na marketplace od przypadkowego sprzedawcy to osobne ryzyko, w żaden sposób niezwiązane z jakością modelu.
Po trzecie — phishing podszywający się pod wsparcie. Żywi się wyciekami baz adresowych. W 2020 roku publicznie ujawniono bazę marketingową Ledgera: około 1,1 mln adresów e-mail i 272 000 rekordów z imionami, telefonami i adresami domowymi. W styczniu 2026 doszło do wycieku u partnera płatniczego Global-e, liczby poszkodowanych nie ujawniono.
Skutek był do przewidzenia: w 2025 roku do właścicieli rozsyłano papierowe listy na oficjalnym blankiecie z kodem QR prowadzącym do klonu strony z prośbą o wpisanie słów. Ani Ledger, ani Trezor nigdy nie pytają o frazę odzyskiwania.
Warto tu też wspomnieć historię Ledger Recover z maja 2023 roku. Skandal wywołała nie sama usługa kopii zapasowej w chmurze, lecz przyznanie się wsparcia: technicznie zawsze było możliwe napisanie oprogramowania układowego, które wyciąga klucz. Spór nie dotyczył włamania, tylko tego, że model zaufania okazał się inny, niż sądził kupujący.
Telefon: wygoda i cena błędu
Aplikacja z kluczem na telefonie to gorący portfel, jakkolwiek by się nazywała. Brak powiernictwa nic tu nie zmienia: oznacza tylko tyle, że klucz masz ty, a nie firma.
Jeśli klucz leży na urządzeniu, które codziennie jest w sieci, instaluje aktualizacje, otwiera linki i trzyma komunikatory, to klucz jest w sieci. Słowa „tryb zimny” w nazwie aplikacji tego nie zmieniają.
Opłata za wygodę tkwi nie w samym telefonie, lecz w cenie błędu. Jedno nieudane kliknięcie w podrobioną aplikację z reklamy, jeden wklejony ze schowka adres portfela podmieniony przez złośliwy kod, jedna kopia notatek w chmurze — i kwoty się nie odzyska.
Przy tysiącu hrywien to przykrość. Przy oszczędnościach z kilku lat to zupełnie inne zdarzenie.
Osobno o wbudowanej wymianie w aplikacjach pokroju Exodusa: prowizja jest tam zaszyta w kursie, a nie pokazana osobną pozycją. Oficjalnie „od 0,5%”, faktycznie zauważalnie więcej, zależnie od pary i kwoty.
To nie oszustwo, ale porównywać należy końcową kwotę na wyjściu, a nie deklarowany procent. Jesteśmy kantorem, więc mamy tu własny interes — i właśnie dlatego mówimy prosto: liczcie, ile przyszło.
Jak dzielić według zadania
Tak samo, jak nie nosi się przy sobie całej gotówki. Kwota robocza to ta, z której korzystasz w tym miesiącu: płatności, wymiany, drobne przelewy. Trzyma się ją tam, gdzie wygodnie, czyli na telefonie, i świadomie godzi się na ryzyko w granicach tej kwoty.
Oszczędności, czyli to, co leży bez ruchu, trzyma się osobno, a główną cechą tego portfela nie jest szybkość, lecz to, że rzadko się go dotyka.
Granicę każdy wyznacza sam, ale punkt odniesienia jest prosty: jeśli utrata kwoty zmieni twoje plany na rok, nie powinna ona leżeć na urządzeniu, z którego czytasz pocztę. I odwrotnie, ciągnąć sprzęt dla dwustu dolarów obrotu to wydawać pieniądze i czas na ochronę przed zagrożeniem, na które cię nie stać.
Jak podzielić kwoty w praktyce
Zacznij od liczby miesięcznej, a nie od procentów. Sprawdź, ile realnie wydałeś na wymiany i przelewy przez ostatnie dwa, trzy miesiące, i weź najwyższy z tych miesięcy. To właśnie jest twoja kwota robocza, trzyma się ją na telefonie.
Wszystko powyżej tej liczby przenosi się na osobny portfel. Nie „część”, nie „połowa”, lecz cała reszta: sens podziału polega właśnie na tym, że na codziennym urządzeniu nie zostaje kwota, której utrata zmieni ci rok.
Zasilaj portfel roboczy z oszczędności, a nie odwrotnie. Jeden przelew miesięcznie w stronę telefonu oznacza jedną operację, przy której dotykasz zimnego urządzenia. Odwrotny schemat, gdy pieniądze stale chodzą w obie strony, sprowadza podział do zera.
Przed pierwszym dużym przelewem zrób próbny, na minimalną kwotę, i poczekaj na zaksięgowanie. To sprawdza i adres, i sieć, i to, czy w ogóle widzisz saldo na nowym portfelu. Błąd sieci przy przelewie próbnym kosztuje kilka dolarów, przy głównym — wszystko.
Zaraz po konfiguracji sprawdź odzyskiwanie. Przywróć urządzenie do ustawień fabrycznych i odtwórz portfel z zapisanych słów, póki nie ma na nim znaczącej kwoty. Fraza, której ani razu nie użyłeś, pozostaje założeniem, a nie kopią zapasową.
Trzeci portfel zakłada się rzadko, ale bywa uzasadniony: osobny adres do przyjmowania środków od osób trzecich, niepowiązany ani z roboczym, ani z oszczędnościowym. Przyda się tym, którzy regularnie przyjmują płatności i nie chcą pokazywać kontrahentowi całego swojego obrotu.
Co jest ważniejsze niż wybór urządzenia
Fraza seed. Urządzenie jest wtórne: można je złamać, zalać wodą, zgubić — i odtworzyć portfel na nowym z tych samych słów.
Utrata frazy razem z urządzeniem oznacza bezpowrotną utratę środków, bo w systemie nie ma uczestnika, który miałby techniczną możliwość ich zwrotu.
Stanowisko producentów w sprawie przechowywania jest zbieżne: tylko offline, nie fotografować, nie wpisywać do komputera ani telefonu, nie trzymać w chmurze. Nośnik to papier albo stalowa kopia, osobno od samego urządzenia.
Każda prośba o frazę, kod PIN czy hasło, od kogokolwiek by nie wyszła, jest z definicji oszustwem. Sposoby przechowywania i ich słabe punkty omówiliśmy szczegółowo: jak przechowywać frazę seed.
Podsumowanie jest krótkie. Sprzęt zamyka jedną dziurę i zamyka ją dobrze. Resztę zamyka nawyk czytania tego, co podpisujesz, kupowania urządzenia u producenta, nigdy niewpisywania słów na prośbę nieznajomego — i trzymania oszczędności osobno od pieniędzy na co dzień.
