Обзор кошелька Xverse: безопасность, восстановление и пробел в аудите

Xverse — это некастодиальный Bitcoin-кошелёк от Secret Key Labs Limited, компании из Гонконга, доступный как расширение для Chrome и как приложения для iOS и Android. Кошелёк не взимает плату за установку или хранение и не добавляет комиссию к обычной отправке Bitcoin. Покупки, свопы и кросс-чейн-сервисы оцениваются сторонними провайдерами. Собственный пул STX stacking в Xverse удерживает комиссию за управление из вознаграждений.

Охват Xverse в экосистеме Bitcoin очень широк. Помимо BTC, он поддерживает Ordinals, Runes и токены BRC-20, а также Stacks, Starknet, Spark и Lightning, и выдаёт отдельный платёжный адрес и адрес Taproot, чтобы снизить риск того, что inscriptions или rare sats будут выбраны как обычные входы Bitcoin.  

Тестовый профиль

Что мы тестировали, а что нет

Мы установили расширение Chrome на Windows, создали кошелёк с нуля, прошли через экраны Send, Receive, Buy и Sell, зафиксировали котировки провайдеров для покупки по карте, затем удалили расширение, переустановили его и восстановили кошелёк по seed-фразе.

Мы не завершали покупку по карте, не выполняли кросс-чейн платёж, не использовали внешнее веб-приложение для swap, не подключали аппаратный кошелёк и не тестировали мобильные приложения. В дополнение к сессии мы изучили опубликованный отчёт по аудиту, страницы о безопасности и конфиденциальности, базу знаний поддержки и публичные репозитории GitHub. Всё, что взято оттуда, а не из собственного использования, помечено соответствующим образом.

Xverse в двух словах

Как настроить Xverse

Настройка занимает четыре экрана и завершается менее чем за минуту.  

Проверено на версии 2.7.3, 19 августа 2026.

Шаг 1. Создайте новый кошелёк или восстановите существующий

Расширение открывается с двумя кнопками.

Скриншот: расширение Xverse Chrome 

Шаг 2. Прочитайте уведомление о сборе данных

Приложение предупреждает, что будет собирать анонимные данные об использовании, чтобы лучше понимать пользователей и улучшать приложение, и сообщает, что эту настройку можно изменить.  

Скриншот: предупреждение о сборе данных

Шаг 3. Установите и подтвердите пароль

Пароль шифрует приватные ключи на устройстве.

Скриншот: установка пароля

Шаг 4. Кошелёк создан — без резервной копии

На этом этапе кошелёк уже существует и может принимать средства. Xverse не предлагает показать или сохранить recovery phrase во время настройки и не требует записать её до того, как кошелёк станет пригодным к использованию.

Скриншот: завершение создания кошелька 

Подсказка о резервной копии появляется позже

При следующем запуске расширения Xverse предлагает сделать резервную копию seed-фразы.  

Скриншот: напоминание о резервной копии

Как Xverse организует адреса

Экран Receive показывает два Bitcoin-адреса: адрес Native SegWit и адрес Nested SegWit.

Скриншот: экран Receive в Xverse

Согласно документации Xverse, кошелёк разделяет семейства активов по типу адреса и хранит Ordinals, Runes и токены BRC-20 на адресе Taproot, отличном от тех, которые содержат spendable bitcoin. Кошелёк, который складывает все сатоши в один баланс, может выбрать сатоши с ценной inscription в качестве входа для обычного платежа, и артефакт уйдёт со сдачей. Раздельная схема derivation делает это структурно затруднительным.

Как Xverse принимает и отправляет bitcoin

Раздел Send содержит три вкладки.

Send to address принимает адрес получателя, сумму и сетевую комиссию. Комиссия настраивается, при этом для более быстрой подтверждаемости можно выбрать уровни Medium и High priority.

Материалы поддержки Xverse объясняют, что комиссии указываются в satoshis per virtual byte и идут майнерам, а Secret Key Labs заявляет, что не контролирует их и не получает с них прибыль. 

Размер транзакции, а значит и стоимость, зависит от того, сколько входов и выходов нужно плате, поэтому баланс, состоящий из множества мелких частей, обходится дороже в перемещении, чем та же сумма, хранящаяся в одном куске. 

Xverse также отмечает, что некоторые кошельки выражают ту же ставку в satoshis per weight unit, где 1 sat/vB = 0.25 sat/WU — ставка, скопированная между кошельками без пересчёта, будет ошибочной в четыре раза.

Скриншот: экран Send в Xverse

Lightning показывает одну строку адреса.

Скриншот: экран платежа Lightning

Cross-chain переключается между стейблкоинами в разных сетях и содержит предупреждение, что платёж обрабатывается через Flashnet.

Скриншот: экран кросс-чейн платежа

Три вкладки, три модели расчётов, одна кнопка Send. On-chain ждёт блоков, Lightning закрывается off-chain, а кросс-чейн маршрут зависит от третьей стороны, о которой большинство пользователей, вероятно, никогда не слышали и которую не выбирали сами.  

Как купить bitcoin по карте в Xverse

Xverse сам bitcoin не продаёт. Он предлагает несколько вариантов покупки crypto, один из которых — перевод с кредитной карты, и этот маршрут позволяет выбрать из списка доступных провайдеров.

Скриншот: экран Buy в Xverse

Кошельки, которые встраивают один on-ramp, скрывают, сколько бы стоил альтернативный вариант; кошелёк, который перечисляет конкурирующих провайдеров, снова превращает выбор в решение, и при повторных покупках это решение накапливается. Каждый провайдер в этом списке сам назначает цену своему сервису, а кошелёк выступает своего рода витриной.

Экран Buy предлагает альтернативу под названием Pay with crypto, а при выборе перенаправляет на portfolio.xverse.app/swap, где нужно подключить кошелёк, чтобы начать транзакцию.

Скриншот: приложение Xverse Swap

Собственная документация поддержки Xverse называет Changelly провайдером кросс-чейн свопов, при этом tolerance к slippage зафиксирован на уровне 10% и не настраивается.

Как вывести средства

Экран Sell переводит BTC или стейблкоины на банковскую карту или через SEPA-перевод.

Скриншот: экран Sell в Xverse

Оба направления проходят через третьи стороны. Доступность SEPA также подразумевает европейский коридор, а значит набор опций почти наверняка меняется в зависимости от региона.

Как сделать swap 

У Xverse есть экран swap, и он работает без перенаправления куда-либо ещё. Он не конвертирует между экосистемами. Доступные пары остаются в цепочке Bitcoin и охватывают определённый набор нативных активов Bitcoin. Ethereum, Solana и другие сети не показываются как варианты, так что тот, кто рассчитывает обменять здесь ETH на SOL, не найдёт нужную пару.

Скриншот: экран Swap в Xverse

Swap, ограниченный одной цепочкой, перемещает стоимость только внутри Bitcoin. Любому, кто хочет держать что-то другое, всё равно придётся обменять Bitcoin (BTC) через внешний сервис, а Xverse предлагает маршрут через сторонние обменники (через Changelly). 

Поддерживаемые сети и активы

Xverse охватывает базовый уровень Bitcoin и набор цепочек, построенных вокруг него: BTC, Ordinals, Runes, токены BRC-20 и Rare Sats непосредственно в Bitcoin, затем Stacks с его токенами SIP-10, Starknet, Spark, sBTC и Lightning. Поддержка стейблкоинов включает USDC и USDB, а кросс-чейн вкладка на экране Send перемещает стейблкоины между сетями.

Здесь важны три оговорки.

Активы из других экосистем приходят через конвертацию, а не через хранение. Хранение Solana (SOL) или Ethereum (ETH) в нативной форме всё ещё требует второго кошелька.

Слои подтверждаются по-разному. Bitcoin ждёт блоков, Lightning закрывается off-chain, а Stacks и Starknet используют собственные модели подтверждения. Один интерфейс покрывает несколько наборов правил о том, когда деньги действительно поступили.

И список растёт. Xverse стабильно добавляет новые слои, так что проверяйте приложение, а не любой опубликованный перечень, включая этот обзор.

Что ещё есть в приложении

Xverse давно вышел за пределы простого хранения, и большинство дополнений привлекают внешнюю сторону:

• Earn-продукты, включая staking Stacks через пул Xverse, native staking WBTC через валидатор Xverse и BTC staking через Lombard. Собственный сайт Xverse указывает, что доходность переменная и никогда не гарантируется.
• Xverse Cash, вкладка для стейблкоинов и платежей через Spark и Starknet.
• Инструменты для разработчиков: публичный API, Bitcoin RPC-сервис, библиотека Sats Connect и кошелёк-агент для программного использования.

Последний пункт достоин упоминания в обзоре, потому что это решение дизайна, а не баг. Каждое всплывающее окно приучает пользователя закрывать модалку, не читая её, а кошелёк тратит остатки доверия на те модалки, которые важнее всего — те, что запрашивают подпись. Такая привычка легко вырабатывается и дорого переучивается.

Заметьте, какой ценой даётся такой охват в других местах. Каждая интеграция — это место, где код, который Xverse не писал, просит подтверждение, а уровень безопасности кошелька равен безопасности самого слабого из этих звеньев. Это осознанный компромисс продукта, и он разумен, но принимать его нужно с открытыми глазами.

Что вы можете проверить сами

Вот где маркетинг и факты расходятся.

• Исходный код. Secret Key Labs публикует браузерное расширение, core library и Sats Connect на GitHub. Публичного репозитория для приложений iOS или Android мы не нашли. Для браузерного расширения исходный код доступен по собственной некоммерческой лицензии.
• Аудиты — один, за 2021 год. Мы нашли один публичный сторонний аудит: обзор Least Authority за 2021 год тогдашнего мобильного кошелька Stacks. Мы не нашли опубликованного отчёта, покрывающего текущие расширение, нативные активы Bitcoin, Starknet, Spark, Lightning, swap или агрегацию провайдеров.
• Конфиденциальность — частично проверяема. На странице безопасности Xverse говорится, что сервис не отслеживает адреса аккаунтов или балансы. Политика конфиденциальности шире: она допускает сбор адресов кошельков, сведений о транзакциях, данных об использовании, идентификаторов устройства, IP-адресов, данных браузера и ОС, а также информации, обрабатываемой сторонними функциями. Эти два официальных описания не полностью согласуются.

Ничего из этого не делает кошелёк небезопасным. Это означает, что два обещания, на которые особенно опирается осторожный пользователь, выглядят слабее, чем кажется.

Инциденты безопасности

Один раскрытый инцидент — это короткая публичная запись, и Xverse отреагировал на него, выпустив собственное уведомление с указанием причины, затронутых версий, условий раскрытия и исправления, опубликованное в течение суток.

Сбой был не в криптографии, а в предположении об окружении под ней — функция пароля работала как задумано, пока браузер всё равно записывал секрет на диск. Xverse отметил, что для раскрытия требовалась уже скомпрометированная машина.

Восстановление: работает ли резервная копия?

Резервная копия, которую никто не проверял, — это лишь надежда. Мы удалили расширение Chrome, переустановили его на машине Windows и восстановили кошелёк по recovery phrase, хранившейся так, как и следует хранить recovery phrase.

Процесс восстановления спрашивает, какой именно кошелёк нужно восстановить, а не предполагает один по умолчанию.

Скриншот: экран восстановления кошелька

Xverse использует селектор source-wallet, чтобы выбрать путь derivation, использовавшийся исходным клиентом. Неправильный источник может привести к неожиданным адресам или нулевому балансу, даже если сама recovery phrase верна.

Адреса совпадают посимвольно, а вместе с ними вернулись баланс и история. Это именно тот результат, который нужен, и его стоит прямо отметить, потому что самый важный раздел любого обзора кошелька — тот, где доказано, что выход работает.

Одна оговорка, которую тест не покрывает: мы проверили адрес Native SegWit. Всем, кто хранит Ordinals, Runes или токены BRC-20, следует отдельно подтвердить адрес Taproot после восстановления, поскольку именно там живут эти активы, и совпадающий BTC-баланс ничего о них не говорит.

Что нас смутило в интерфейсе

Кошелёк существует раньше, чем резервная копия. Настройка завершается, кошелёк может принимать средства, а recovery phrase ещё не показана. Подсказка появляется при следующем запуске и её можно закрыть. Ничто в этом процессе не помечает кошелёк как незащищённый резервной копией, и последовательность тихо переворачивает правило, которому учит каждый гайд по кошелькам.

Промо-модалки конкурируют с подсказками безопасности. Всплывающие окна появляются достаточно часто при обычном использовании, чтобы стать фоном.

Скриншот: промо-всплывающие окна Xverse 

Сильные стороны

• Раздельные Bitcoin-платёжные адреса и адреса Taproot снижают риск случайно потратить inscriptions и rare sats.
• Проверенное восстановление вернуло адрес Native SegWit, баланс и историю менее чем за минуту.
• Котировки покупки сравниваются между несколькими провайдерами, а не скрыты за одной интеграцией.
• Кошелёк поддерживает нативные Bitcoin-активы вместе с Stacks, Starknet, Spark, Lightning и маршрутами оплаты в стейблкоинах.
• Xverse опубликовал подробное собственное уведомление и исправление после проблемы с расширением в 2023 году.

Ограничения

• Расширение и core library доступны по исходникам под ограничительной некоммерческой лицензией, а не как open source.
• Официального публичного репозитория мобильных клиентов найдено не было.
• Единственный найденный публичный сторонний аудит датирован 2021 годом и предшествует большинству текущих функций.
• Маркетинг Xverse по конфиденциальности и политика конфиденциальности по-разному описывают сбор данных.
• Функции swap, платежей, Lightning, покупки, продажи и доходности зависят от нескольких внешних провайдеров.
• Настройка позволяет начать пользоваться кошельком до того, как recovery phrase будет сохранена в резервную копию.

Кому подходит Xverse, а кому нет

Если вы храните Ordinals, Runes или Rare Sats

Раздельная derivation для Taproot — это структурная защита именно для этих активов. Кошелёк, который складывает все сатоши в одну кучу, может потратить ценную inscription как часть комиссии, и никакая осторожность в момент отправки надёжно не предотвращает это.

Если вы регулярно покупаете bitcoin по карте

Тринадцать вариантов с сравнением провайдеров делают то, чего не делают многие кошельки: показывают, что предлагают альтернативы, вместо того чтобы прятать их за одной интеграцией. При повторных покупках такая видимость ценнее, чем просто красивый интерфейс.

Если вы читаете код, прежде чем доверять

У мобильных приложений нет найденного нами публичного репозитория, а единственный опубликованный аудит относится к 2021 году и покрывает продукт, который уже мало похож на текущий. Инспектировать можно только расширение.

Если вам нужна маленькая поверхность атаки

Покупка, продажа, staking, кросс-чейн платежи, внешнее приложение для swap и кошелёк-агент всё это расширяют, а частые промо-модалки тренируют именно тот рефлекс, на который рассчитывает вредоносная подсказка. Кошелёк, который только отправляет и принимает bitcoin, оставляет меньше мест, где нужно подтверждать то, что вы не до конца прочитали.

Если это будет ваш первый кошелёк

Порядок настройки говорит против этого. Кошелёк, которым можно пользоваться до того, как он покажет recovery phrase, перекладывает обязанность заметить проблему на человека, который ещё не знает, что именно нужно заметить.

Вердикт

Xverse особенно силён для пользователей, которые активно управляют Bitcoin, Ordinals, Runes и другими нативными Bitcoin-активами из одного интерфейса. Его процесс восстановления хорошо сработал в протестированном сценарии Xverse-to-Xverse, но история верификации слабее, чем обещает маркетинг про «open source и регулярно проходящий аудит». Это богатый функциями кошелёк для активного использования, а не самый очевидный выбор для тех, кто ставит во главу угла минимальную поверхность атаки, полностью открытый код клиента и недавнее аудиторское покрытие.

Альтернативы

• Exodus — хранит Bitcoin вместе с десятками других активов, с покупкой по карте и поддержкой live chat прямо в приложении. Его основное приложение закрытое, так что компромисс по сравнению с Xverse идёт в другую сторону: шире покрытие и быстрее помощь, меньше того, что можно проверить. Выбирайте Exodus вместо Xverse, если у вас смешанный портфель и вам важнее скорость поддержки, чем обработка Bitcoin-native активов.
• Trust Wallet — покрывает Bitcoin, Ethereum, Solana и другие сети с одной recovery phrase, а также покупки по карте внутри приложения. Он не поддерживает Ordinals, Runes или BRC-20, поэтому любой, кто хранит Bitcoin-native артефакты, теряет раздельность адресов, вокруг которой построен Xverse. Стоит отметить, что браузерное расширение Trust Wallet подверглось подтверждённой компрометации в декабре 2025 года, затронув версию 2.68 и устранённой в 2.69 — такой категории события в публичной истории Xverse пока нет.
• Rabby — создан исключительно для сетей EVM, без какой-либо поддержки Bitcoin, так что это скорее дополнение, чем замена для большинства пользователей Xverse. Упомянуть его здесь стоит из-за подхода к аудитам: Rabby публикует серию датированных сторонних отчётов, и именно с этим стандартом следует сравнивать единственный документ Xverse за 2021 год. Выбирайте Rabby, если ваши активы только в EVM и проверяемость для вас важнее ширины поддержки активов.

Часто задаваемые вопросы

Сколько стоит Xverse?

Ничего за установку и ничего за хранение активов, а Secret Key Labs не берёт комиссию с операций кошелька. Вы платите сетевые комиссии Bitcoin on-chain, с настраиваемыми уровнями приоритета на экране отправки. Помимо этого, сторонние сервисы устанавливают свои собственные сборы: провайдер покупки при оплате картой и Flashnet при кросс-чейн платеже.

Безопасно ли пользоваться Xverse?

Это self-custodial кошелёк, и Xverse заявляет, что не может заморозить или получить доступ к средствам. Один инцидент есть в публичной истории — в июне 2023 года, когда recovery phrase попали в незашифрованный лог Chrome; потерь не было, и проблему исправили в течение нескольких дней. Наш тест восстановления прошёл безупречно. Более слабые места связаны скорее с верификацией, чем с инцидентами.

Xverse — open source?

Частично. Браузерное расширение, core library и Sats Connect доступны на GitHub, а собственное уведомление Xverse о безопасности в 2023 году относит это заявление к расширению. Публичного репозитория для приложений iOS или Android мы не нашли, поэтому мобильные пользователи не могут проверить код, который запускают. Xverse продвигает продукт как open source, тогда как два основных публичных репозитория кошелька используют ограничительную собственную лицензию.

Проходил ли Xverse аудит?

Да, один раз, публично. Least Authority завершила отчёт 27 августа 2021 года, покрывавший то, что было описано как мобильное приложение-кошелёк для блокчейна Stacks. Мы не нашли опубликованного отчёта, покрывающего Ordinals, Runes, агрегацию провайдеров или какой-либо Bitcoin-слой, добавленный позже. Фраза «регулярно проходит аудит» опирается на этот единственный пятилетний документ.

Почему Xverse показывает мне два Bitcoin-адреса?

Экран Receive перечисляет адрес Native SegWit и Nested SegWit. Xverse разделяет семейства активов по типу адреса, а в документации Ordinals, Runes и токены BRC-20 размещаются на адресе Taproot отдельно от spendable bitcoin, чтобы ценная inscription никогда не выбиралась как вход для обычного платежа и не терялась в качестве сдачи.

Можно ли обменивать монеты внутри Xverse?

В Xverse есть несколько маршрутов конвертации и оплаты, а не один универсальный механизм swap. Свопы BTC-to-STX работают внутри кошелька через Changelly. Свопы Runes сравнивают несколько маркетплейсов и провайдеров ликвидности. Отдельное веб-приложение обрабатывает конвертации из внешних экосистем вроде Ethereum или Solana, а кросс-чейн маршрут на экране Send — это поток платежа в стейблкоинах с участием Flashnet.

Требует ли Xverse верификацию личности?

Нет, чтобы создать кошелёк или хранить его — настройка требует только пароль, и ничего больше. Покупка и продажа отличаются, потому что они проходят через сторонних провайдеров, которые применяют собственные проверки перед выдачей средств или денег. Xverse прямо указывает это на своём сайте, а не оставляет вас догадываться.

Восстанавливает ли recovery phrase всё?

В нашем тесте — да, для Bitcoin. Мы переустановили расширение на Windows, ввели фразу, и адрес Native SegWit совпал посимвольно, а баланс и история сохранились менее чем за минуту. Владельцам Ordinals или Runes следует отдельно проверить адрес Taproot, поскольку совпадающий BTC-баланс ничего не доказывает в их отношении.

Источники

Все ссылки проверены 19.08.2026.

• Официальный сайт Xverse, страница безопасности и FAQ
• Страница безопасности и аудита Xverse
• Аудит Least Authority кошелька Xverse от Secret Key Labs, 27 августа 2021
• Индекс опубликованных аудитов Least Authority
• Уведомление о безопасности Xverse: проблема шифрования в расширении Chrome, 7 июня 2023
• Публичные репозитории Secret Key Labs
• Поддержка Xverse: как обменять ETH или SOL на BTC
• Поддержка Xverse: недостаточный баланс при учёте комиссии транзакции
• Поддержка Xverse: как рассчитываются комиссии транзакций
• Документация для разработчиков Xverse
• Xverse в Chrome Web Store