В 2024 году FIDO Alliance отчитался: passkeys поддерживают больше 15 миллиардов устройств в мире. Microsoft перевёл все личные аккаунты на passwordless. Google рапортует о миллиардах passkey-аутентификаций. Apple встроил технологию в iCloud Keychain. А в крипте 2024–2025 произошёл сдвиг ещё интереснее: passkey перестал быть просто заменой пароля и стал криптографическим подписантом транзакций в смарт-контракт кошельках. Разберём, как технология работает, где уже используется и почему это важно именно для крипты.

Что такое passkey простыми словами

Если коротко: passkey — это пара криптографических ключей вместо пароля. Один (публичный) хранится у сервиса. Второй (приватный) живёт внутри вашего устройства и никогда его не покидает. Когда вы заходите в аккаунт, устройство подписывает короткое сообщение от сервиса своим приватным ключом, а сервис проверяет подпись публичным. Всё. Никаких паролей, никаких кодов из SMS, ничего, что можно у вас украсть.

Главное отличие от обычного пароля: passkey невозможно ввести на фишинговом сайте. Технология жёстко привязывает ключ к конкретному домену. Зашли на metamask-wallet.com вместо metamask.io — устройство откажется подписывать. Это не настройка, не дополнительная защита, это часть протокола.

Подтверждение использования passkey происходит через Face ID, Touch ID, PIN или биометрию устройства. Сам биометрический шаблон при этом наружу не уходит — он только разблокирует доступ к приватному ключу внутри Secure Enclave (на iPhone), TPM (на Windows) или Titan M (на Android).

Как работает passkey: модель challenge-response

Технически это асимметричная криптография, которой больше 40 лет, но в массовом UX она появилась только в 2022 году с iOS 16. Шаг за шагом:

1. Вы создаёте passkey для сервиса. Устройство генерирует пару ключей (на эллиптической кривой P-256). Публичный отправляет на сервер, приватный остаётся в Secure Enclave.
2. При следующем входе сервер генерирует случайный challenge — короткий уникальный код.
3. Устройство подписывает challenge приватным ключом и отправляет подпись обратно.
4. Сервер проверяет подпись публичным ключом. Совпадает — вход.

Главные защитные свойства, которые из этого следуют:

• Подпись одноразовая. Каждый challenge уникален, перехватить его и использовать повторно нельзя.
• Ключ не покидает устройство. Даже скомпрометированный браузер или приложение не получит приватный ключ — они могут только попросить устройство подписать что-то от их имени, и пользователь это видит в системном диалоге.
• Привязка к домену. Подпись формируется с учётом адреса сайта. На фишинговом клоне ключ не сработает.

Passkey vs пароль vs 2FA vs аппаратный ключ

Эти технологии часто путают, хотя они решают разные задачи.

Таблица 1. Сравнение методов аутентификации

По сути passkey закрывает три проблемы одной технологией: убирает пароль как класс, защищает от фишинга и сохраняет удобство массового пользователя. До 2022 года ничего подобного на масштаб миллиардов устройств не было.

Под капотом: FIDO2, WebAuthn и CTAP

Passkey — это не один протокол, а стек из трёх связанных стандартов.

FIDO2 — общий зонтик. Разработан FIDO Alliance, в котором участвуют Apple, Google, Microsoft, Amazon, Meta, IBM и ещё 250+ компаний.

WebAuthn (W3C-стандарт) — веб-API, через который браузер общается с операционной системой и устройствами хранения ключей. Это то, что вызывается через JavaScript, когда сайт просит создать passkey или подписать challenge.

CTAP (Client to Authenticator Protocol) — протокол связи с внешними аутентификаторами через USB, NFC или Bluetooth. Используется, когда вы подписываете passkey на iPhone, а заходите на сервис с ноутбука.

Что важно: эти стандарты открытые. Apple, Google и Microsoft реализуют их в своих экосистемах одинаково. Поэтому passkey, созданный в iCloud, работает в Chrome на macOS. Passkey из Google Password Manager — в Edge на Windows.

Где passkey уже работает: Web2-кейсы

К 2026 году технология вышла из категории «новинка» в категорию «индустриальный стандарт». Кто внедрил:

• Apple — iOS 16 / macOS Ventura, сентябрь 2022. Первая массовая реализация. К 2025 году синхронизация passkeys работает между всеми устройствами Apple через iCloud Keychain.
• Google — май 2023. За первый год — более миллиарда успешных passkey-аутентификаций. К 2026 году passkey предлагается как способ входа по умолчанию.
• Microsoft — с 2024 рекомендует passkey как основной метод входа в личный аккаунт. Старые пароли постепенно выводятся из обращения.
• Amazon, eBay, PayPal, Best Buy, GitHub — добавили passkey в 2023–2024 годах. Особенно агрессивно — в финансовых и e-commerce сервисах.
• 1Password, Bitwarden, Dashlane — менеджеры паролей научились хранить passkeys, добавив кросс-платформенность даже без iCloud/Google.

По данным Microsoft, переход на passkey сокращает успешный фишинг в их экосистеме на 95%. У Google цифры похожие. Это не маркетинг — это фундаментальное свойство технологии, потому что украсть нечего.

Passkey в крипте: главное применение — on-chain signer

Тут начинается самое интересное. В Web2 passkey — это способ входа в аккаунт. В крипте 2024–2025 годов он стал способом подписания транзакций на блокчейне.

Логика проста. У вас есть смарт-контракт кошелёк (по стандарту ERC-4337, он же Account Abstraction). Этот кошелёк может принимать произвольные правила подписи: классическая ECDSA-подпись, мультиподпись, MPC, биометрия — что угодно. Если правило задано как «принимать только подписи от passkey с конкретным публичным ключом», то вход в DeFi сводится к Face ID на iPhone. Никакой seed-фразы, никакого браузерного расширения, никакого риска фишинга подписи.

Реальные внедрения:

• Coinbase Smart Wallet (запущен в июне 2024) — passkey как основной signer. Кошелёк создаётся прямо в браузере без расширения, без seed-фразы. Восстановление — через passkey, синхронизированный в iCloud/Google.
• Argent — passkey-signer в Smart Wallet с социальным восстановлением.
• Privy, Dynamic.xyz, Magic Link — embedded-wallet провайдеры для приложений, использующие passkey как основной метод аутентификации.
• Binance, Kraken Pro, OKX — passkey как 2FA для входа в биржевой аккаунт (не как on-chain signer, но шаг в нужную сторону).
• Trustee Plus — passkey в гибридной модели с PIN и биометрией.

Техническая засада: P-256 vs secp256k1

Кстати, забавный нюанс. Passkey по стандарту использует эллиптическую кривую P-256 (secp256r1) — ту, что аппаратно поддерживается чипами безопасности Apple, Google, Microsoft. Bitcoin и Ethereum же построены на secp256k1 — другой кривой.

Это значит, что для on-chain верификации passkey-подписи в Ethereum нужно либо дорого верифицировать её через смарт-контракт (десятки тысяч газа), либо иметь специальный pre-compile в сети. Решение — EIP-7212, который добавляет в EVM precompile для верификации P-256 подписей. Его уже внедрили большинство L2-сетей (Arbitrum, Optimism, Base, Polygon) как RIP-7212. В основном Ethereum он пока в очереди.

Что это значит на практике: Coinbase Smart Wallet с passkey-signer работает на Base, Arbitrum и других L2 за копейки. На основном Ethereum — работает, но газ выше, потому что верификация идёт через смарт-контракт.

Как включить passkey: пошагово

Процесс зависит от сервиса, но логика везде похожа.

В Apple ID (iCloud). Passkeys для аккаунта Apple включаются автоматически на iOS 16+, ничего настраивать не нужно. Управление — в Настройки → Apple ID → Пароли и безопасность.

В аккаунте Google. Зайдите на myaccount.google.com → Безопасность → Passkeys. Нажмите «Создать passkey» и подтвердите биометрией устройства.

В аккаунте Microsoft. account.microsoft.com → Безопасность → Расширенные параметры → Passkeys. С 2024 года Microsoft предлагает удалить пароль полностью.

В Coinbase Smart Wallet. Зайдите на keys.coinbase.com, нажмите «Create Account». Браузер запросит создание passkey — подтвердите. Кошелёк создан. Никакой seed-фразы.

На бирже (Binance, Kraken). В разделе «Безопасность» есть пункт Passkey или Security Key — создайте, подтвердите биометрией. После этого можно отключить SMS-2FA.

Сразу после создания обязательно настройте резервный метод восстановления — либо второе устройство с тем же passkey (через синхронизацию iCloud/Google), либо аппаратный ключ как backup. Это критично, без этого можно остаться без доступа.

Ограничения и риски passkey: честно

Маркетинг рисует passkey как серебряную пулю. На деле есть нюансы, о которых не пишут на главных страницах.

Vendor lock-in в экосистему. Passkey, созданный в iCloud Keychain, по умолчанию не виден на Android. Apple и Google в 2024 году добавили cross-device flow через QR-код, но это всё равно костыль. Для бесшовной работы между экосистемами нужны менеджеры паролей вроде 1Password.

Зависимость от облака. Если вы потеряли доступ к Apple ID или Google-аккаунту — вы потеряли passkeys. Они синхронизируются через эти облака. Резервная копия Apple Keychain зашифрована и привязана к iCloud Recovery Key.

Атака через сам облачный аккаунт. Если злоумышленник получил доступ к iCloud (например, через утечку пароля и обход 2FA), он может получить ваши passkeys. Не паника — это сложно, но возможно. Поэтому passkey без сильной защиты самого аккаунта Apple/Google — только полумера.

Передача passkey между устройствами. На сегодня нет универсального способа «экспортировать» passkey, как seed-фразу. Только через синхронизацию или повторное создание в новом сервисе. Для крипты это потенциально критично.

Поддержка на Linux и старом железе. Если у вас Linux-машина или Windows без TPM, passkey работает ограниченно. Менеджеры паролей частично решают, но не идеально.

Не панацея для самой крипты. Passkey решает проблему входа и подписи — но если вы подпишете drainer-транзакцию через passkey, средства уйдут так же быстро. Безопасность подписей всё ещё требует симуляции транзакций и осознанного подтверждения.

Будущее: passkey + Account Abstraction + MPC

Главный тренд 2025–2026 годов — не «passkey вместо» чего-то, а «passkey вместе с». Три технологии складываются в новый стек безопасности:

• Passkey закрывает вход и подпись. Никаких паролей, никаких phishable seed.
• Account Abstraction (ERC-4337) делает кошелёк программируемым: можно задать правила восстановления, лимиты на расходы, мультиподпись из коробки.
• MPC добавляет распределённое хранение ключей, которые в принципе никогда не существуют в одном месте.

Звучит просто, на деле это переписывание базовой модели владения криптой. К 2027 году значительная часть розничных пользователей, скорее всего, не будет видеть seed-фразу вообще — зайдут в кошелёк через Face ID, восстановят доступ через социальных стражей, потеряют устройство без последствий. Это уже работает в Coinbase Smart Wallet и Argent. Через 1–2 года будет нормой.

Что в минус: технология относительно молодая. Серьёзных хаков passkey-инфраструктуры пока не было, но это не значит, что не будет. Лично рекомендую использовать passkey-кошельки для оперативных сумм, а крупные капиталы держать на аппаратном или мультиподписном кошельке. По крайней мере, пока.

Альтернатива для разовых обменов: AvanChange без подключения кошелька

Passkey решает проблему безопасной аутентификации, но он работает только когда вы используете кошелёк. Для разовых операций обмена крипты часто не нужен ни кошелёк, ни подпись.

В AvanChange обмен идёт по классической схеме: отправляете один актив на адрес обменника, получаете другой на свой адрес. Никакого подключения кошелька, никакой подписи approvals, никакого WalletConnect. Это убирает целый класс атак, ради которых passkey и был создан — фишинг подписей на сайтах-двойниках. Фиксированный курс, AML-проверка, заявка обрабатывается за 5–15 минут.

FAQ: частые вопросы о passkey

Чем passkey лучше двухфакторной аутентификации?

2FA добавляет второй фактор к паролю — и пароль, и код всё ещё можно украсть. Passkey убирает пароль полностью и привязывает ключ к домену. Фишинг в принципе не работает, потому что устройство откажется подписывать запрос с не того сайта.

Что будет, если я потеряю телефон с passkey?

Если passkey синхронизирован через iCloud или Google Password Manager — он восстановится на новом устройстве после входа в аккаунт. Если passkey device-bound (привязан только к одному устройству) — доступ к сервису можно восстановить через резервный метод (email, аппаратный ключ, recovery codes). Поэтому резервный метод нужно настраивать сразу.

Можно ли использовать passkey без iPhone и Android?

Да, через менеджеры паролей с поддержкой WebAuthn (1Password, Bitwarden) или через аппаратные ключи (YubiKey, Google Titan). Но самый удобный опыт — на устройствах Apple, Google и Microsoft с биометрией.

Заменит ли passkey seed-фразу в криптокошельках?

В классических кошельках (MetaMask, Phantom) — нет, там seed остаётся базовым уровнем. В Smart Wallets (Coinbase, Argent) — уже заменил: можно создать кошелёк без seed, восстановить через passkey. Это другая модель ответственности, со своими плюсами и рисками.

Что такое EIP-7212 и зачем он нужен?

Ethereum Improvement Proposal, добавляющий в EVM precompile для верификации подписей на кривой P-256 (которую использует passkey). Без него верификация passkey-подписи в смарт-контракте обходится дорого. EIP-7212 уже работает на Base, Arbitrum, Optimism, Polygon как RIP-7212.

Можно ли украсть passkey с устройства?

Технически — нет, приватный ключ внутри Secure Enclave/TPM и не извлекается даже физически. Практически — через скомпрометированный iCloud-аккаунт можно получить доступ к синхронизированным passkeys. Поэтому защита аккаунта Apple/Google критична.

Безопаснее ли passkey, чем аппаратный кошелёк (Ledger, Trezor)?

По разному. Аппаратный кошелёк изолирован от интернета полностью — для крупных сумм он надёжнее. Passkey удобнее в ежедневном использовании, защищён от фишинга, но зависит от облака. Идеальная схема — аппаратный для крупных капиталов, passkey-кошелёк для повседневной активности.

Поддерживают ли passkey биржи Binance, Bybit, OKX?

Да. С 2023–2024 годов passkey добавлен на большинство крупных бирж как способ 2FA. Это надёжнее SMS-кодов (защита от SIM swap) и удобнее, чем Google Authenticator. Активировать рекомендуется сразу после регистрации.

Выводы

Passkey — это не очередная технология удобства. Это структурное решение, которое выбивает базу из-под фишинговой индустрии. Когда в системе нет общего секрета, который можно украсть, — красть нечего. Web2 это понял и переходит уже три года. Крипта подключилась с 2024–2025 и развивает технологию глубже, чем Web2 в принципе мог: passkey-signer для смарт-контракт кошельков превращает блокчейн-операции в Face ID-подпись.

Что важно держать в голове. Passkey — не панацея, у него свои зависимости и риски (vendor lock-in, защита облака, кросс-платформенность). Для крупных сумм проверенная связка остаётся прежней: аппаратный кошелёк плюс мультиподпись плюс осознанные подписи. Для повседневной работы — Smart Wallet с passkey-signer уже сегодня работает удобнее любого классического решения.

А там, где не нужен ни кошелёк, ни подпись — например, для разового обмена USDT на BTC — безопаснее всего идти через классический обменник вроде AvanChange. Меньше точек интеграции с внешними сайтами — меньше векторов атаки. Каждый инструмент — под свой сценарий.