rPman

Итак, только некастодиальные кошельки, предоставляют тебе доступ к bitcoin, все остальные (чем является любой кошелек в telegram) - предоставляют сервис по переводу между своими клиентами и вводу выводу с их счетов в сеть bitcoin, при этом за этот перевод приходится платить не только комиссию сети но и комиссию сервису.

Один из способов это выяснить, это понять, имеет ли сервис кошелька доступ к приватному ключу или он известен только пользователю. Обычно только кошельки, запускаемые локально, код которых открыт (и главное, вы можете самостоятельно собрать и запустить кошелек из исходников, об этом моменте многие забывают) и конечно же авторы заявляют о том что их кошелек некастодиальный ну и популярность и доверие этим разработчикам должны быть 'достаточно' высокими.

Настоятельно рекомендую кошелек, предлагаемый на сайте bitcoin.org и если хорошо подумать, адекватный выбор ограничивается electrum.org

Почему electrum, потому что это надежный (проверенный временем и очень популярный) легкий кошелек (не загружает блокчейн), поддерживающий критичные технологии типа segwit и lightning network, последнее важно, если нужны дешевые переводы.

Lightning network это что то типа подсети bitcoin (между ними нужно 'переводить', а правильно говорить открывать канал, заблокировав некоторую сумму bitcoin в сети lightning, чтобы можно было на указанную сумму совершать переводы), переводы lightning практически бесплатны а хранение относительно надежно (нужно хотя бы раз в неделю запускать кошелек в сеть чтобы никто не мог открытые каналы 'украсть' и очень бережно хранить активный бакап кошелька, в идеале создавая его после каждого перевода). К сожалению пока в сети lightning не реализованы токены, хотя неплохие идеи есть.

bitcoin большинству очень неудобен, многие воспринимают колебания его курса как главные его недостаток, и стараются использовать usdt токены. К сожалению комиссии за перевод usdt в сетях bitcoin (onion wallet) и ethereum очень высокие, поэтому популярной основой для usdt стал tron, там тоже есть свои нюансы (комиссия за перевод порядка бакса, но можно уменьшить до почти нуля, если заблокировать в сети trx на несколько сотен баксов, этого хватит на несколько бесплатных переводов в сутки).

Найти прямой обменник, готовый предоставить bitcoin lightning за условные рубли очень сложно, и обычно сначала покупают tron usdt а потом его меняют на bitcoin lightning или остаются в tron. Популярный агрегатор обменников в россии - bestchange.

И помним, самостоятельный контроль за своим кошельком означает, что любая твоя ошибка может оказаться фатальной. Менялы могут оказаться с грязными деньгами, что в свою очередь может навлечь проблем уже на вас или в лучшем случае, обернется потерями этих монет.

Это очень сложный вопрос и на него нельзя ответить коротко.

Как всегда нужно оговориться, о безопасности чего и в каких ситуациях идет речь (от каких сценарий атак нужно защищаться). Например долгосрочное хранение без использования и активная торговля кардинально отличаются в доступных инструментах и способах реализации этой безопасности.

Безопасность начинается не с выбора кошелька (само собой речь идет о не кастодиальных кошельках, причем желательно opensource, так как иначе доказать это невозможно, остальные даже не рассматриваются так как кошельками не являются, как бы они не назывались)

... она начинается (с постройки вариантов атак и способов защиты) с настройки безопасности окружения, которое даст защиту/контроль над информацией, с которой ты работаешь.

В первую очередь машина.
К оборудованию, на котором у тебя будут храниться деньги и с которого будет вестись управление ими (отправляться транзакции и генерироваться адреса) не должно быть доступа как минимум не надежных людей. Т.е. друзья/подруги, знакомые, любовники и прочее прочее как минимум не должны иметь неконтролируемый доступ. Чтобы установить дешевый кейлогер (который может собрать меньше сотни баксов средний программист-железячник) и подключить его в разрыв usb провода или прямо в клавиатуру, большого времени не надо (а уж просто вставить миниатюрный переходник usb-usb и через него переподключить клавиатуру требуется пара секунд)... а дел натворить такой кейлогер (как опция, с удаленным управлением) может много, от просто записывания всех нажатых кнопок для выявления паролей до ввода команд установки трояна на компьютер (его код можно ввести буквально в блокноте).
Не рекомендую беспроводные клавиатуры и мыши, возможно bluetooth более надежными выглядят но много ли из них позволяют сменить пинкод авторизации?

Во вторую очередь приложения:
Не пользуйся кошельком на рядовой машине, с низкими требованиями к безопасности, на которой ты скачиваешь из интернета случайные приложения/расширения к браузеру, играешь игры с торрентов, запускаешь кряки и прочее прочее.
В дешевом виде - можно загружаться со специально подготовленной флешки/внешнего диска (можно как linux так и windows настроить) где ничего кроме необходимых для работы приложений стоять не должно - браузер, расширения для работы, кошелек и все. Все должно быть установлено из доверенных источников и регулярно обновляться. Кстати стратегия обновлений подразумевает что обновления устанавливаются с небольшим лагом, так как есть практика (именно в криптоэкономике) когда свежевыпущенный релиз кошелька содержит критическую уязвимость, и если не приводивший к кражам но к потерям монет (помню было что то с lightning network).
Это диск не должен использоваться в обычное время, так как вирусы давно умеют заражать сторонние флешки даже с чужие ос через бутсектор и даже efi прошивки (да достаточно параметры загрузки ос заменить)

В более дорогом и параноидальном варианте лучше приобрести специальный компьютер (ноутбук или смартфон, с возможностью работы с монитором, этот вариант предпочтительнее и дешевле но клавиатура и мышка так же должны быть своими, я серьезно)

Теперь про кошелек
для bitcoin настоятельно рекомендую electrum, параноики могут остановиться на bitcoin-core, в режиме pruned он занимает считанные несколько гигабайт. А вообще есть неплохой мастер выбора кошелька

Seed фразу для генерации нужно генерировать только случайной (никаких удобно запоминающихся фраз и красивых стишков, все эти вещи контролируются и деньги воруются, читал про это, много людей на этом прогорело). Хранить фразу в нескольких местах одновременно легкодоступных (чтобы в момент большого П, представь например пожар или землятрясение, его можно было восстановить) и непонятных для злоумышленника. Это самый сложный момент для большинства и именно на неверном понимании проблемы люди теряют и будут терять свои деньги в будущем. Я видел людей, которые хранили свою сид фразу в текстовом файле на десктопе, я знаю что люди записывают сид на бумажке и складывают в ящик стола/сейф, к которому имеет кто то доступ кроме них. Записать сид фразу в файл в облачном хранилище без шифрования своим паролем и алгоритмом тоже не рекомендую. Использовать облачные клавиатуры на android устройствах для ввода seed фразы тоже нельзя (был пример когда какой то кошелек это не учел и какой то разработчик, имеющий доступ к дампам гугловской клавиатуры, украл монеты). Помним, что windows логирует все нажатые клавиши и отправляет их на сервер. Помним что если вы пользуетесь проприетарным софтом - это уже повод задуматься, кто еще стоит у вас 'за спиной'. Мало того, если пользуетесь открытым софтом но загружаете готовые бинарники - то ситуация точно такая же, да может с меньшими шансами на получить проблему, но не ненулевая и эта проблема не решаема, с философской точки зрения обнулить шансы невозможно.

Отличной рекомендацией является использование приложения типа keepass, которое позволяет хранить пароли и не только в зашифрованном файле локально, шифрование может производиться с помощью специального ключевого файла и пароля, при этом хранить их можно раздельно и дублировать на разные облачные хранилища.

Вообще надежное окружение это большая проблема. Было время, когда веб сайт на соседней вкладке мог следить за твоим буфером клавиатуры, соответственно один из вариантов атаки - поиск адресов и подмена их на адреса злоумышленника (генерация похожих адресов), сейчас это не так но как один из видов атаки никуда не делся.
Так же распространен фишинг - подмена сайтов сервисов на похожие имена, подмена адресов в кошельке (злоумышленники рассылают случайным людям переводы с адресами, похожие на те что уже использовались) и т.п.

Еще момент про аппаратные кошельки.
Если кошелек для своей работы требует компьютер (для ввода пароля, для контроля транзакции) - то это плацебо.
Для работы такого кошелька нужно рабочее окружение, если оно не надежно то они не защитят от кражи, а если у вас есть надежное окружение вам не нужен кошелек.
Если кошелек имеет экран, отображающий действия в транзакции в понятном виде и позволяющий ее отклонить то он имеет смысл как инструмент повышения надежности окружения (т.е. его можно использовать на не очень надежной машине, если внимательно следить за подтверждаемыми транзакциями)
Если кошелек не имеет возможности сделать резервную копию seed фразы - он сам становится точкой отказа, т.е. вы можете потерять все деньги при его поломке/краже.
Т.е. аппаратный кошелек в простом виде - это больше проблема чем решение, исключение, если это будет что тот типа ноутбука/смартфона, о чем выше я и написал

p.s. сложно? а кто сказал что биткоин это просто? криптовалюты это когда ты и только ты становишься ответственным за свои деньги. тут не получится позвонить в банк и полицию и сказать - меня обокрали, точнее позвонить получится но не больше.
Некоторые считают такие риски достаточным основанием чтобы не лезть в криптоэкономику в принципе

Не существует консенсуса для децентрализованных проектов, в котором не было бы подобных оговорок

Вся фишка в том чтобы поступать подобным образом атакующему было бессмысленно дорого и главное для защиты сеть в открытую можно мониторить и принимать меры заранее, например если ты сервис по приему и выводу монет и боишься что тебя атакуют двойной тратой, увеличивай количество подтверждений, требуемых для того чтобы считать транзакцию завершенной, таким чтобы оно было больше отношением суммарного количества принимаемых монет сервисом к стоимости этой атаки.

Т.е. атака есть но существует возможность защититься и от нее. Плюс, никто не сможет прямо вот разом найти значительные мощности, которые ранее не замечены в майнинге, и задействовать их в атаке, оборудование не просто добыть (сеть биткоина набрала очень хорошую массу, но не другие блокчейны), а если для атаки будут задействованы уже существующие мощности, то это будет прекрасно видно если наблюдать за совместимыми блокчейнами (резкое понижение суммарной мощности).

По этой причине, не стоит доверять миллионы денег блокчейну, стоимость атаки в котором значительно ниже.

p.s. кстати наиболее уязвимыми при таких атаках будут сети второго уровня (лайтинг например) они и так чувствительный к проблемам в блокчейне, а уж если там будет двойная трата с атакой на крупную ноду лайтинга, то это будет весело (но опять, пока переводов токенов и контрактов там еще не дозапилили, проблемы нет)

Либо ты следишь за сетью сам либо смотришь кто это делает, рекомендую публичные сервера electrum (список посмотри в кошельке), electrum server api

p.s. есть куча реализаций кошелька, в которой хранения блокчейна не производится, в твоей задаче нужно монторить транзакции и блоки, транзакции нужны чтобы отследить пополнения (без подтверждения, некоторым это важно) а блоки чтобы понять, какие транзакции уже подтверждены... хранить в такой схеме ничего не нужно (точнее нужно для себя помечать, какой блок ты уже обработал чтобы при перезапуске своего сервиса ты не пропустил пополнения.

гуглить bitcoin library, добавив свой язык программирования

комиссии и скорость получения активов.

binance предлагает следующие инструменты:
* спотовый рынок
* p2p
* маржинальная торговля, рядом с ними фьючерсный рынок (пара - с залогами в usd и bitcoin), в интерфейсе они в разных местах но идеологически это то же самое (фьючи отдельный разговор, там куча нюансов и неожиданных 'комиссий')
есть еще множество финансовых инструментов, например nft который можно тоже называть рынком но не хочу это рассматривать, плюс сопроводиловка типа стейкинг фарминг криптозаймы и прочее прочее, по факту являющимся очередным из 100500 способов отъема денег у населения (цель - добровольная блокировка пользователем своих активов на площадке биржи)

Так вот реальной торговлей является только первые два - спотовый и p2p. В обоих случаях платформа выступает посредником по хранению активов (в спотовой торговле - оба актива торговой пары должны лежать на счетах биржи, а для p2p - только один базовый, а валюта котировки снаружи биржи ей не подконтрольна, хотя само собой блокировать в заявках неугодные банки она успевает)

Все остальное (типа конвертация, классическая, продвинутая и т.п.) это исключительно интерфейс поверх одной и той же спотовой торговли, и отличается в конце концов комиссией (включая скрытую, заложенную в спред и алгоритмы симуляции фиктивных сделок), которая у тебя получится в результате обмена. Например конвертация - это совершение сделки по маркету, при этом к цене сделки добавляется комиссия, чтобы покрывать риски изменения курса на период (несколько секунд) пока тебе показывается эта цена... в продвинутом режиме ты можешь к примеру дробить самостоятельно крупную сделку на несколько, выполняя разные ее части по разным ценам, комбинируя лимитные и по маркету, изучая поведение рынка, значительно уменьшая итоговую комиссию по сделке но с рисками не получить желаемое либо в срок либо по нужной цене.

майнеры вступают в сговор и делают что хотят?
прекрасно это работает на PoS криптовалютах, с чего ты решил то?

PoS криптовалюты в подавляющем большинстве случаев не защищают от перезаписи блокчейна, не поддавайся на увещевания. Практика показывает что это именно так.

а PoW защищает от перезаписи не абсолютно а в пределах стоимости этой атаки, т.е. этот консенсус гарантирует что атакующему понадобится столько потратить (не меньше) при таких то условиях (количество подтверждений)

p.s. помимо консенсуса у блокчейна есть еще код, алгоритм работы ноды.
если у проекта не существует альтернативных реализаций, не существует стратегии внесения критичных изменений в кодовую базу или эти реализации не предполагают децентрализацию принятия решений - то никакой консенсус не защитит от злоумышленников, ведь в любой момент разработчики могут добавить что угодно в код и даже не сообщить об этом 'майнерам'

Безопасности чего? от чего?

Алгоритм консенсуса, на примере bitcoin - это proof of work algorithm, тот самый механизм, который защищает блокчейн от перезаписи блоков через решение задачи поиска хешей с определенным количеством нулей для непредсказуемого выбора того кому доверяют запись следующего блока. Нет тут мультиподписей... мультиподписи это надстройка уже над готовым блокчейном.

А к примеру в ripple ledger или dpos - это набор договоренностей по выбору делегатов, которым все доверяют но которые сами могут не доверять друг другу (это кстати не работает).