Разделить активы обменника между горячим и холодным хранением — не паранойя, а базовое требование безопасности. Операторы, которые держат всё в горячем кошельке, рано или поздно теряют всё разом. Как построить схему, которая не мешает работе, но реально защищает?
Почему «всё в горячем» — это катастрофа
Горячий кошелёк подключён к сети постоянно — а значит, любая уязвимость на сервере, в API или панели управления превращается в прямой путь к вашим деньгам. В 2024–2025 годах несколько обменников лишились ликвидности именно так: взлом скрипта, кража ключей, атака на хостинг.
Один эксплойт — и горячий кошелёк пуст за минуты. Восстановиться без холодного резерва практически невозможно.
Горячий кошелёк: что это и сколько там держать
Горячий кошелёк — это расчётный счёт обменника. Он покрывает текущие выплаты клиентам без задержек. Правило одно: держите в нём ровно столько, сколько нужно на 24–48 часов операций, — и не больше.
Для небольшого обменника это обычно 10–20% от общей ликвидности. Больше — лишний риск, меньше — риск задержек выплат.
Холодное хранилище: защита ценой скорости
Холодный кошелёк — активы без постоянного подключения к сети. Аппаратный кошелёк (Ledger, Trezor), изолированная машина или бумажный кошелёк. Взломать его удалённо невозможно. Минус — нет мгновенного доступа к средствам.
Это не проблема, если заранее планировать пополнение. Раз в сутки или несколько раз в неделю — главное, сделать это частью операционного ритма, а не экстренным решением.
Как рассчитать правильный баланс
Простая формула: среднесуточный объём выплат × 2 = целевой остаток горячего кошелька. Если обменник выплачивает 5 BTC в день — держите горячими 8–12 BTC с запасом на пик.
- Горячий кошелёк: 10–20% от общей ликвидности
- Холодный резерв: 80–90% в надёжном оффлайн-хранении
- Пересматривайте пропорцию при росте оборота
Ротация: как пополнять и не создать уязвимость
Перевод из холодного в горячее — самый рискованный момент. Несколько правил, которые снижают риск:
- Пополняйте по расписанию, а не по запросу — предсказуемость упрощает контроль
- Используйте мультисиг: транзакция из холодного кошелька требует нескольких подписей
- Никогда не подключайте аппаратный кошелёк к онлайн-машине в одиночку
- Логируйте каждый перевод с причиной и временной меткой
Мультисиг (мультиподпись) — это когда одной подписи недостаточно. Если ключ украден, деньги всё равно не уйдут без согласия остальных участников.
Вывод
Схема «горячий + холодный» — это не про паранойю, а про устойчивость бизнеса. Один инцидент не должен останавливать весь обменник. Правильная пропорция и дисциплина ротации дают и скорость, и реальную защиту активов.
Операторам, которые строят обменник с нуля или переводят хранение на собственную инфраструктуру, стоит посмотреть на iEXWallet — некастодиальный кошелёк для обменников без комиссии посредникам.
