Однажды ночью обменник теряет доступ к горячему кошельку — фишинг, скомпрометированный API-ключ, неважно что именно. Вопрос только один: сколько денег там лежало? Если ответ «почти весь оборотный капитал» — бизнес закрыт. Если «дневной лимит» — это неприятный, но переживаемый случай. Баланс между горячим и холодным кошельком — это не техническая деталь, а главный рубеж защиты обменника.
Зачем вообще делить кошельки
Горячий кошелёк подключён к интернету и обслуживает клиентов автоматически — это касса на прилавке, из которой продавец выдаёт сдачу без похода в сейф. Холодный кошелёк не подключён к сети вообще: ключи живут на устройстве или в multisig-схеме, где подпись собирается вручную. Это сейф в подсобке, до которого ещё нужно дойти.
Обменнику нужны оба. Без горячего кошелька вывод клиенту занимает часы вместо минут и бизнес теряет заявки. Без холодного — весь оборот лежит там, где его теоретически может достать любой, кто пробьёт периметр сервера.
Сколько держать в горячем кошельке
Универсального процента нет, но есть рабочий ориентир: горячий баланс должен покрывать вывод за пиковые 24-48 часов, а не весь оборот за месяц. Обменник с оборотом $50 000 в день и редкими всплесками может держать в горячем кошельке $5 000-10 000 — остальное в холодном.
Смотрите на три цифры: средний размер заявки на вывод, максимальное число заявок в час пик и как быстро вы можете пополнить горячий кошелёк из холодного в случае наплыва. Если пополнение занимает 15 минут при живом операторе — можно держать меньше. Если signing ceremony занимает полдня — придётся держать больше горячего запаса, и это тоже риск, который нужно осознанно принять.
Как устроено холодное хранение на практике
Чаще всего это не один сейф, а multisig-кошелёк, где для перевода нужно 2 из 3 или 3 из 5 подписей от разных ключей, физически хранящихся у разных людей. Так ни один сотрудник — даже с полным доступом к серверу — не может в одиночку вывести резерв.
Аппаратные кошельки (hardware wallets) добавляют ещё один барьер: приватный ключ никогда не покидает устройство, даже если компьютер, к которому оно подключено, заражён. Для обменника с оборотом от нескольких сотен тысяч долларов в месяц multisig на аппаратных ключах — это уже не роскошь, а базовая гигиена.
Когда пора пересмотреть баланс
- Оборот вырос в 2-3 раза за квартал, а лимиты горячего кошелька остались прежними;
- клиенты стали жаловаться на задержки вывода в часы пик;
- у вас нет журнала, кто и когда переводил средства между кошельками;
- signing ceremony для холодного кошелька всё ещё делает один человек, а не двое-трое;
- вы не тестировали восстановление доступа к холодному кошельку ни разу за последний год.
Если хотя бы два пункта совпали — это повод пересобрать схему хранения, а не откладывать до инцидента.
Частые ошибки
Самая частая — держать в горячем кошельке «с запасом», чтобы не думать о пополнении. Так резерв на два дня незаметно превращается в резерв на две недели, и никто этого не замечает, пока не станет поздно.
Вторая — холодное хранение с единственным держателем ключа. Формально это уже не «холодный кошелёк», а просто кошелёк без интернета: если с человеком что-то случится или он уйдёт в отпуск без связи, доступ к резерву исчезает вместе с ним.
Вывод
Деление на горячий и холодный кошелёк работает только тогда, когда лимиты пересматриваются вместе с ростом оборота, а не устанавливаются один раз и забываются. Обменникам, которые хотят собственную инфраструктуру хранения без комиссии посреднику, стоит присмотреться к iEXWallet — готовому криптокошельку для обменника.
